Le chapitre VI du règlement DORA (EU) 2022/2554 traite du partage d'informations et de renseignements sur les cybermenaces entre entités financières. C'est l'un des aspects les plus novateurs du règlement : il encourage activement la coopération entre concurrents pour renforcer collectivement la résilience du secteur face aux cyberattaquants.
Le Cadre du Partage d'Informations (Article 45)
L'article 45 du règlement DORA autorise et encourage les entités financières à participer à des arrangements de partage d'informations et de renseignements sur les cybermenaces (Cyber Threat Intelligence, CTI). Ces arrangements peuvent être entre entités financières de même type ou de types différents, au niveau national ou transfrontalier. Ils doivent respecter les règles de concurrence et les dispositions du RGPD.
Protection Légale du Partage
Une préoccupation majeure des entités financières était d'ordre légal : partager des informations sur des incidents ou des vulnérabilités pouvait exposer à des risques de responsabilité ou à des violations de confidentialité. DORA répond à cette préoccupation en précisant que le partage d'informations dans le cadre du chapitre VI ne constitue pas une violation des obligations de confidentialité contractuelles ou légales, sous réserve du respect des conditions définies.
RGPD et Partage d'Informations Cyber
Les informations sur les cybermenaces peuvent contenir des données personnelles (adresses IP d'attaquants, indicateurs de compromission incluant des données d'utilisateurs). DORA précise que ces partages sont possibles dans le respect du RGPD, notamment en s'appuyant sur la base légale de l'intérêt légitime (article 6(1)(f) RGPD) pour la prévention des fraudes et la sécurité des réseaux.
Formes Pratiques du Partage
Le partage d'informations cyber prend plusieurs formes pratiques dans le secteur financier. Les ISAC (Information Sharing and Analysis Centers) sectoriels, comme le FS-ISAC (Financial Services ISAC) au niveau international ou ses équivalents européens, sont des plateformes de partage d'indicateurs de compromission et d'alertes sur les menaces. Les groupes de travail de place (réunions régulières entre RSSI de grandes banques) permettent des échanges informels mais précieux. Les outils STIX/TAXII permettent l'échange automatisé de threat intelligence structurée.
Bénéfices du Partage d'Informations
Les bénéfices du partage d'informations cyber sont multiples. La détection précoce : une menace identifiée par une entité peut être partagée pour permettre à d'autres entités de se protéger avant d'être attaquées. La validation des indicateurs : un indicateur de compromission partagé et confirmé par plusieurs entités a une valeur beaucoup plus élevée. L'économie de ressources : le CTI est coûteux à produire ; le partager entre entités réduit le coût unitaire. La réduction du temps de réaction face aux nouvelles menaces.
Initiatives Sectorielles en France
En France, plusieurs initiatives soutiennent le partage d'informations cyber dans le secteur financier. L'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information) joue un rôle central dans la coordination et le partage des alertes cyber. La Banque de France a développé des canaux de communication sécurisés entre les acteurs du secteur. Les associations professionnelles (FBF, FFSA) organisent des groupes de travail cybersécurité qui favorisent le partage informel.
Conclusion
Le chapitre VI de DORA sur le partage d'informations cyber est une réponse pragmatique à une réalité de l'espace cyber : les attaquants partagent leurs techniques et leurs outils, les défenseurs doivent en faire autant. En levant les obstacles légaux et en encourageant activement ce partage, DORA contribue à construire une intelligence collective du secteur financier face aux cybermenaces.
Questions fréquentes
Le partage d'informations cyber est-il obligatoire sous DORA ?
Non. Le chapitre VI de DORA encourage le partage d'informations mais ne le rend pas obligatoire. C'est une faculté offerte aux entités, pas une obligation. La participation à des arrangements de partage d'informations est volontaire, même si DORA crée un cadre légal favorable.
Partager des informations sur un incident peut-il nuire à une entité ?
DORA offre des protections légales pour les partages réalisés dans le cadre du chapitre VI. Un partage de bonne foi d'informations sur une cybermenace ou un incident, réalisé dans le respect des conditions DORA, ne peut pas être utilisé contre l'entité dans le cadre d'une procédure de sanction administrative liée au même incident.