Dora, une pression en plus sur les recrutements en cybersécurité

Les efforts déployés pour se conformer à la réglementation européenne sur la résilience opérationnelle numérique (Dora pour digital operational resilience act) risquent d'accentuer la pression sur le marché des compétences en cybersécurité, qui est déjà très tendu. Entré pleinement en vigueur ce 17 janvier, Dora vise à améliorer la cybersécurité et la résilience des institutions financières de l'UE, notamment les banques, les compagnies d'assurance et les entreprises d'investissement. Pour s'y conformer, il faut mettre en œuvre des mesures essentielles de protection, de détection, de confinement, de récupération et de réparation. Les entreprises du secteur financier doivent également appliquer des règles claires en matière de signalement des incidents liés aux TIC, de tests de résilience opérationnelle et de surveillance des risques pour les tiers.

Combler le déficit de compétences

La mise en conformité nécessite une expertise dans des domaines tels que la gestion des risques liés aux technologies de l'information et de la communication, la réponse aux incidents et les tests de résilience. Il s'agit là de compétences hautement spécialisées qui se font déjà rares en Europe et au-delà. Selon Julian Brownlow Davies, vice-président mondial des services chez Bugcrowd, fournisseur de plateformes de bug bounty, les petites entreprises, en particulier, pourraient avoir du mal à attirer et à retenir du personnel suffisamment qualifié. « Les petites sociétés peuvent être amenées à s'appuyer davantage sur des prestataires de services externes pour les tests, la surveillance et la gestion de la conformité », a déclaré M. Davies à CSO. « Bien que cela puisse réduire la charge de travail du personnel interne, cela ajoute des coûts récurrents et des risques potentiels associés à la dépendance à l'égard des fournisseurs. »

Même avant Dora, les RSSI se tournaient de plus en plus vers les services de conseils en sécurité pour combler les lacunes en matière de compétences, et cette situation devrait accélérer la tendance. Simon Onyons, directeur général de l'activité cybersécurité chez FTI Consulting, a noté que cette réglementation incorpore un principe de proportionnalité permettant de « simplifier la mise en œuvre en fonction de l'échelle, de la nature et de la complexité de l'organisation. » Cette approche personnalisée devrait permettre aux petites entreprises du secteur financier de se mettre en conformité à moindre coût (en termes de coûts totaux) que leurs homologues multinationaux.

Des pressions sur le personnel

L'étude 2025 Global Security Outlook du Forum économique mondial a révélé que le déficit de compétences en cybernétique s'est accru de 8 % depuis 2024. D'autres experts interrogés par CSO s'accordent à dire qu'il sera probablement difficile de trouver les bonnes compétences pour mettre en œuvre la conformité à Dora sur un marché des talents déjà tendu. « Il est clair que la demande de professionnels qualifiés en cybersécurité dépasse déjà largement l'offre », commente Suzanne Button, field CTO EMEA chez le fournisseur de solutions d'analyse de données Elastic. « Ces dernières exigences pourraient aggraver la situation, laissant les petites entreprises dans une position désavantageuse dans la compétition pour les talents. » Pierre Noel, RSSI d'Expel, est d'accord : « comme la demande de professionnels de la cybersécurité dépasse de loin l'offre, on assiste à un grand jeu de chaises musicales - avec une chasse tout autour. »

La mise en conformité Dora implique une augmentation des dépenses en matière d'infrastructure et de personnel de cybersécurité afin d'établir et de maintenir le cadre obligatoire de gestion des risques liés aux TIC. Il y aura également des coûts permanents associés à des tests réguliers de résilience, y compris des évaluations de vulnérabilité et des tests de pénétration. Safi Raza, directeur principal de la cybersécurité chez Fusion Risk Management, a indiqué que les entreprises peuvent combiner la formation des employés, l'externalisation des services gérés et l'amélioration des compétences pour alléger la charge de travail liée à l'obtention et au maintien de la conformité. Sabeen Malik, vice-présidente des affaires publiques chez Rapid7, n'est pas d'accord avec le consensus général selon lequel Dora pèsera encore plus sur les ressources humaines en matière de cybersécurité. « Dora n'aggravera pas le manque de compétences dans le domaine de la cybersécurité, car de nombreuses sociétés financières qui se conformeront seront également soumises à NIS2 et à la loi sur la cyber-résilience », explique Sabeen Malik. « Par conséquent, ce seront les mêmes équipes qui se prépareront aux récentes règles et réglementations. » Et d'ajouter que l'IA peut également apporter une aide « car elle libérera les membres de l'équipe de certaines des tâches les plus répétitives pour qu'ils puissent se concentrer sur les nouvelles mises en œuvre. »

La conformité à NIS2, entré en vigueur en octobre 2024 (mais toujours pas transposé en droit français), a eu un impact significatif sur les contraintes de ressources et les déficits de compétences, selon une enquête menée par Veeam, qui a constaté que 95 % des entreprises impactées par cette réglementation ont dû détourner des fonds d'autres domaines d'activité pour couvrir les coûts de la conformité. Quant à Dora, son champ d'application inclut des entités qui ne connaissent pas ce niveau de contrôle réglementaire, a déclaré Andrew Rose, RSSI de SoSafe. « Les entités non réglementées, telles que les agences de notation de crédit et certains types de prêts exonérés, l'affacturage et celles associées à de nouveaux modèles financiers, tels que les échanges de crypto-monnaies et les plateformes de prêt peer-to-peer, entrent dans le champ d'application de la Dora », a souligné M. Rose. « Pour eux, ces exigences peuvent imposer un autre niveau de contrôle, ainsi qu'une surveillance formalisée, nécessitant des dépenses à la fois en solutions et en personnel. »

Des lacunes en matière de conformité

Une enquête commandée par Orange Cyberdefense a révélé qu'en dépit de deux années de préparation, 43 % du secteur britannique des services financiers ne sera pas en conformité avec Dora avant au moins trois mois. Parmi les obstacles à la conformité cités par les 200 participants à l'enquête figurent une priorité insuffisante de la part de l'entreprise au sens large (28 %) et un manque de compétences/connaissances (24 %). Bien que les contraintes budgétaires ne soient pas considérées comme un obstacle majeur à la mise en conformité, 66 % des RSSI et des décideurs en matière de sécurité interrogés dans le cadre de l'enquête estiment que Dora augmentera de manière significative les coûts de cybersécurité à long terme.

