La commission des affaires économiques du Parlement européen a arrêté, mercredi 1er décembre, sa position de négociation avec le Conseil de l'Union européenne relative à la proposition de règlement 'DORA', qui vise à prévenir et atténuer les risques cyber auxquels le secteur financier peut être exposé.
Le règlement fixe des obligations pour les entités financières (banques, sociétés d'investissement, fournisseurs de cryptoactifs, cabinets d'audit) afin qu'elles soient en mesure de détecter et de résister à tous les types de risques liés aux technologies de l'information et de la communication (TIC). Ont été exclus du champ d'application du texte législatif, à la demande des groupes PPE et Renew Europe, les compagnies d'assurance et les fonds de pension de petite taille tandis que la Commission européenne devra évaluer l'opportunité d'inclure les opérateurs de systèmes de paiement.
Parmi les obligations qui incomberont aux acteurs financiers figurent : - la création d'une fonction interne dédiée aux risques cyber liés aux TIC ; - l'obligation pour les entités de vérifier que les sociétés tierces à qui elles confient des tâches informatiques gèrent les risques liés aux TIC conformément aux dispositions du règlement ; - l'obligation de conserver une trace de tous les incidents liés aux TIC ayant un impact sur la continuité et la qualité de leurs services financiers.
En matière de transparence, les entités financières devront au moins communiquer sur les incidents majeurs auxquels elles ont dû faire face. La Commission sera chargée d'étudier la faisabilité de créer un registre européen centralisant les incidents détectés liés aux TIC.
Le règlement 'DORA' établit également un cadre de surveillance pour les fournisseurs de services liés aux TIC auxquels les entités financières délèguent certaines activités, tel que le 'cloud computing'.
Soutenu par les groupes S&D et La Gauche, un amendement du groupe Verts/ALE établissant des exigences minimales pour les fournisseurs de services TIC tiers considérés comme critiques a néanmoins été rejeté (21 voix pour, 27 contre, 5 abstentions), bien que les autorités européennes de supervision aient alerté les députés sur les lacunes de la proposition législative initiale.
Le rapporteur, Billy Kelleher (Renew Europe, irlandais), serait partisan d'inclure cette question dans les négociations avec le Conseil, alors que la position de négociation des États membres, finalisée la semaine dernière, n'inclut pas de telles dispositions (EUROPE 12841/2). (Mathieu Bion)