DOCUMENT DE TRAVAIL DES SERVICES DE LA COMMISSION RÉSUMÉ DU RAPPORT D'ANALYSE D'IMPACT accompagnant le document: Proposition de règlement du Parlement européen et du Conseil sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) nº 1060/2009, (UE) nº 648/2012, (UE) nº 600/2014 et (UE) nº 909/2014

Résumé de l’analyse d’impact

Analyse d’impact concernant la proposition de règlement sur la résilience opérationnelle numérique du secteur financier

A. Nécessité d’une action

Pourquoi? Quel est le problème à résoudre?

Le secteur financier repose dans une large mesure sur les technologies de l’information et de la communication (TIC). L’actuelle pandémie de COVID-19 va probablement accélérer ce phénomène, compte tenu des avantages inhérents à la garantie d’un accès continu à distance aux services financiers. La dépendance à l’égard des technologies numériques suscite cependant des préoccupations. Les entreprises doivent être capables de surmonter d’éventuelles perturbations informatiques, de telle sorte que les incidents et les menaces numériques soient traités, et les services maintenus. Dans un secteur financier fortement interconnecté, qui déploie des services transfrontières essentiels dont dépend l’économie réelle, les vulnérabilités qui découlent de la dépendance aux TIC, bien qu’elles concernent tous les secteurs économiques, sont particulièrement prononcées en raison 1) de l’utilisation intensive et étendue des TIC, et 2) de la possibilité que les effets d’un incident opérationnel survenu dans une entreprise financière ou un sous-secteur financier en particulier se propagent rapidement à d’autres entreprises ou parties du secteur financier et, en fin de compte, au reste de l’économie.

Bien que le secteur financier soit très avancé dans son intégration des marchés et des réglementations et qu’il prospère grâce à un ensemble unique de règles harmonisées – le corpus réglementaire unique de l’Union –, la réponse apportée par l’Union européenne aux besoins accrus de résilience opérationnelle au niveau tant horizontal que sectoriel:

-soit a été fondée sur une harmonisation minimale, qui laisse une marge d’interprétation au niveau national, source de fragmentation du marché unique,

-soit s’est révélée trop générale et limitée dans son application, traitant le risque opérationnel global dans une mesure variable, en réglementant partiellement certaines composantes de la résilience opérationnelle numérique (par exemple, la gestion des risques informatiques, la notification des incidents et le risque lié aux tiers prestataires de services informatiques) tout en laissant d’autres de côté (tests).

Jusqu’à présent, l’action de l’Union n’a pas traité le risque opérationnel d’une manière qui corresponde aux besoins des entreprises financières de résister aux vulnérabilités informatiques, d’y répondre et de s’en rétablir, et elle ne fournit pas non plus aux autorités de surveillance financière les outils dont elles ont besoin pour s’acquitter de leur mandat consistant à maîtriser l’instabilité financière découlant de ces vulnérabilités informatiques.

Les lacunes et les incohérences actuelles ont favorisé la prolifération d’initiatives nationales (par exemple, en matière de tests) et d’approches de surveillance (par exemple, en ce qui concerne les relations de dépendance à l’égard de tiers prestataires de services informatiques) non coordonnées, ce qui se traduit soit par des chevauchements, des doublons dans les exigences ainsi que des coûts administratifs et de mise en conformité élevés pour les entreprises financières transfrontières, soit par des risques informatiques qui ne sont ni détectés ni traités. Dans l’ensemble, la stabilité et l’intégrité du secteur financier ne sont pas garanties et le marché unique des services financiers demeure fragmenté, ce qui a pour conséquence d’affaiblir la protection des consommateurs et des investisseurs.

Quels objectifs cette initiative devrait-elle atteindre?

L’objectif global est de renforcer la résilience opérationnelle numérique du secteur financier de l’Union européenne en rationalisant et en améliorant la législation financière européenne en vigueur et en instaurant de nouvelles exigences là où existent des lacunes, dans le but:

·d’améliorer la gestion des risques informatiques par les entreprises financières;

·d’accroître la connaissance des menaces et des incidents que possèdent les autorités de surveillance;

·de permettre aux entreprises financières de mieux tester leurs systèmes informatiques; et

·d’assurer une meilleure supervision des risques découlant des relations de dépendance des entreprises financières à l’égard des tiers prestataires de services informatiques.

Plus précisément, la proposition établirait un mécanisme de notification des incidents plus cohérent et plus homogène, ce qui réduirait les charges administratives imposées aux entreprises financières et renforcerait l’efficacité de la surveillance.

Quelle est la valeur ajoutée d’une action à l’échelle de l’Union?

