Les établissements financiers s'inquiètent des attaques basées sur l'AI : voici ce que DORA attend de vous

Les cybermenaces fondées sur l’intelligence artificielle ne relèvent plus de la théorie. Les établissements financiers à travers l’Europe évaluent activement les implications de ces outils de plus en plus puissants, capables d’identifier et d’exploiter des vulnérabilités à grande échelle, tandis que les autorités de régulation suivent la situation de près.

La Banque centrale européenne a clairement indiqué que les cyberattaques constituent une menace grave et croissante pour les banques et les infrastructures des marchés financiers, et que, compte tenu du degré élevé d’interconnexion au sein du secteur financier, une seule attaque peut menacer la stabilité de l’ensemble de l’écosystème. Pour les organisations opérant dans cet environnement, il ne suffit pas de s’en inquiéter. En vertu de la directive DORA, des mesures s’imposent.

Pourquoi le secteur financier est en état d’alerte

Les banques et les institutions financières sont confrontées à une combinaison particulière de risques : des environnements informatiques complexes, une forte dépendance vis-à-vis de tiers et un profil qui en fait des cibles de grande valeur. L’introduction de l’AI dans ce contexte amplifie chacun de ces risques. Les vulnérabilités sont détectées plus rapidement, les attaques sont menées de manière plus automatisée et les obstacles pour les acteurs malveillants sont plus faibles que jamais. Il en résulte un environnement plus instable et imprévisible, auquel les audits de sécurité traditionnels et périodiques n’ont jamais été conçus pour faire face.

Réponse de DORA : résilience opérationnelle

Le programme DORA a été conçu précisément pour ce type d’environnement. Plutôt que de fixer des normes minimales à respecter une seule fois, il établit un cadre de préparation continue, articulé autour de cinq domaines clés :

1. Gestion des risques liés aux TIC
2. Rapports des incidents
3. Tests de résilience opérationnelle numérique
4. Gestion des risques liés aux tiers
5. Partage d’informations

Ensemble, ces éléments vous imposent l’obligation d’être prêt ; il ne suffit pas de disposer de politiques, mais il faut également démontrer leur efficacité.

De la prise de conscience à la responsabilisation

L’un des changements les plus importants introduits par la loi DORA concerne la répartition des responsabilités. Les instances de direction sont tenues de prendre en charge la gestion des risques, de veiller à la mise en place de contrôles appropriés et de superviser les mesures de conformité. Il ne s’agit pas d’une question informatique déléguée à une équipe technique. Il s’agit d’une responsabilité de la direction, et les autorités de régulation s’attendront à en obtenir la preuve.

Le défi de la mise en œuvre

Comprendre la directive DORA est une chose. La mettre en œuvre en est une autre. De nombreuses organisations peinent à traduire les exigences réglementaires en contrôles concrets, à tenir à jour leur documentation et à assurer une coordination cohérente entre les équipes et les systèmes. Sans structure, les efforts de conformité deviennent réactifs : ils sont menés avant un audit plutôt que d’être maintenus comme une discipline permanente. Cette approche comporte un risque réel, tant sur le plan opérationnel qu’en termes d’exposition réglementaire.

Construire des fondations solides

Pour répondre aux exigences de la directive DORA, il est nécessaire de disposer d’une vue d’ensemble claire des risques et des contrôles, de processus bien définis pour la gestion des incidents, d’un suivi et d’une évaluation continus, ainsi que d’une documentation et d’un reporting centralisés. Il ne s’agit pas seulement de satisfaire les autorités de régulation ; c’est ce qui permet à une organisation de fonctionner en toute confiance lorsqu’un incident survient.

Une base de référence variable

L’intelligence artificielle redéfinit les critères de sécurité. Les établissements financiers ne peuvent plus se contenter d’audits périodiques ou d’initiatives ponctuelles. Les organisations qui sauront s’adapter à ce nouvel environnement sont celles qui intègrent dans leurs opérations quotidiennes une visibilité permanente, une action coordonnée et des contrôles vérifiables — et non celles qui considèrent la conformité comme une simple case à cocher.

Dans le cadre de la loi DORA, la résilience n’est pas considérée comme acquise. Elle doit être mise en place, entretenue et démontrée. Pour les équipes de direction qui assument une responsabilité personnelle au titre de la loi DORA, disposer des outils adaptés n’est pas une option. Trustlinks vous offre la visibilité, la documentation et la confiance nécessaires pour piloter la conformité, et non pas simplement en rendre compte.