DORA Article 9 : Gestion des risques TIC

L'article 9 du règlement DORA (UE 2022/2554) impose aux entités financières un cadre formalisé de gestion des risques liés aux technologies de l'information et de la communication, incluant gouvernance, identification, protection, détection, réponse, récupération, apprentissage, communication. Il exige une revue au moins annuelle de la politique TIC par l'organe de direction. Les contrôles spécifiques (Articles 11 à 14) couvrent protection physique et logique, gestion des changements, sauvegarde, restauration. Sanctions ACPR jusqu'à 1 % du chiffre d'affaires journalier en cas de manquement systémique. Ce que l'article demande, et ce qu'il ne demande pas : il n'impose ni algorithme, ni longueur de clé, ni fournisseur. Il exige une politique de chiffrement écrite, fondée sur une analyse de risque, et surtout la capacité à démontrer que les choix faits sont proportionnés et régulièrement réexaminés. Cette approche par le risque déroute les équipes habituées à une liste de contrôles : il n'y a pas de case à cocher, il y a une démonstration à produire. Les trois états de la donnée sont traités distinctement. Au repos et en transit, les attentes sont établies. En cours d'utilisation, c'est-à-dire en mémoire vive, le texte reconnaît que l'état de l'art ne permet pas encore une protection généralisée, ce qui laisse une marge d'appréciation que les superviseurs commencent à explorer. Le point qui coûte le plus cher en pratique n'est pas technique mais documentaire : l'article 9 se lit avec l'article 28, qui impose de tenir un registre d'information des prestataires TIC. Une entité qui chiffre correctement mais ne sait pas produire, pour chacun de ses fournisseurs, sa localisation, ses sous-traitants et ses conditions de réversibilité, se retrouve en défaut sur la partie la plus visible du contrôle. C'est cette exigence, plus que la cryptographie elle-même, qui remonte aujourd'hui vers les éditeurs sous forme de questionnaires.