Un accord ANSSI ACPR pour structurer la cybersécurité financière autour de DORA
Signé le 10 juillet 2024, l’accord ANSSI ACPR Banque de France sur la cybersécurité financière DORA marque un tournant discret mais décisif pour le secteur financier en France. En alignant la directive NIS2 et le règlement DORA, l’Autorité de contrôle prudentiel et de résolution, l’Agence nationale de la sécurité des systèmes d’information et la Banque de France créent un socle commun pour toutes les entités financières supervisées. Pour un RSSI, cet accord signifie que la gestion des risques numériques, la résilience opérationnelle et le traitement des incidents cyber ne pourront plus être pilotés séparément entre conformité et technique, à l’approche de l’échéance DORA du 17 janvier 2025.
Les signataires – Vincent Strubel, directeur général de l’ANSSI, Emmanuelle Assouan, sous-gouverneure de la Banque de France et présidente de l’ACPR, et Denis Beau, premier sous-gouverneur de la Banque de France – assument une convergence explicite entre supervision prudentielle et cybersécurité opérationnelle. Dans leur communiqué conjoint, ils soulignent que « la résilience numérique du secteur financier est désormais un enjeu systémique qui appelle une action coordonnée des autorités ». L’accord formalise quatre axes : partage renforcé sur les incidents cyber et les cybermenaces, contrôles coordonnés et assistance mutuelle, gestion de crise conjointe, et montée en puissance des tests de type TLPT, ces tests de résilience pilotés par la menace exigés par le règlement DORA. Concrètement, les entités financières devront démontrer une gestion des risques TIC intégrée, un registre des informations critiques à jour et une résilience opérationnelle numérique mesurable, sous le regard croisé de l’ANSSI et de l’ACPR Banque, avec un suivi documenté et opposable.
Le message est clair pour tout le secteur financier et au-delà : la conformité DORA ne sera pas un simple exercice documentaire, mais un chantier d’architecture des systèmes d’information et des services TIC. Les entités devront articuler leurs politiques de gestion des incidents, leurs plans de continuité et leurs capacités de supervision cyber avec les attentes de l’Autorité de contrôle prudentiel, de l’ACPR AMF pour les acteurs de marché et de l’ANSSI pour la protection des systèmes d’information d’importance vitale. À court terme, cela implique de planifier la mise en conformité d’ici l’entrée en application complète de DORA, de définir des jalons internes de revue des risques TIC au moins trimestriels et de prévoir des exercices de crise annuels avec les autorités. Cet accord ANSSI ACPR cybersécurité financière DORA devient ainsi un précédent pour d’autres secteurs régulés, où la réglementation DORA et la directive NIS2, applicable au plus tard en octobre 2024, inspirent déjà des schémas similaires.
Contrôles croisés, signalement au CERT-FR et nouveaux tests TLPT pour les entités financières
Pour les RSSI des banques, des assurances et des autres entités financières, la principale rupture vient des contrôles croisés ANSSI ACPR et du renforcement des obligations de signalement au CERT-FR. Une entité financière qui subit un incident cyber majeur sur ses systèmes d’information ou ses services TIC devra s’attendre à une analyse conjointe des autorités, avec une exigence accrue sur la qualité du registre des informations, la traçabilité des décisions de gestion des risques TIC et la cohérence des plans de résilience opérationnelle. Dans la pratique, cela suppose de pouvoir qualifier un incident significatif en quelques heures, d’alerter le CERT-FR dans les délais prévus par DORA et NIS2 (notification initiale en 24 heures, rapport détaillé sous 72 heures), puis de documenter les mesures de remédiation dans un rapport consolidé. Le secteur financier français bascule ainsi vers une supervision plus proactive, où les incidents deviennent des cas d’école pour ajuster la réglementation DORA et les pratiques de gestion de crise, avec des retours d’expérience formalisés.
