Un an après la mise en place du dispositif européen DORA, le ministre des Finances, Gilles Roth, en a dressé le bilan ce lundi.

Depuis le 17 janvier 2025, le règlement sur la résilience opérationnelle numérique (DORA) s’applique aux entités financières de l’UE. Concrètement, ce nouveau cadre juridique impose aux banques, assurances, gestionnaires de fonds, etc. de notifier à la CSSF tout incident informatique majeur et toute cybermenace significative, selon un processus en trois phases : notification initiale, rapport intermédiaire, rapport final. Le tout dans des délais stricts et en ayant préalablement mis en place des systèmes informatiques solides.

Ce lundi, à la suite d’une question parlementaire du député pirate Sven Clement, le bilan de l’année écoulée a été dressé. «Selon les données transmises par la CSSF, 326 notifications d’incidents TIC majeurs ont été reçues entre le 17 janvier 2025 et le 8 juin 2026», répond Gilles Roth. Elles émanent principalement de banques (40 %), de gestionnaires de fonds (19 %) et de professionnels du secteur financier spécialisés (10 %).

La majorité des incidents concernent des défaillances de prestataires tiers (29,5 %) et techniques (26,3 %), avec une augmentation globale due à l’élargissement du périmètre. Une seule cybermenace significative a été signalée.

Toujours d’après les chiffres du ministère, la majorité des notifications respectent le délai de 4 heures pour l’alerte initiale et 72 heures pour le rapport intermédiaire. Le délai moyen pour le rapport final est d’environ 26 jours. En janvier 2025, 54 % des entités avaient créé le rôle eDesk «IT Incident Notifier», aujourd’hui 85 %.

La CSSF n’a identifié aucun incident majeur non notifié ni procédé à des sanctions pour retard ou omission.