Le 17 janvier 2025, le Digital Operational Resilience Act (DORA) est officiellement entré en vigueur. Ce règlement européen poursuit un objectif clair : renforcer la résilience numérique des institutions financières, y compris les fonds de pension. Avec DORA, les exigences en matière de gestion des risques informatiques, de signalement des incidents, de tests et de supervision des fournisseurs informatiques externes sont considérablement renforcées. DORA est un règlement directement applicable et exécutoire sans transposition en droit national.
Que signifie DORA ?
DORA introduit un cadre harmonisé pour la résilience opérationnelle numérique, imposant les mêmes règles en matière de TIC à toutes les institutions financières. Cette législation s'articule autour de cinq piliers fondamentaux :
Gestion des risques liés aux TIC
DORA impose aux fonds de pension la mise en place d’un cadre détaillé de gestion des risques liés aux TIC. Celui-ci inclut :
- l'identification et la gestion des risques numériques sur la base d'une analyse systématique des risques ;
- la mise en œuvre de mesures de sécurité obligatoires pour les réseaux et les systèmes d'information ;
- des lignes de signalement claires et des procédures internes pour détecter et traiter les incidents rapidement et efficacement.
Signalement des incidents et échange d'informations
Désormais, tout incident grave lié aux TIC doit être signalé aux autorités compétentes en temps utile et de manière structurée. Cela comprend :
- des modèles de rapports et des délais standardisés, garantissant un partage transparent et uniforme des incidents ;
- une coopération obligatoire au sein du secteur, encourageant les fonds de pension à échanger des informations sur les menaces.
Tests de résilience numérique
DORA exige des fonds de pension qu'elles effectuent régulièrement des tests pour évaluer leur résilience face aux cybermenaces.
Ceux-ci vont :
- des tests de base, applicables à toutes les entités ;
- aux tests avancés, tels que les tests d'intrusion basés sur la menace (TLPT), obligatoires pour les établissements ayant un profil de risque plus élevé.
Risques liés aux tiers ICT et externalisation
L'externalisation des TIC fait l'objet d'une attention particulière dans le cadre de DORA. Les fonds de pension doivent :
- conclure des accords contractuels stricts avec les prestataires de services informatiques ;
- tenir à jour un registre de tous les prestataires de services TIC et de leurs contrats (Registre d'informations - ROI) ;
- gérer rigoureusement les risques d'externalisation et intervenir si un fournisseur ne respecte pas.
Surveillance des prestataires de services TIC externes critiques
DORA fournit un mécanisme de surveillance spécifique pour les fournisseurs de cloud et autres prestataires informatiques critiques. L’objectif est d’éviter qu'une perturbation chez un acteur ne crée un risque systémique pour l'ensemble du secteur.
Concrètement, que signifie DORA pour les fonds de pension ?
Les fonds de pension relèvent entièrement du champ d'application de DORA, mais l'impact varie en fonction de leur taille :
- Les IRP de moins de 15 membres sont exemptées du champ d'application.
- Les petites IRP (15 à 100 membres) bénéficieront d'assouplissements, notamment une exemption de certaines obligations de déclaration et de test.
- Les grands fonds de pension doivent se conformer pleinement à toutes les exigences.
En pratique, cela implique :
- une refonte en profondeur de la gestion informatique et de la cybersécurité ;
- un durcissement des contrats d'externalisation et un suivi plus strict des prestataires de services ICT.
- de nouvelles obligations de déclaration auprès de la FSMA.
PensioPlus : un soutien maximal pour ses membres
DORA oblige les fonds de pension à faire passer leur résilience numérique à un niveau supérieur. PensioPlus a intensément préparé ses membres à cela et les a soutenus à chaque étape du processus en :
- Développement d'outils et de modèles : PensioPlus a développé un ensemble d'outils pratiques pour aider les IRP dans la gestion des risques, la réponse aux incidents et la gestion des tiers ICT.
- Outil d'analyse des écarts sectoriel : les fonds de pension peuvent utiliser cet outil pour identifier facilement les cas où elles ne répondent pas aux exigences de DORA et les améliorations nécessaires.
- Plateforme DORA SharePoint : Les membres y trouvent des manuels concrets, des modèles de documents et des lignes directrices, spécialement adaptés au secteur des fonds de pension.
- Collaboration active avec la FSMA : PensioPlus a été en étroite concertation avec le régulateur afin de garantir des exigences de mise en œuvre réalistes et sectorielles.
- Groupes de travail et formation DORA : Les groupes de travail permettent aux membres de partager leurs expériences, de discuter de défis communs et d'élaborer des solutions. En collaboration avec la FSMA, des formations sont organisées pour orienter davantage les fonds.
Conclusion : Une action durable s'impose !
DORA n'est pas une mesure sans engagement, mais une réforme fondamentale de la gestion des risques numériques et des TIC dans le monde des fonds de pension. Les règles sont complexes, contraignantes et nécessitent une approche structurelle.
Les fonds de pension doivent continuer d'agir pour répondre aux exigences de DORA. Cela signifie qu’ils doivent :
- examiner et renforcer l'infrastructure de TIC ;
- mettre à jour les contrats d'externalisation et les analyses de risques ;
- mettre en œuvre le signalement des incidents et les cybertests.
PensioPlus continue de soutenir ses membres dans ce processus difficile. Grâce à des outils pratiques, des formations et des conseils ciblés, PensioPlus veille à ce que le secteur soit prêt pour l'avenir numérique. Ainsi les fonds de pension belges seront conformes à la loi DORA, résilientes sur le plan numérique et prêtes pour l'avenir.