Les tests TLPT, pour Threat Led Penetration Testing, constituent l’autre changement structurel pour la résilience opérationnelle numérique des entités. Contrairement aux tests de pénétration classiques, souvent limités à un périmètre technique, ces tests de résilience pilotés par la menace simulent des scénarios d’attaque réalistes sur des chaînes complètes de services TIC, incluant les prestataires TIC critiques et les dépendances interbancaires. Un scénario type peut, par exemple, cibler la chaîne de paiement de détail, depuis le front digital jusqu’aux systèmes de compensation, en intégrant un fournisseur cloud critique et un opérateur de télécommunications, ou encore une attaque par rançongiciel sur un système de règlement brut en temps réel. Pour un groupe bancaire ou une entreprise d’assurance, cela implique de cartographier finement les systèmes d’information, de prioriser les actifs financiers critiques et de coordonner les prestataires externes dans une logique de tests de résilience répétés, avec un cycle pluriannuel de TLPT sur les fonctions essentielles.
Le règlement DORA impose que ces tests TLPT soient menés par des équipes qualifiées, encadrées par un cadre de conformité DORA harmonisé au niveau européen, ce qui réduit la marge d’interprétation locale. En France, l’accord ANSSI ACPR cybersécurité financière DORA garantit que les résultats de ces tests de résilience seront exploités conjointement par l’Autorité de contrôle prudentiel et l’ANSSI, avec un impact direct sur les plans de remédiation et sur la gestion des risques TIC des entités financières. Les autorités s’attendent à ce que les principales vulnérabilités identifiées fassent l’objet de plans d’action priorisés, avec des échéances de correction explicites et un suivi en comité de risques. Les RSSI devront aussi articuler ces exigences avec d’autres cadres, comme les référentiels SecNumCloud pour les données sensibles de l’État, déjà détaillés dans l’analyse sur le décret SecNumCloud et les migrations en dix-huit mois, afin d’éviter les incohérences contractuelles et techniques.
Un signal pour tous les secteurs régulés : vers une résilience opérationnelle numérique intersectorielle
Au-delà des banques et des assurances, cet accord ANSSI ACPR cybersécurité financière DORA envoie un signal direct aux autres secteurs régulés en France, de l’énergie au transport en passant par la santé. La logique est transposable : articulation entre une autorité de contrôle sectorielle, une agence nationale de cybersécurité et un cadre européen qui fusionne gestion des risques TIC, résilience opérationnelle et supervision des prestataires TIC. Les directions cybersécurité des opérateurs d’importance vitale voient se dessiner un modèle où la résilience n’est plus un supplément de conformité, mais un critère de solidité financière et de continuité d’activité, avec des indicateurs de performance et de risque partagés avec les autorités.
Pour les RSSI, la leçon est simple : il faut traiter la réglementation DORA et la directive NIS2 comme un même chantier de transformation, qui touche la gouvernance, les contrats avec les prestataires TIC et la conception des systèmes d’information. Concrètement, cela passe par la désignation d’un responsable de la résilience opérationnelle numérique, la mise à jour systématique des clauses de sécurité dans les contrats d’externalisation et l’intégration des exigences DORA dans les comités projets. Les entités devront renforcer leur gouvernance des services TIC, structurer un registre des informations critiques exploitable en temps de crise et industrialiser la gestion des incidents cyber, avec des scénarios de crise partagés avec les autorités. Cette approche rejoint les exigences d’autres cadres comme ISO 27001, dont le coût réel et le calendrier sont analysés dans l’étude sur la certification ISO 27001 et ses variables sous-estimées, et peut être traduite en mini-checklist opérationnelle pour les équipes.
La montée en puissance de la supervision proactive impose aussi de clarifier les responsabilités internes, du comité des risques au comité d’audit, en passant par la direction juridique et la direction des systèmes d’information. Les RSSI devront sécuriser des mandats clairs pour la gestion des risques TIC, la résilience opérationnelle numérique et la conformité DORA, en s’appuyant sur des chartes internes robustes, comme celles détaillées dans l’analyse sur la charte IA en entreprise et les clauses souvent oubliées. À moyen terme, les conseils d’administration devront intégrer la résilience numérique dans leur appétence au risque, avec des indicateurs de performance et des seuils d’alerte formalisés. Dans ce contexte, l’accord ANSSI ACPR Banque de France devient un précédent structurant, où la réglementation DORA, la directive NIS2 et la supervision nationale convergent pour redéfinir la cybersécurité financière et, demain, la cybersécurité de tout le numérique de secteur, avec pour les RSSI une feuille de route claire : cartographie des actifs critiques, plan de tests TLPT, procédures de notification CERT-FR et gouvernance de crise alignée sur les attentes des autorités.