Bâle, Londres, Bruxelles

Trois textes, trois angles

Ce que chacun apporte

Bâle fournit la grammaire. Les sept principes définissent la logique — opérations critiques, cartographie, tolérance, tests — sans imposer de format. C'est le texte à lire pour comprendre le raisonnement.

Le régime britannique est le plus abouti sur la méthode. Il impose un livrable précis, l'auto-évaluation annuelle approuvée par le conseil, qui force l'organisation à documenter ses vulnérabilités plutôt qu'à afficher sa conformité.

DORA est le plus contraignant sur deux points que les autres traitent peu : la gestion des incidents, avec des délais de notification chiffrés, et le risque lié aux prestataires TIC, avec un registre d'information d'une granularité sans équivalent.

L'intersection pratique

Une entité européenne soumise à DORA et disposant d'une filiale britannique doit satisfaire les deux régimes. La bonne nouvelle : la cartographie de bout en bout sert aux deux, et c'est le livrable le plus coûteux.

La mauvaise : les unités d'analyse ne coïncident pas exactement. Un « service d'activité important » britannique se formule côté client ; une « fonction critique ou importante » au sens de DORA se définit par son effet sur la solidité de l'entité et sur son agrément. Le recouvrement est large mais pas total.

Et hors secteur financier

Les entités relevant de NIS 2 ou de la directive CER ne sont pas soumises à ces textes, mais la logique s'y transpose sans effort : identifier les services essentiels, fixer un seuil d'intolérabilité, cartographier, tester. Le vocabulaire diffère, la méthode est identique.