Ce document présente les normes techniques réglementaires concernant la composition de l'équipe d'examen conjointe des fournisseurs de services TIC désignés comme critiques. Il précise les informations à fournir par ces fournisseurs lors de leur demande de désignation et les critères pour constituer l'équipe d'examen. La consultation publique a permis d'amender le projet de normes avant sa soumission à la…
Ce document est le rapport final et projet de normes techniques réglementaires (RTS) élaboré par les Autorités Européennes de Surveillance (ESAs) en juillet 2024. Il porte sur la spécification des critères pour déterminer la composition des équipes d'examen conjoint dans le cadre du règlement européen DORA (Règlement (UE) 2022/2554) relatif à la résilience opérationnelle numérique dans le secteur financier. Le périmètre couvre les critères de composition, désignation, tâches et modalités de travail des équipes conjointes d'examen impliquant les ESAs et les autorités compétentes nationales, dans le cadre de la surveillance des prestataires tiers de services TIC critiques (CTPPs) pour le secteur financier. Le document de 21 pages s'inscrit dans la période 2023-2025, avec une application prévue des RTS au 17 janvier 2025 (p. 1-6).
Le document traite de l'élaboration d'un projet de normes techniques réglementaires (RTS) visant à harmoniser les conditions permettant la conduite des activités de surveillance des prestataires tiers de services TIC critiques (CTPPs) dans le secteur financier, conformément au règlement DORA (UE 2022/2554). Ce sujet est crucial car il instaure un cadre européen commun pour garantir la résilience numérique du secteur financier face aux risques liés aux prestataires TIC critiques. Les constats principaux sont : (i) la nécessité d'une coopération structurée et continue entre les ESAs et les autorités nationales via des équipes d'examen conjoint et un Forum de surveillance ; (ii) la complexité technique et la rareté des expertises requises pour ces activités de surveillance ; (iii) la nécessité d'assurer une composition équilibrée des équipes d'examen conjoint, incluant des membres des ESAs et des autorités compétentes, avec des compétences techniques et en gestion des risques opérationnels ; (iv) la possibilité pour une équipe d'examen conjointe de superviser plusieurs CTPPs pour optimiser les ressources. Les conclusions soulignent que le projet de RTS définit précisément les critères de composition, désignation, tâches et modalités de travail des équipes conjointes, en tenant compte du profil de risque, de la répartition géographique, de la taille et du nombre d'entités financières concernées, ainsi que des compétences disponibles. Les recommandations sont de retenir une approche divisée en deux RTS distincts (celle-ci pour les équipes conjointes, une autre pour les informations des CTPPs), d'adopter la flexibilité permettant à une équipe d'examen de couvrir plusieurs CTPPs, et de garantir la confidentialité, la formation et l'éthique des membres. Le projet sera soumis à la Commission européenne pour adoption, avec une entrée en vigueur prévue le 17 janvier 2025 (p. 3-5, 14-17).
Le règlement DORA instaure un cadre européen pour la résilience opérationnelle numérique du secteur financier, incluant la surveillance des prestataires tiers de services TIC critiques (CTPPs). L'Article 41(1) du règlement mandate les ESAs pour élaborer des normes techniques réglementaires harmonisant les conditions de surveillance, notamment la composition des équipes d'examen conjoint (Article 41(1)(c)). Le document répond à ce mandat en précisant les critères de composition, désignation, tâches et modalités de travail des équipes conjointes, composées de membres des ESAs et des autorités compétentes nationales. Le périmètre est limité à la partie du mandat relative aux équipes d'examen conjoint, distincte des autres aspects liés aux informations des CTPPs. Les enjeux sont la complexité technique des activités de surveillance, la nécessité d'une coopération efficace entre autorités européennes et nationales, et la gestion optimale des ressources humaines qualifiées. Le document vise à garantir l'efficacité, l'équilibre et la flexibilité dans la composition des équipes, tout en assurant la confidentialité et la conformité réglementaire (p. 5-7).
- Composition et désignation des équipes d'examen conjoint : Le Lead Overseer, en accord avec le réseau de surveillance conjoint, établit les équipes après la désignation des CTPPs critiques. Les membres sont nommés par les autorités compétentes identifiées à l'Article 40(2) du DORA, avec une expertise technique en TIC, gestion des risques opérationnels, et compétences en communication et supervision. Le Lead Overseer peut demander la modification des nominations si les profils ne correspondent pas aux besoins. La composition tient compte du nombre de CTPPs, du profil de risque, de la répartition géographique, de la taille et du nombre d'entités financières concernées, ainsi que d'une représentation proportionnée des secteurs (p. 7-12).
