La résilience opérationnelle numérique est au cœur du règlement (EU) 2022/2554, au point que son nom complet — Digital Operational Resilience Act — en fait son concept central. Mais que signifie précisément ce terme, et comment le règlement DORA le traduit-il en obligations concrètes pour les entités financières ?
Définition de la Résilience Opérationnelle Numérique
L'article 3 du règlement DORA définit la résilience opérationnelle numérique comme 'la capacité d'une entité financière à construire, assurer et réexaminer son intégrité et sa fiabilité opérationnelles en garantissant, directement ou indirectement par le recours aux services de tiers prestataires de services TIC, l'intégralité des capacités liées aux TIC nécessaires pour assurer la sécurité des réseaux et des systèmes d'information qu'elle utilise, et qui sous-tendent la prestation continue de services financiers et leur qualité, y compris lors de perturbations.' Cette définition est délibérément large et systémique.
Les Quatre Dimensions de la Résilience
La résilience opérationnelle numérique se décompose en quatre dimensions indissociables. La résistance : capacité des systèmes à résister aux chocs et aux attaques. L'absorption : capacité à limiter l'impact d'un incident sur les services aux clients. Le rétablissement : capacité à revenir à un état normal dans des délais acceptables. L'adaptation : capacité à apprendre de chaque incident et à renforcer le dispositif.
Différence avec la Simple Sécurité Informatique
La résilience opérationnelle numérique va bien au-delà de la sécurité informatique traditionnelle. La sécurité IT vise principalement la prévention des incidents. La résilience opérationnelle admet que les incidents sont inévitables et se concentre sur la capacité à les gérer et à s'en remettre. Cette philosophie 'assume breach' est fondamentale dans l'approche DORA.
Les Cinq Piliers de la Résilience selon DORA
Le règlement DORA structure la résilience opérationnelle numérique autour de cinq piliers. La gouvernance et la gestion des risques TIC (chapitres I-II) : le socle organisationnel. La gestion des incidents (chapitre III) : la capacité de réponse. Les tests (chapitre IV) : la validation régulière de la résilience. La gestion des tiers (chapitre V) : la résilience de la chaîne de valeur technologique. Le partage d'informations (chapitre VI) : l'intelligence collective du secteur.
Résilience vs Continuité d'Activité
La résilience opérationnelle numérique au sens DORA est plus large que la continuité d'activité traditionnelle. Le Plan de Continuité d'Activité (PCA) classique gère la reprise après sinistre. DORA impose une résilience 'by design' : les systèmes et processus doivent être conçus pour être résilients, et pas seulement pour pouvoir reprendre après une panne. Cette distinction conceptuelle a des implications importantes sur l'architecture des systèmes IT.
Mesurer la Résilience Opérationnelle Numérique
Le règlement DORA impose aux entités financières de définir des indicateurs de résilience mesurables. Ces KPI typiques incluent : le taux de disponibilité des systèmes critiques (cible généralement > 99,9 %), l'objectif de temps de rétablissement (RTO) par système critique, l'objectif de point de rétablissement (RPO) pour les données, le taux de succès des tests de continuité, et le délai moyen de détection des incidents.
Conclusion
La résilience opérationnelle numérique est un concept holistique qui dépasse la cybersécurité et la continuité d'activité pour embrasser la capacité d'une entité financière à fonctionner de manière fiable dans un environnement numérique intrinsèquement incertain. Le règlement DORA en fait une obligation légale et un standard de gouvernance pour l'ensemble du secteur financier européen.
Questions fréquentes
La résilience opérationnelle numérique est-elle différente de la cybersécurité ?
Oui. La cybersécurité se concentre principalement sur la prévention des attaques. La résilience opérationnelle numérique inclut la prévention mais aussi la détection, la réponse, le rétablissement et l'apprentissage. Elle intègre aussi les risques non malveillants (pannes techniques, erreurs humaines) et les risques liés aux tiers prestataires TIC.
Comment tester sa résilience opérationnelle numérique ?
Le règlement DORA impose plusieurs types de tests : évaluations de vulnérabilité, tests de pénétration, tests de continuité, et pour les entités significatives, des tests TLPT (Threat-Led Penetration Testing) réalisés par des testeurs externes qualifiés selon le cadre TIBER-EU.