Orange Cyberdefense estime que le retard pris par certaines entreprises pour se conformer à Dora s'explique par la difficulté d'appliquer des normes qui se chevauchent, telles que NIS2 et Dora, ainsi que par une certaine complaisance à l'égard d'une mise en œuvre rapide des récentes réglementations. « Le paysage réglementaire de l'UE est très encombré, avec plusieurs normes et lois qui se chevauchent et qui sont actuellement en vigueur », a déclaré Richard Lindsay, consultant principal chez Orange Cyberdefense. « Il est difficile de s'y retrouver et nous voyons de plus en plus d'entreprises adopter une approche plus réactive des exigences de conformité une fois que la menace de représailles devient tangible. » Et d'ajouter : « Bien que nous nous attendions à une certaine amnistie pour les entreprises non conformes à court terme, l'UE envisage clairement la Dora comme un règlement avec des sanctions. Les amendes pouvant atteindre 1 % du chiffre d'affaires journalier mondial et plus d'un million d'euros pour les hauts dirigeants sont considérables. Nous conseillons aux organisations qui ne respectent pas la réglementation Dora de mettre rapidement de l'ordre dans leurs affaires. »

Crystal Morin, stratège en cybersécurité chez Sysdig, estime que les sociétés financières et bancaires sont habituées à des changements périodiques en matière de conformité et d'établissement de rapports - et qu'elles sont généralement sensibilisées à la maturité de la cybersécurité. Dora ne devrait pas constituer un obstacle majeur. « Bien que les petites sociétés financières ne soient peut-être pas totalement conformes dès le départ, elles devraient s'efforcer de l'être et travailler en étroite collaboration avec les autorités de réglementation fédérales », a conseillé M. Morin. D'autres experts estiment qu'une application efficace de la loi sera essentielle pour atteindre les objectifs de Dora. « L'efficacité de Dora en termes d'amélioration de la résilience opérationnelle numérique du secteur européen des services financiers dépendra en grande partie de la qualité des régulateurs locaux », a déclaré M. Noel d'Expel. « S'ils connaissent leur sujet et posent les bonnes questions, Dora apportera des améliorations dans l'ensemble du secteur. Dans le cas contraire, il s'agira d'une des nombreuses réglementations qui n'ont pas réussi à induire des améliorations significatives ».

Une analyse coût-bénéfice à estimer

Le coût potentiel d'un projet de mise en conformité avec Dora peut varier considérablement. Selon un rapport publié en juin 2024 par le cabinet de conseil en gestion McKinsey, les coûts liés à cette réglementation varient généralement entre 5 et 15 M€, rien que pour la stratégie, la planification, la conception et l'orchestration. Les coûts de mise en œuvre peuvent être cinq fois supérieurs, voire plus, aux coûts initiaux du programme, une fois que les investissements dans les nouvelles technologies et la formation ont été réalisés. Les coûts financiers liés à la mise en conformité peuvent représenter un défi, en particulier pour les petites institutions financières, telles que les banques privées, les banques d'investissement et les fonds. Mais les experts du secteur interrogés par CSO ont déclaré que ces coûts sont plus que compensés par les avantages à long terme d'une meilleure résilience opérationnelle et d'une meilleure gestion des risques. « Les coûts initiaux de mise en œuvre seront substantiels, en particulier pour les petites entreprises, relativement parlant », a déclaré Tim Wright, associé chez Fladgate. « On s'attend à ce que les avantages à long terme d'une meilleure résilience opérationnelle et d'une meilleure gestion des risques remboursent l'investissement, car la mise en œuvre aboutira à un écosystème financier plus sûr et plus résilient. »

Une entreprise du secteur financier qui résiste mieux aux pannes de service et aux cyberattaques est susceptible de subir moins de perturbations dans ses opérations commerciales en étant moins exposée à des temps d'arrêt coûteux. « Le coût d'un incident de cybersécurité important ou d'une panne opérationnelle éclipsera presque certainement toute dépense initiale de mise en conformité », a déclaré M. Davies de Bugcrowd. « En fin de compte, les dépenses engagées pour répondre à ces exigences ne se limitent pas à cocher des cases ; il s'agit d'un investissement stratégique dans la fiabilité et la confiance du marché. » Sam Peters, chef de produit chez ISMS online, affirme que les entreprises du secteur financier doivent trouver un équilibre entre les coûts immédiats de la mise en conformité avec Dora et les avantages commerciaux à plus long terme. « L'amélioration de la résilience opérationnelle réduit les temps d'arrêt et atténue les pertes financières associées aux cyber-incidents », explique M. Peters. « Parallèlement, l'amélioration des cadres de gestion des risques peut aider à éviter les amendes réglementaires et à maintenir la confiance des clients. » En investissant dans l'amélioration de la résilience de la cybersécurité en se conformant à Dora, les entreprises du secteur financier peuvent obtenir plus facilement une protection de cyber-assurance à des taux plus favorables. « L'un des avantages significatifs que nous voyons est la possibilité de réduire les primes d'assurance pour les entreprises qui font preuve de robustesse en matière de cybersécurité », ajoute M. Peters.