DORA et circulaire FINMA 2023/1 : différences

DORA (règlement (UE) 2022/2554) s’applique depuis le 17 janvier 2025 aux entités financières agréées dans l’UE, avec des normes techniques de réglementation qui fixent modèles et seuils. La circulaire FINMA 2023/1 Risques opérationnels et résilience, en vigueur depuis le 1er janvier 2024, précise comment la FINMA applique le droit suisse aux banques et maisons de titres. Elle repose sur des principes et s’adapte à la catégorie de surveillance de l’établissement. Les assureurs ne sont pas destinataires de la circulaire 2023/1.

• Notification des incidents. DORA demande une notification initiale dans les 4 heures suivant la classification d’un incident TIC majeur et au plus tard 24 heures après en avoir pris connaissance, un rapport intermédiaire dans les 72 heures et un rapport final dans un délai d’un mois. La communication FINMA 03/2024 demande un premier signalement d’une cyberattaque dans les 24 heures et un rapport complet dans les 72 heures.
• Registre des tiers. DORA impose un registre d’informations sur tous les accords contractuels de services TIC, selon un modèle standard (article 28). La FINMA n’a pas de modèle équivalent ; l’externalisation de fonctions significatives suit la circulaire FINMA 2018/3 Outsourcing.
• Tests. DORA impose des tests de pénétration fondés sur la menace au moins tous les trois ans aux entités désignées par leur autorité (article 26). La circulaire 2023/1 attend des analyses de vulnérabilité, des tests d’intrusion et des exercices fondés sur des scénarios, sans régime TLPT.
• Prestataires. DORA place les prestataires TIC critiques sous une surveillance européenne directe. La FINMA surveille l’établissement, qui reste responsable de ce qu’il externalise.

Les deux demandent à l’établissement de connaître ses fonctions critiques, les processus, données et prestataires qui les portent, la durée de perturbation tolérable et la façon de reprendre. Les deux attendent que l’organe de direction approuve le cadre, que les incidents soient classés et traités et que les contrôles soient testés. Une banque qui a fait le travail pour l’un dispose en général de l’essentiel des preuves pour l’autre.

Dans Acuna GRC, vous adoptez DORA et la FINMA côte à côte dans Comply. Les mesures communes sont reliées entre référentiels, et les correspondances listent les exigences de chacun qu’aucune mesure ne couvre encore. L’analyse d’impact sur l’activité enregistre le RTO, le RPO et la MTPD de chaque processus et les fournisseurs dont il dépend, l’analyse des points de défaillance uniques montre les dépendances partagées, et les incidents sont des constats avec une chronologie datée. Voir le logiciel de conformité FINMA et le logiciel de conformité DORA.