
14/03/2025
Réservé aux membres
La réglementation sur DORA continue d'évoluer. Qu'il s'agisse de nouvelles directives sur le registre d'informations, d'importantes mises à jour concernant les rapports d'incidents TIC, ou encore des derniers développements concernant les fournisseurs de services TIC critiques et la sous-traitance : découvrez en un coup d'œil ce qui change, où vous devez agir et comment vous préparer à temps. De cette façon, vous restez non seulement informé, mais aussi conforme.
Contenu
1. ROI
2. Signalement des incidents informatiques graves et des cybermenaces.
3. Communication de contact
4. TLPT.
5. RTS sur la sous-traitance.
6. Désignation de fournisseurs de services tiers TIC critiques (CTTP)
ROI
Le 14 février 2018, les AES ont publié une FAQ pour répondre aux questions relatives à la déclaration du registre d'information. Ce document aborde, entre autres : le niveau de consolidation du reporting, le processus de reporting, le modèle de données utilisé, etc.
Le 11 mars, la FSMA a également préparé une communication visant à soutenir les entités financières dans l'établissement et la soumission du registre d'informations. Le document fait référence aux développements informatiques en cours au sein des AES et de la FSMA, de sorte que l'explication se limite aux points les plus importants pour le moment. Toutefois, cela devrait permettre aux entités financières de faire les préparatifs nécessaires. Le document sera mis à jour dans les semaines à venir.
Signalement des incidents informatiques graves et des cybermenaces
Le 20 février, la RTS et l' ITS sur le signalement des incidents graves ont été publiées au Journal officiel.
La FSMA a récemment publié sur son site internet un document d'accompagnement relatif à la déclaration des incidents graves et des cybermenaces.
Communication de contact
Le 17 janvier, la FSMA a envoyé un courriel aux entités financières sous sa surveillance concernant les résultats de la 2e enquête de sensibilisation qu'elle a lancée en octobre 2024. Dans ce courriel, la FSMA a également demandé à communiquer les personnes de contact de l'entité dans le cadre de la notification des incidents ICT et des cybermenaces.
Dans son message du 11 mars, la FSMA demande désormais que d'éventuelles personnes de contact supplémentaires soient ajoutées pour la notification des incidents et des cybermenaces, via dora@fsma.be. L'inscription de ces personnes dans les systèmes de la FSMA est importante, car elles ont accès à FiMiS pour la soumission du registre d'informations.
TLPT
Le 13 février 2018, la Commission a adopté les normes d'utilisation des TLPT. Ce texte ne modifie pas substantiellement le projet de RTS que les AES ont envoyé en juillet 2024. Toutefois, les annexes aux projets de normes techniques de réglementation sont absentes du texte adopté.
Compte tenu des critères utilisés pour évaluer si les entités financières devraient effectuer un tel test, qui sont liés, entre autres, au profil de risque et au degré de nature systémique des entités, nous ne nous attendons pas à ce que les IRP soient tenues de réaliser des TLPT.
Le texte en question fait actuellement l'objet d'un examen de trois mois.
RTS sur la sous-traitance
Le 7 mars, les AES ont rendu un avis sur le rejet par la Commission européenne du projet de RTS sur la sous-traitance. Dans le présent avis, les AES souscrivent au raisonnement de la Commission et confirment que les modifications proposées, en particulier la suppression des dispositions relatives à la surveillance de la chaîne de sous-traitance (telles qu'énoncées à l'article 5 et au considérant 5 du projet de RTS), sont incluses dans la dernière version des RTS. Les AES soulignent également qu'elles n'ont pas apporté de modifications supplémentaires au texte.
La Commission va maintenant réexaminer les normes révisées en vue de les adopter dès que possible. Une fois adopté, le projet de décision sera examiné par le Conseil et le Parlement européen pendant trois mois.
Désignation de fournisseurs de services tiers TIC critiques (CTTP)
Le 18 février, les AES ont préparé une feuille de route pour la désignation des CCPP, soulignant qu'elles désigneront les CTTP d'ici juillet 2025 sur la base du reporting au titre du ROI transmis par les entités financières.
Cordialement,
L'équipe PensioPlus