Conformité à NIS2 pour le secteur des infrastructures des marchés financiers

Les infrastructures des marchés financiers (FMIs) permettent le règlement, la compensation, la négociation et l'enregistrement des transactions financières à travers l'Union européenne. Parce qu'elles sont au cœur des marchés de capitaux et des écosystèmes de paiement, les incidents de cybersécurité les affectant peuvent avoir des conséquences systémiques.

La directive NIS2 établit des obligations de cybersécurité à l'échelle de l'UE pour les entités Essential et Important, élargissant le périmètre et la vigueur de l'application du cadre NIS initial. La conformité à NIS2 pour les infrastructures des marchés financiers renforce les exigences de résilience opérationnelle pour les entités dont la perturbation pourrait déstabiliser les marchés.

La directive s'applique aux organisations de taille moyenne et grande opérant dans les secteurs désignés, y compris les infrastructures des marchés financiers. Étant donné leur rôle systémique, la plupart des FMIs atteindront les seuils pertinents et relèveront du champ d'application.

Si votre organisation opère en tant qu'infrastructure de marché financier, vous pouvez être soumise à NIS2 en tant qu'entité Essential.

L’annexe I désigne des secteurs hautement critiques, sans classer automatiquement chaque entité comme essentielle. Selon l’article 3, la règle générale fondée sur la taille est la suivante :

• Grandes entreprises — entités essentielles : au moins 250 salariés, ou à la fois un chiffre d’affaires annuel supérieur à 50 millions € et un total du bilan supérieur à 43 millions €.
• Moyennes entreprises — entités importantes : sans être grandes, au moins 50 salariés, ou à la fois un chiffre d’affaires annuel et un total du bilan supérieurs à 10 millions €.

Annexe pertinente : Annexe I (Secteurs hautement critiques)

Couverture par sous-secteur (Annexe I – Infrastructures des marchés financiers) :

• Opérateurs de plates-formes de négociation
• Contreparties centrales (CCPs)
• Dépositaires centraux de titres (CSDs)

Ces entités jouent un rôle fondamental dans la stabilité financière en facilitant la négociation de titres, la compensation et les fonctions de règlement.

Les règles européennes relatives aux PME s’appliquent, y compris l’agrégation des entreprises partenaires et liées lorsque requise (recommandation 2003/361/CE). Les petites et microentreprises ne relèvent pas automatiquement de NIS2 du seul fait de leur activité dans un secteur de l’annexe I. Les exceptions légales, l’identification nationale comme entité essentielle ou importante et l’identification comme entité critique au titre de la directive CER peuvent déroger à la règle générale fondée sur la taille (articles 2 et 3).

Articulation dans le secteur financier : pour les entités financières couvertes par DORA, ce règlement constitue un acte juridique sectoriel de l’Union au sens de l’article 4 de NIS2. Ses exigences équivalentes remplacent les dispositions correspondantes de NIS2 ; la classification à l’annexe I ne signifie pas, à elle seule, un cumul d’obligations.

La conformité à NIS2 pour les infrastructures des marchés financiers s'applique à :

• Entreprises de taille moyenne (50 employés ou plus, ou chiffre d'affaires annuel supérieur à 10 millions d'euros et total du bilan supérieur à 10 millions d'euros ; les entreprises partenaires et liées sont prises en compte)
• Grandes entreprises dépassant ces seuils

Compte tenu de l'ampleur et de l'importance systémique des plates-formes de négociation, des CCPs et des CSDs, la plupart des entités de ce secteur entreront automatiquement dans le champ d'application en tant qu'entités Essential.

Les entités moyennes et grandes de ce secteur remplissent généralement le critère de taille de NIS2. Les petites et microentités sont généralement hors champ, sauf disposition légale indépendante de la taille ou désignation nationale formelle. Appliquez la définition européenne des PME et l’agrégation des entreprises partenaires et liées selon la recommandation 2003/361/CE, et vérifiez les règles sectorielles et la transposition nationale.

En vertu de l'Article 21 de la directive NIS2, les infrastructures des marchés financiers doivent mettre en œuvre des mesures techniques et organisationnelles appropriées et proportionnées pour gérer les risques de cybersécurité.

