DORA s’applique-t-il à la finance suisse ?

L’article 2 de DORA énumère les entités financières concernées : établissements de crédit, établissements de paiement et de monnaie électronique, entreprises d’investissement, prestataires de services sur crypto-actifs, entreprises d’assurance et de réassurance, gestionnaires de fonds, plateformes de négociation et d’autres, toutes agréées selon le droit de l’UE. Il s’applique depuis le 17 janvier 2025. La Suisse n’a pas adopté DORA, et la FINMA surveille les établissements suisses selon le droit suisse.

• Filiales dans l’UE. La filiale d’une banque suisse agréée au Luxembourg, en France ou dans un autre État membre est une entité financière au sens de DORA et l’applique en entier, registre d’informations et notification des incidents majeurs compris.
• Prestataires TIC. Un prestataire suisse de services TIC pour des entités financières européennes n’est pas surveillé au titre de DORA, mais ses clients doivent intégrer les clauses contractuelles de l’article 30 et l’inscrire dans leur registre d’informations selon l’article 28. Attendez-vous à des droits d’audit, des plans de sortie et des clauses de coopération en cas d’incident.
• Prestataires critiques. Un prestataire TIC d’un pays tiers désigné comme critique selon l’article 31 doit créer une filiale dans l’UE dans les 12 mois suivant sa désignation, faute de quoi les entités financières européennes ne peuvent plus recourir à ses services.

La circulaire FINMA 2023/1 sur les risques opérationnels et la résilience, en vigueur depuis le 1er janvier 2024, fixe les attentes de la FINMA envers les banques et maisons de titres sur les risques TIC et cyber, les données critiques, la continuité et la résilience opérationnelle. La communication sur la surveillance FINMA 03/2024 précise comment les établissements surveillés signalent les cyberattaques : dans les 24 heures suivant la découverte, puis un rapport complet dans les 72 heures. Beaucoup de thèmes rejoignent DORA, mais les textes, les délais et les autorités diffèrent. Voir DORA et circulaire FINMA 2023/1 : différences.

Dans Acuna GRC, vous adoptez DORA et la FINMA côte à côte dans Comply et rattachez chacun aux entités juridiques concernées grâce aux périmètres. Les mesures communes sont reliées entre référentiels : une mesure compte pour chaque exigence qu’elle couvre. L’analyse d’impact sur l’activité contient le RTO, le RPO et la MTPD de chaque processus avec les fournisseurs dont il dépend, et le registre des tiers garde le classement et la chaîne d’approvisionnement pour les deux régimes. Voir le logiciel de conformité FINMA.