Le Parlement européen a entamé ses travaux sur la loi sur la résilience opérationnelle numérique (‘Digital Operational Resilience Act’ ou DORA), présentée par la Commission européenne en septembre (EUROPE 12567/4).
Dans son projet de rapport publié le 17 mars, le député Billy Kelleher (Renew Europe, irlandais), plaide en faveur d’un cadre qui soit proportionnel aux risques et qui ne décourage pas la poursuite de la numérisation des services financiers dans l'UE.
La proposition de loi vise à accroître et à tester les capacités des acteurs financiers en matière de gestion des risques, à soumettre les prestataires de services technologiques considérés comme systémiques à des exigences prudentielles harmonisées et à faciliter la notification (reporting) d'incidents.
Du point de vue du rapporteur, le nouveau cadre doit être assez souple pour prendre en compte les nouveaux services et modèles d'entreprise qui pourraient apparaître dans un avenir proche.
Celui-ci ne doit pas non plus entraver la compétitivité des entités couvertes ni l’attractivité de l’UE, qui doit se positionner comme un acteur clé sur la scène numérique, estime M. Kelleher.
Pour prendre en compte ces préoccupations, le projet de texte introduit plusieurs modifications du champ d’application. Il exclut notamment les petites et moyennes entreprises d'assurance et de réassurance ainsi que les cabinets d'audit et les contrôleurs légaux des comptes de petite et moyenne taille.
Le texte modifie également la structure du nouveau cadre de surveillance des fournisseurs de services technologiques considérés comme systémiques ('critical ICT third-party service providers').
Le rapporteur propose en outre de fusionner les rôles du « forum de supervision », institué par le comité mixte des Autorités européennes de supervision financière (AES), et de « surveillant principal » au sein d’un seul « organe exécutif de surveillance conjoint » chargé de la surveillance quotidienne de ces fournisseurs et de préparer les projets de positions et décisions communes. Par ailleurs, une des AES serait désignée comme responsable pour l'adoption légale des décisions pour chaque fournisseur.
Pour le reste, la majorité des pouvoirs que la Commission proposait de conférer à ces organes, y compris celui de mener des inspections sur place, ont été maintenus. Toutefois, certaines garanties ont été mises en place pour assurer la confidentialité et une perturbation minimale des clients non soumis au règlement, explique le rapporteur.
La possibilité pour les entités financières de faire appel à des fournisseurs de services technologiques considérés comme systémiques de pays tiers a par ailleurs été clarifiée. Le texte autorise cela à condition que les fournisseurs du pays tiers aient une entité juridique dans l'UE et que le fournisseur et l'entité financière aient conclu des arrangements contractuels.
Alignement des législations existantes
Le projet de rapport sur la directive qui introduit des changements ciblés aux législations européennes afin de les aligner avec le règlement ‘DORA’ a également été publié, le 18 mars.
Son auteur, le député Mikuláš Peksa (Verts/ALE, tchèque), propose d’ajouter deux modifications supplémentaires par rapport à la proposition de la Commission, notamment une modification de la directive ‘BRRD’ sur la résolution bancaire afin de donner un mandat à l’ABE pour mettre à jour les normes réglementaires à la lumière de ce nouveau cadre sur la résilience opérationnelle numérique.
Le rapporteur propose par ailleurs de ne pas attendre une future proposition de la Commission et de modifier dès maintenant la directive ‘anti-blanchiment d’argent’ pour préciser que les contrôles et politiques internes mis en place par les entités obligées doivent être conformes au règlement 'DORA'.
M. Peksa soutient la proposition de la Commission de modifier la directive ‘MIFID’ pour préciser que la définition d'instrument financier peut également inclure les instruments basés sur la technologie des registres distribués (‘Distributed Ledger Technology’ ou DLT) lorsqu'ils peuvent être qualifiés d'instruments financiers.
Il estime néanmoins que les critères et les conditions de qualification d'un cryptoactif devraient être précisés par des normes techniques élaborées par l’Autorité européenne des marchés financiers (ESMA).
Voir le projet de rapport ‘Kelleher’ : https://bit.ly/31ea8LI et le projet de rapport ‘Peksa’ : https://bit.ly/3vRsPTo (Marion Fontana)