Règlement de Résilience Opérationnelle Numérique (DORA) et assurance

• Connaître le dispositif réglementaire DORA et intégrer les nouveaux enjeux de supervision.
• Identifier les principaux impacts pour les organismes d’assurance par rapport aux règlementations existantes.
• Se préparer à ces nouvelles exigences et aux attentes particulières de l’ACPR en la matière.
• S’appuyer sur les meilleures pratiques de place.

1ENJEUX ET CONTEXTE REGLEMENTAIRE

1

Enjeux du risque cyber pour les organismes d’assurance.

Risque opérationnel et résilience opérationnelle numérique : quelles relations ?

Contexte réglementaire relatif au règlement DORA :

• Principales définitions.
• Périmètre des entités concernées.
• Présentation synthétique des obligations : gestion du risque informatique, des incidents informatiques, tests de résilience et gestion du risque de tiers (sous-traitance).
• Calendrier d’application.

• Principales définitions.
• Périmètre des entités concernées.
• Présentation synthétique des obligations : gestion du risque informatique, des incidents informatiques, tests de résilience et gestion du risque de tiers (sous-traitance).
• Calendrier d’application.

Lien et interactions avec les réglementations existantes (notamment, Solvabilité 2).

Assurance du risque cyber : enjeux et marché.

2ORGANISATION DE LA GOUVERNANCE ET DE LA GESTION DU RISQUE INFORMATIQUE

2

Rappels sur la gouvernance et la gestion des risques en assurance (pilier 2 de Solvabilité 2).

Principes de gouvernance du risque informatique.

Rôles respectifs de l’organe d’administration, de gestion ou de contrôle (AMSB) et des dirigeants effectifs dans DORA.

Rôles respectifs des fonctions-clé gestion et risques et vérification de la conformité.

Stratégie de résilience opérationnelle numérique.

Cadre de gestion du risque informatique.

Fonction de sécurité de l’information.

Politique écrite encadrant la gestion du risque informatique.

Audit du risque cyber.

3GESTION DES INCIDENTS LIES AUX TIC

3

Processus de gestion des incidents informatiques.

Classification des incidents liés à l’informatique selon DORA :

• Taxonomie de référence de l’ENISA.
• Classification des incidents IT du Groupe d’Experts en Sécurité du G7.

• Taxonomie de référence de l’ENISA.
• Classification des incidents IT du Groupe d’Experts en Sécurité du G7.

Principes de notification des incidents informatiques majeurs aux autorités :

• Reporting et échange d’informations.
• Interactions entre DORA, Solvabilité 2 et SRI2.

• Reporting et échange d’informations.
• Interactions entre DORA, Solvabilité 2 et SRI2.

Acquisition, développement et changement de TIC, gestion des projets informatiques.

4REVUES, EVALUATIONS ET TESTS DE LA SECURITE DE L’INFORMATION

4

Programme de tests de résilience opérationnelle numérique.

Approche par les risques et principe de proportionnalité.

Tests de pénétration fondés sur la menace (Threat-Led Penetration Tests) :

• Couverture des fonctions critiques ou importantes.
• Participation des prestataires de services tiers (politique écrite de sous-traitance).
• Principes de reconnaissance mutuelle au niveau européen.
• Conditions à respecter pour les testeurs internes et externes.

• Couverture des fonctions critiques ou importantes.
• Participation des prestataires de services tiers (politique écrite de sous-traitance).
• Principes de reconnaissance mutuelle au niveau européen.
• Conditions à respecter pour les testeurs internes et externes.

Intégration dans les dispositifs de tests existants en matière de sécurité des SI, plans de continuité d’activité et de gestion de crise.

Communication (interne et externe), sensibilisation et formation à la sécurité des systèmes d’information.

5GESTION DU RISQUE DE SOUS-TRAITANCE

5

Périmètre.

Gestion des risques liés aux prestataires.

Obligations contractuelles.

Registre d’informations.

Suivi de la performance et de la qualité.

Cadre de surveillance des prestataires critiques par les Autorités Européennes de Surveillance (EIOPA, ESMA …).

Analyse comparée des obligations DORA et des guidelines de l’EIOPA (notices ACPR) en matière de sous-traitance.

6SYNTHÈSE ET CONCLUSION

6

Synthèse de la journée.

Évaluation de la formation.