En synthèse, le Règlement DORA va imposer aux entités financières de l’UE d’organiser leur résilience face aux risques de panne informatique et de cyber attaque.

Pour déchiffrer DORA et savoir ce qu’il va falloir faire, concrètement, posons-nous un instant et voyons ce que signifient le terme « risque » et la notion d’ « analyse des risques » .

L’épisode #02 de cette série n’est pas anodin, dans la mesure où beaucoup de professionnel(le)s, notamment de l’informatique, de la banque ou de l’assurance, voient relativement bien ce que sont les risques qui pèsent sur leur métiers respectifs.

Le problème, ce sont les juristes, qui ne savent pas ce que signifie un « risque » en droit, ni surtout comment le « traiter » .

Comprenons-nous bien : nous, les juristes, avons été nourris avec la dichotomie « obligation de moyens » vs « obligation de résultat » . Et sur ce point, nous en sommes toujours à une conception de type Code Napoléon version 1804, car la réforme de 2016 du droit des contrats n’a rien changé (soupir).

Un professionnel qui souscrit une obligation contractuelle de « moyens » s’engage à faire de son mieux pour accomplir la prestation à sa charge. S’il y a risque que la prestation soit mal rendue, c’est au client, bénéficiaire de la prestation, de prouver que le prestataire professionnel n’a pas « fait le job ». Le risque pèse donc sur le client.

A l’inverse, le professionnel qui souscrit une obligation contractuelle « de résultat » DOIT accomplir ce qui est prévu, quels que soient les aléas rencontrés (ce qui est extrêmement risqué). Le simple constat de la non-perfection de l’accomplissement d’une prestation rend donc le prestataire coupable / fautif / etc. C’est donc lui qui supporte les risques de réalisation imparfaite de la prestation. 

Hélas, de nos jours, surtout en matière informatique, les choses ne peuvent plus se penser ainsi, en tout cas « dans la vraie vie » . Pour DORA, comme en application de NISv2 ou du RGPD, l’obligation consiste à être à « l’état de l’art » . [mise à jour du 24/10/2023 : et ce qui se rapproche le plus juridiquement de cette notion d’état de l’art, c’est l’obligation de moyens renforcée, avec charge de la preuve positive et documentée sur le prestataire / débiteur de l’obligation].

Et  cet état de l’art s’apprécie au cas par cas, selon que les risques identifiés ont été correctement « traités » (ou pas). 

Pour le dire autrement, être à l’état de l’art signifie que l’on n’a pas été négligent, par exemple dans le déploiement de mesures techniques de sécurité numérique. Et cette négligence est appréciée concrètement, là encore au cas par cas, par les autorités de contrôle (ANSSI, CNIL, APCR, AMF, etc.).

Cette compréhension, forcément sommaire, des notions de « risque » et d’ « analyse de risques » nous parait essentielle pour celles et ceux qui vont avoir la charge de concevoir les politiques de sécurité imposées par DORA, ainsi que pour celles et ceux qui devront implémenter l’ensemble des mesures de sécurité ou rédiger les contrats avec les prestataires sous-traitants.

D’ailleurs, dans notre épisode « déchiffrer DORA #01« , la protection des « Actifs de TIC » et des « Actifs Informationnels » s’entend « après analyse des risques » qui pèsent sur eux…