Ne reconstruisez pas votre registre DORA chaque année

Les exigences de DORA reposent sur 5 piliers principaux : la gestion des risques liés aux TIC, la notification des incidents liés aux TIC, les tests de résilience opérationnelle numérique, la gestion des risques liés aux prestataires tiers de services TIC, le partage d'informations et de renseignements.

Les normes techniques de réglementation (RTS – Regulatory Technical Standards) et les normes techniques d'exécution (ITS – Implementing Technical Standards) apportent aux entreprises une aide concrète pour mettre en œuvre les exigences et les dispositions du règlement DORA. Les RTS sont des normes techniques contraignantes. Elles précisent les exigences énoncées dans DORA et déterminent la manière dont celles-ci doivent être appliquées dans la pratique. Les ITS complètent les RTS en détaillant les instructions précises de mise en œuvre ainsi que les processus nécessaires pour répondre aux exigences des RTS. Tout comme les RTS, le respect des ITS est obligatoire.

Les autorités européennes de surveillance (AES) sont responsables de l'élaboration de ces deux normes ; elles se composent de l'Autorité bancaire européenne (ABE / EBA), de l'Autorité européenne des marchés financiers (AEMF / ESMA) et de l'Autorité européenne des assurances et des pensions professionnelles (AEAPP / EIOPA).

Les RTS et ITS suivants ont été publiés jusqu'à présent :

• ITS établissant les modèles pour le registre d'informations (Art. 28.9)

• RTS sur le cadre de gestion des risques liés aux TIC (Art. 15)

• RTS sur le cadre simplifié de gestion des risques liés aux TIC (Art. 16)

• RTS sur les critères de classification des incidents majeurs liés aux TIC (Art. 18.3)

• RTS précisant la politique relative aux services TIC (Art. 28.10)

• ITS établissant les formulaires, modèles et procédures pour la notification des incidents majeurs liés aux TIC (Art. 20.b)

• RTS précisant le contenu et les délais de notification pour les incidents majeurs liés aux TIC (Art. 20.a)

• RTS précisant les tests de pénétration fondés sur les menaces (Art. 26.11)

• RTS précisant les éléments relatifs à la sous-traitance de fonctions critiques ou importantes (Art. 30.5)

• RTS précisant les informations relatives à la conduite de la surveillance (Art. 41)

Registre d'informations : « L'ensemble des informations recueillies qui prouve aux autorités que l'organisation est en conformité avec DORA. »

Le RoI exige des informations sur : les fonctions opérationnelles (fonctions critiques fournies par les entités financières), les services TIC (systèmes) qui soutiennent ces fonctions opérationnelles, les prestataires de services TIC (fournisseurs) qui fournissent ces services, y compris leur chaîne d'approvisionnement (sous-traitants), les accords contractuels (contrats).

• Fonctions opérationnelles (fonctions critiques fournies par les entités financières)

• Services TIC (systèmes) qui soutiennent ces fonctions opérationnelles

• Prestataires de services TIC (fournisseurs) qui fournissent les services

• Y compris leur chaîne d'approvisionnement (sous-traitants)

• Accords contractuels (contrats)

Formalize automatise le processus de reporting en validant les données dès leur saisie, afin de répondre aux difficultés courantes telles que les champs obligatoires manquants et les identifiants uniques. En s'appuyant sur des outils avancés de validation et de détection des erreurs, Formalize garantit que vos soumissions respectent les normes réglementaires, sans les pièges inhérents aux processus manuels. De plus, la plateforme évolutive de Formalize est conçue pour s'adapter aux évolutions réglementaires, garantissant ainsi la pérennité de votre processus de conformité. Cette flexibilité est essentielle pour répondre aux exigences itératives définies par les AES.