Mesures obligatoires :

• Cadre de gestion des risques
• Procédures de gestion des incidents
• Continuité d'activité et reprise après sinistre
• Sécurité de la chaîne d'approvisionnement
• Développement et maintenance sécurisés
• Politiques sur le chiffrement et la cryptographie
• Contrôle d'accès et MFA
• Gestion des vulnérabilités et des correctifs
• Formation à l'hygiène en cybersécurité
• Utilisation de communications sécurisées

Pour les FMIs, ces mesures de sécurité NIS2 doivent protéger les systèmes de transaction à fort volume, les moteurs de compensation, les plates-formes de règlement et l'infrastructure de données de marché en temps réel. Des contrôles de résilience robustes, une planification de la redondance et des dispositifs de garantie de l'intégrité sont essentiels pour prévenir une perturbation systémique des marchés.

La conformité à NIS2 pour les infrastructures des marchés financiers exige un alignement entre la gouvernance de la cybersécurité et les cadres de gestion des risques du marché financier existants. Les entités doivent s'assurer que les mesures de résilience des TIC soutiennent la continuité du marché et les objectifs de stabilité financière.

Les infrastructures des marchés financiers doivent respecter les délais de notification des incidents prévus par NIS2 lorsqu'un incident significatif se produit.

Les obligations de notification comprennent :

Les rapports doivent être soumis au CSIRT national compétent ou à l'autorité compétente désignée en vertu de NIS2.

Compte tenu de l'importance systémique des systèmes de compensation et de règlement, les incidents affectant la continuité des négociations, l'intégrité des transactions ou l'accès au marché seront souvent qualifiés d'incidents significatifs. La règle NIS2 des 24 heures pour la notification exige des processus d'escalade rapides et une communication coordonnée avec les autorités de supervision.

Le non-respect des délais de notification peut entraîner des mesures d'exécution réglementaire.

La conformité à NIS2 pour les infrastructures des marchés financiers impose une responsabilité directe au organe de direction.

Exigences clés en matière de gouvernance :

• Approbation des mesures de gestion des risques de cybersécurité par l'organe de direction
• Supervision de la mise en œuvre et de l'efficacité
• Formation obligatoire à la cybersécurité pour la direction
• Exposition potentielle à une responsabilité personnelle en vertu du droit national

L'Article 21 de la directive NIS2 élève la cybersécurité au niveau de responsabilité du conseil d'administration. La direction exécutive doit veiller à ce que les stratégies de résilience, les protocoles de gestion des incidents et les évaluations des risques soient formellement documentés et intégrés dans la gouvernance de l'entreprise.

Pour les FMIs, les défaillances de gouvernance peuvent non seulement exposer l'entité à des sanctions réglementaires, mais aussi menacer la stabilité plus large des marchés financiers.

En tant qu'entités figurant à l'Annexe I, les infrastructures des marchés financiers sont soumises à une supervision proactive. Les autorités compétentes peuvent effectuer des audits, des inspections et des évaluations de sécurité indépendamment de la survenance ou non d'un incident.

Les amendes administratives en cas de non-conformité sont :

• Entités Essential : Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total (le montant le plus élevé étant retenu)

Les lois nationales de transposition peuvent en outre définir la coordination de la supervision entre les régulateurs financiers et les autorités compétentes NIS2. Toutefois, la directive établit des seuils minimums harmonisés de sanctions entre les États membres.

Compte tenu du profil de risque systémique des FMIs, l'application des mesures est attendue comme rigoureuse et étroitement alignée sur les cadres de supervision financière.

Les infrastructures des marchés financiers devraient adopter une approche de conformité structurée :

1. Réaliser une analyse des écarts par rapport à NIS2 alignée sur les cadres de résilience des infrastructures de marché existants
2. Cartographier les systèmes critiques de compensation, de règlement et de négociation
3. Formaliser un cadre documenté de gestion des risques de cybersécurité
4. Mettre à jour les procédures de réponse aux incidents et de coordination en cas de crise
5. Revoir les contrats avec les prestataires technologiques et fournisseurs de données tiers
6. Former les membres du conseil d'administration et la haute direction
7. Établir un flux de travail de notification 24h/72h/1 mois

Une préparation précoce réduit le risque d'application des sanctions et protège la continuité opérationnelle.

Les infrastructures des marchés financiers sont confrontées à des risques spécifiques au secteur en vertu de NIS2 :

• Perturbation du marché : Les incidents de cybersécurité peuvent interrompre les processus de négociation ou de règlement.
• Contagion systémique : Les défaillances peuvent se propager à travers les marchés financiers.
• Atteinte à l'intégrité des données : La manipulation des enregistrements de transactions peut saper la confiance.
• Amendes réglementaires : La non-conformité expose les entités à des sanctions financières importantes.
• Atteinte à la réputation : La confiance du marché dépend de la résilience opérationnelle.

La conformité à NIS2 pour les infrastructures des marchés financiers est donc un élément essentiel de la stabilité systémique et de l'assurance réglementaire.