DORA vs PSD2 : Comment ils interagissent pour les fournisseurs de services de paiement

DORA vs PSD2 : Comment ils interagissent pour les fournisseurs de services de paiement

Le paysage réglementaire pour les fournisseurs de services de paiement dans l'Union européenne devient de plus en plus complexe avec l'introduction de la Directive sur la résilience opérationnelle numérique pour le secteur financier (DORA) et la Directive sur les services de paiement révisée (PSD2). Les deux réglementations visent à améliorer la sécurité, la stabilité et l'efficacité du secteur financier, mais leur interaction peut être difficile à naviguer pour les responsables de la conformité et les gestionnaires des risques. Cet article explorera les exigences clés et les concepts de DORA et PSD2, énoncera des stratégies de mise en œuvre pratiques et mettra en évidence les erreurs courantes à éviter.

Exigences clés et concepts

Signalement d'incidents : DORA vs PSD2

L'un des chevauchements les plus importants entre DORA et PSD2 est le signalement d'incidents. Les deux réglementations exigent des fournisseurs de services de paiement de signaler les incidents qui pourraient affecter la continuité et la sécurité de leurs services.

• DORA (Article 4) : Les entités financières doivent établir un cadre pour l'identification, le signalement et la gestion des incidents opérationnels. Cela inclut l'obligation de signaler les incidents opérationnels significatifs à l'autorité compétente dans un délai de 72 heures.
• PSD2 (Article 96) : Les établissements de paiement sont tenus d'avoir en place des procédures pour l'identification précoce des incidents opérationnels et de sécurité potentiellement significatifs et de signaler de tels incidents à leur autorité compétente immédiatement.

Pour garantir la conformité avec les deux réglementations, les fournisseurs de services de paiement devraient :

1. Élaborer un cadre complet de gestion et de signalement des incidents qui couvre tous les types d'incidents opérationnels, y compris les violations de sécurité, les échecs système et les tentatives de fraude.
2. Veiller à ce que tout le personnel concerné soit formé à l'identification, au signalement et à la gestion des incidents.
3. Établir des canaux de communication clairs avec l'autorité compétente pour le signalement rapide des incidents significatifs.

Résilience opérationnelle vs sécurité des paiements

DORA se concentre sur la résilience opérationnelle, exigeant des entités financières d'évaluer et de gérer les risques pour leur continuité opérationnelle et leur intégrité. PSD2, en revanche, souligne la sécurité des paiements, y compris la protection des clients contre la fraude et les transactions non autorisées.

• DORA (Article 5) : Les entités financières doivent évaluer leur résilience opérationnelle, identifier les fonctions critiques et importantes, et élaborer des plans pour garantir la continuité en cas de perturbations.
• PSD2 (Article 87) : Les établissements de paiement doivent mettre en œuvre des mesures d'authentification client robustes pour se protéger contre la fraude et les transactions non autorisées.

Pour se conformer aux deux réglementations, les fournisseurs de services de paiement devraient :

1. Effectuer une évaluation des risques approfondie pour identifier les fonctions critiques et les menaces potentielles pour la résilience opérationnelle et la sécurité des paiements.
2. Élaborer et mettre en œuvre des plans de résilience et des mesures d'authentification client robustes pour répondre aux risques identifiés.
3. Réviser régulièrement et mettre à jour les évaluations des risques, les plans de résilience et les mesures de sécurité pour s'adapter aux exigences réglementaires en évolution et aux menaces émergentes.

Guide de mise en œuvre

Étape 1 : Élaborer un cadre de conformité unifié

Les fournisseurs de services de paiement devraient élaborer un cadre de conformité unifié qui incorpore les exigences de DORA et PSD2. Ce cadre devrait inclure :

• Un processus d'évaluation des risques complet couvrant tous les risques pertinents pour la résilience opérationnelle et la sécurité des paiements.
• Des procédures de gestion et de signalement des incidents qui répondent aux exigences des deux réglementations.
• Des plans de résilience et des mesures d'authentification client robustes pour répondre aux risques identifiés.

Étape 2 : Former le personnel et établir des canaux de communication clairs

Tout le personnel concerné doit être formé aux exigences de DORA et PSD2, ainsi qu'aux procédures de gestion et de signalement des incidents de l'entreprise. Des canaux de communication clairs doivent être établis avec l'autorité compétente pour le signalement rapide des incidents significatifs.

Étape 3 : Réviser régulièrement et mettre à jour les mesures de conformité

Les fournisseurs de services de paiement devraient réviser régulièrement et mettre à jour leurs mesures de conformité pour s'assurer qu'elles restent efficaces et en accord avec les dernières exigences réglementaires. Cela inclut de mettre à jour les évaluations des risques, les plans de résilience et les mesures de sécurité selon les besoins.

Erreurs courantes ou pièges à éviter

1. Ignorer le chevauchement : Les fournisseurs de services de paiement ne devraient pas considérer DORA et PSD2 comme des réglementations distinctes. Au lieu de cela, ils devraient reconnaître le chevauchement des exigences et élaborer un cadre de conformité unifié qui répond aux deux ensembles d'obligations.

2. Ne pas former le personnel : Tout le personnel concerné doit être formé aux exigences de DORA et PSD2, ainsi qu'aux procédures de gestion et de signalement des incidents de l'entreprise. Le fait de ne pas le faire peut entraîner une non-conformité et des pénalités réglementaires.

3. Négliger les plans de résilience et les mesures de sécurité : Les fournisseurs de services de paiement devraient élaborer et mettre en œuvre des plans de résilience et des mesures d'authentification client robustes pour répondre aux risques identifiés. Le fait de ne pas le faire peut exposer l'entreprise à des perturbations opérationnelles et des violations de sécurité.

Comment Matproof peut aider

La plateforme de gestion de la conformité de Matproof peut aider les fournisseurs de services de paiement à naviguer dans le paysage réglementaire complexe de DORA et PSD2. Notre plateforme offre un cadre unifié pour la gestion de la conformité avec les deux réglementations, y compris le signalement d'incidents, les évaluations des risques et les plans de résilience. En exploitant les outils et ressources de Matproof, les fournisseurs de services de paiement peuvent s'assurer qu'ils remplissent leurs obligations en vertu de DORA et PSD2, réduisant ainsi le risque de pénalités réglementaires et de perturbations opérationnelles.