- Tâches des membres : Sous la coordination du Lead Overseer, les membres assistent dans la préparation et l'exécution des plans annuels de surveillance, l'évaluation des CTPPs, la collecte et l'analyse d'informations, la conduite d'enquêtes et d'inspections, la rédaction de recommandations, l'évaluation des plans de remédiation, la préparation des décisions, la contribution aux activités transversales, le partage d'informations pertinentes, et la gestion d'activités ad hoc non planifiées (p. 9-10).
- Modalités de travail : Les membres doivent agir avec compétence, diligence, impartialité et conformément aux instructions du Lead Overseer. Ils doivent respecter les procédures de surveillance communes, les règles de confidentialité et de gestion des données, et suivre des arrangements définissant le temps consacré, les coûts, la formation et les considérations éthiques. Les membres restent employés par leur autorité de nomination, avec leurs conditions de travail habituelles (p. 12-13).
- Flexibilité organisationnelle : Une équipe d'examen conjointe peut superviser plusieurs CTPPs, ce qui optimise l'utilisation des ressources rares et techniques. Le Lead Overseer adapte la composition des équipes en fonction des changements matériels affectant les CTPPs ou les plans de surveillance (p. 8, 11-12).
- Accès à l'information et confidentialité : L'accès aux informations nécessaires est accordé aux membres sur la base du besoin de savoir et dans le cadre des tâches assignées. Le respect du régime de secret professionnel et des obligations de sécurité est obligatoire, conformément au DORA et aux règles des ESAs (p. 8, 20).
- Impact économique : Les coûts liés à la contribution des autorités aux équipes sont couverts par les frais facturés aux CTPPs selon l'Article 43 du DORA. La structure proposée vise à minimiser les impacts organisationnels et financiers tout en assurant l'efficacité de la surveillance (p. 14-17).
- Consultation et ajustements : Les ESAs ont mené une consultation publique en avril-mai 2024, intégrant les retours pour clarifier certains points, notamment l'accès à l'information, la définition des tâches, la flexibilité dans la composition des équipes, et la confidentialité (p. 18-21).
- Faits établis : Le cadre DORA impose la création d'équipes d'examen conjoint composées de membres des ESAs et des autorités nationales pour superviser les CTPPs critiques. Le projet RTS précise les critères de composition, les tâches, et les modalités de travail, avec une application prévue au 17 janvier 2025. La consultation publique a confirmé la pertinence des dispositions et a conduit à des clarifications ciblées.
- Hypothèses : La flexibilité dans la composition des équipes, notamment la possibilité de superviser plusieurs CTPPs par une même équipe, est supposée optimiser l'utilisation des ressources techniques rares. L'impact financier pour les autorités est compensé par les frais facturés aux CTPPs.
- Interprétations : La division du mandat Article 41(1) en deux RTS distincts répond à la différence d'impact entre les exigences affectant le marché et celles affectant uniquement la communauté de surveillance. La stabilité et la rétention des connaissances dans les équipes sont considérées comme essentielles pour l'efficacité de la surveillance.
- Incertitudes : La capacité des autorités à fournir en permanence des experts qualifiés reste un défi, bien que les RTS prévoient une justification en cas d'absence temporaire d'expertise. L'évolution des CTPPs et des risques associés pourrait nécessiter des ajustements fréquents des équipes, ce qui doit être équilibré avec la stabilité des membres.
Les ESAs recommandent l'adoption du projet de RTS définissant les critères de composition, désignation, tâches et modalités de travail des équipes d'examen conjoint pour la surveillance des CTPPs critiques. Elles préconisent une approche flexible permettant à une équipe d'examen de superviser plusieurs CTPPs, afin d'optimiser les ressources techniques disponibles. La mise en œuvre doit garantir la confidentialité, la formation continue, et l'éthique des membres. Les ESAs soulignent l'importance d'une coopération étroite entre les ESAs et les autorités nationales via le Forum de surveillance et les équipes conjointes. Le projet sera soumis à la Commission européenne pour adoption, avec une entrée en vigueur prévue au 17 janvier 2025. Les ESAs continueront à évaluer périodiquement la composition et l'efficacité des équipes pour assurer leur adéquation aux besoins de surveillance (p. 3-5, 12-13, 14-17, 18-21).
Note de synthèse rédigée à partir du document intégral par l’Académie DataSAI. Cette note vient de la bibliothèque scientifique de l’Académie DataSAI, en accès libre.