La supervision sous DORA repose sur une architecture à plusieurs niveaux, où chaque acteur joue un rôle précis et complémentaire. Cette organisation reflète la complexité du système financier moderne tout en garantissant une supervision efficace et harmonisée à l’échelle européenne.
Les Autorités Compétentes : La Pierre Angulaire de la Supervision
Les autorités compétentes constituent le premier niveau de cette architecture. Désignées par chaque État membre, elles assurent la supervision directe des entités financières établies sur leur territoire. Leur rôle s’étend de la surveillance quotidienne à l’application des sanctions en cas de non-conformité.
En France, par exemple, l’Autorité de Contrôle Prudentiel et de Résolution (ACPR) supervise les banques et les assureurs, tandis que l’Autorité des Marchés Financiers (AMF) veille sur les acteurs des marchés financiers. Cette répartition des compétences se retrouve dans d’autres pays européens, comme en Allemagne avec la BaFin, qui centralise la supervision de l’ensemble du secteur financier, ou en Italie, où la Banque d’Italie et la CONSOB se partagent les responsabilités de supervision.
Le Superviseur Principal : Un Chef d’Orchestre à l’Échelle Européenne
Au cœur de ce dispositif se trouve le superviseur principal, une innovation majeure introduite par DORA. Désigné par les Autorités Européennes de Surveillance (AES), il endosse la responsabilité cruciale de superviser directement les prestataires de services tiers critiques (PSTC). Son rôle dépasse la simple surveillance : il coordonne les actions de supervision à l’échelle européenne et assure la cohérence des pratiques entre les différents États membres.
Le superviseur principal dispose d’un arsenal complet de pouvoirs pour mener à bien sa mission. Il peut conduire des enquêtes approfondies, réaliser des inspections sur site, et formuler des recommandations contraignantes. Ces prérogatives s’accompagnent de la capacité à imposer des astreintes significatives en cas de non-conformité, pouvant atteindre jusqu’à 1% du chiffre d’affaires quotidien moyen du PSTC concerné.
Les Autorités Européennes de Surveillance : Garantes de l’Harmonisation
Les AES – l’Autorité Bancaire Européenne (ABE), l’Autorité Européenne des Marchés Financiers (AEMF) et l’Autorité Européenne des Assurances et des Pensions Professionnelles (AEAPP) – complètent cette architecture. Elles jouent un rôle essentiel dans l’harmonisation des pratiques de supervision à l’échelle européenne et dans la coordination des actions entre les différentes autorités nationales.
La Coopération : Clé de Voûte du Système
La force de cette architecture réside dans les mécanismes de coopération qu’elle instaure. Les articles 47 et 48 du règlement DORA définissent un cadre précis pour la collaboration entre les différentes autorités. Cette coopération se matérialise par des échanges réguliers d’informations, une coordination des actions de supervision, et une réponse concertée aux incidents majeurs.
Le groupe de coopération institué par la directive NIS2 joue également un rôle important dans cette dynamique collaborative. Il facilite les échanges d’informations sur les risques liés aux TIC et permet une coordination efficace entre les secteurs financiers et non financiers. Cette approche transversale s’avère particulièrement pertinente face à des menaces cyber qui ne connaissent pas de frontières sectorielles.
Mécanismes de Supervision : Une Approche Multidimensionnelle
La Supervision des Prestataires de Services Tiers Critiques
La supervision des PSTC représente l’une des innovations majeures du règlement DORA. Le dispositif mis en place combine rigueur et pragmatisme, avec un ensemble d’outils permettant une supervision efficace et proportionnée.
Le superviseur principal dispose d’un arsenal complet de moyens d’action. Les articles 35 à 38 lui confèrent notamment le pouvoir de mener des enquêtes approfondies, de réaliser des inspections sur site, et de formuler des recommandations contraignantes. Ces prérogatives s’accompagnent de la possibilité d’imposer des astreintes significatives, pouvant atteindre jusqu’à 1% du chiffre d’affaires quotidien moyen du PSTC concerné.
Les PSTC sont tenus de coopérer pleinement avec le superviseur principal. Cette coopération se traduit par la fourniture d’informations complètes et précises, l’accès aux locaux et systèmes lors des inspections, et la mise en œuvre des recommandations formulées. En cas de refus de suivre ces recommandations, les PSTC doivent fournir une justification circonstanciée de leur position.
Le Financement de la Supervision
Le règlement DORA introduit un mécanisme de financement innovant à travers l’article 43. Les PSTC sont tenus de participer au financement des activités de supervision par le biais de redevances proportionnelles à leur chiffre d’affaires. Ce système assure l’indépendance et la pérennité du dispositif de supervision, tout en garantissant une répartition équitable des coûts entre les acteurs supervisés.
La Dimension Internationale
L’article 44 étend la portée de la supervision au-delà des frontières de l’Union européenne. Le superviseur principal peut conclure des accords de coopération avec les autorités de pays tiers, permettant ainsi une supervision efficace des PSTC établis hors de l’UE. Cette dimension internationale s’avère cruciale dans un contexte où les services numériques ne connaissent pas de frontières.
La Réponse aux Incidents : Une Approche Coordonnée
Exercices et Gestion de Crise
L’article 49 institue un cadre ambitieux pour le test et l’amélioration continue du dispositif de supervision. Les autorités compétentes, en collaboration avec les AES et d’autres organismes comme la BCE et l’ENISA, organisent régulièrement des exercices de gestion de crise. Ces exercices permettent de tester la résilience du secteur financier face aux cybermenaces, d’identifier les vulnérabilités communes, de renforcer la coordination entre les différents acteurs, et d’évaluer les interdépendances avec d’autres secteurs économiques.
Sanctions et Mesures Correctives
Les articles 50 à 54 définissent un régime de sanctions administratives et de mesures correctives à la fois robuste et proportionné. Les autorités compétentes disposent d’une palette d’outils pour assurer le respect du règlement, allant des inspections et enquêtes approfondies aux sanctions pécuniaires dissuasives, en passant par la possibilité d’exiger la résiliation des contrats avec les PSTC non conformes.
L’objectif de ce dispositif n’est pas tant de punir que d’encourager une amélioration continue des pratiques en matière de résilience opérationnelle.