Le marché unique des services financiers est régi par un vaste ensemble de règles établies au niveau de l’Union européenne, qui permettent aux entreprises financières agréées dans un État membre de fournir des services dans l’ensemble du marché unique grâce à un passeport européen. Par conséquent, l’adoption de règles au niveau national ne constituerait pas un moyen efficace de renforcer la résilience opérationnelle des entreprises financières qui font usage du passeport. En outre, le corpus réglementaire unique de l’UE comporte, en conséquence de la crise financière, des règles très détaillées et normatives sur les risques plus «traditionnels» tels que les risques de crédit, de marché, de contrepartie et de liquidité. Les dispositions actuellement applicables au risque opérationnel sont d’ordre général. Le renforcement de la résilience opérationnelle numérique exige d’ajuster les dispositions relatives au risque opérationnel qui sont déjà définies au niveau de l’UE – et qui ne peuvent donc être mises à jour et complétées qu’à ce même niveau.

B. Les solutions

Quelles sont les options législatives et non législatives envisagées? Y a-t-il une option privilégiée? Pourquoi?

L’analyse d’impact a examiné trois options, en plus d’un scénario de base prévoyant de ne rien modifier dans la législation de l’UE relative aux services financiers. Plus précisément:

·«Ne rien changer»: les règles relatives à la résilience opérationnelle continueraient d’être fixées par l’ensemble des dispositions actuelles de l’Union en matière de services financiers avec leurs divergences, en partie par la directive sur la sécurité des réseaux et systèmes d’information (directive SRI), et par les régimes nationaux actuels ou futurs;

·Option 1 – le renforcement des coussins de fonds propres: la constitution d’un coussin de fonds propres supplémentaire serait imposée afin d’accroître la capacité des entreprises financières à absorber les pertes qui pourraient survenir en raison d’un manque de résilience opérationnelle;

·Option 2 – un acte législatif sur la résilience opérationnelle numérique des services financiers: un cadre global serait mis en place au niveau de l’UE, qui fixerait des règles sur la résilience opérationnelle numérique pour tous les établissements financiers réglementés. Ce cadre:

oaborderait les risques informatiques de manière plus globale,

opermettrait aux autorités de surveillance financière d’avoir accès aux informations sur les incidents informatiques,

ogarantirait que les entités financières évaluent l’efficacité de leurs mesures de prévention et de résilience et identifient leurs vulnérabilités informatiques;

orenforcerait les règles en matière d’externalisation régissant la supervision indirecte des tiers prestataires de services informatiques;

opermettrait d’exercer une supervision directe sur les activités des tiers prestataires de services informatiques lorsque ceux-ci fournissent leurs services à des entreprises financières et

ocontribuerait à encourager l’échange de renseignements sur les menaces dans le secteur financier.

·Option 3 – un acte législatif sur la résilience combiné à une surveillance centralisée des tiers prestataires critiques de services informatiques: outre un acte législatif sur la résilience opérationnelle (option 2), une nouvelle autorité serait créée pour surveiller les tiers prestataires critiques de services informatiques auprès d’entreprises financières. Cette option permettrait également de délimiter plus clairement le secteur financier par rapport au champ d’application de la directive SRI.

L’option 2 est privilégiée. Par rapport aux autres options, c’est celle qui permet d’atteindre la plupart des objectifs de l’initiative, tout en tenant compte des critères d’efficacité et de cohérence. C’est également l’option préférée par le plus grand nombre de parties prenantes.

Qui soutient quelle option?

La plupart des parties prenantes (privées, publiques) conviennent qu’une action au niveau de l’UE est nécessaire pour mieux préserver la résilience opérationnelle des entreprises financières. Beaucoup estiment également qu’une action de l’Union est nécessaire pour alléger les charges réglementaires qu’engendre, pour les entreprises financières, l’existence de règles redondantes et incohérentes imposées par la directive SRI, la législation de l'UE relative aux services financiers et les régimes nationaux (par exemple, en ce qui concerne la notification des incidents). En conséquence, peu de parties prenantes sont favorables au statu quo. Rares sont les parties prenantes à penser qu’on peut garantir la résilience opérationnelle au moyen d’un coussin de fonds propres supplémentaire (option 1). Il s’agit néanmoins de l’approche traditionnelle du risque opérationnel, notamment dans le secteur bancaire, et, en tant que telle, elle est envisagée par les organismes internationaux de normalisation, entre autres. Le type de mesures qualitatives prévues dans l’option 2, qui permettrait de rationaliser et d’améliorer la législation financière de l’UE et d’instaurer de nouvelles exigences là où existent lacunes tout en maintenant les liens avec la directive SRI horizontale, recueille un large soutien de la part des parties prenantes qui ont répondu à la consultation publique. Si certaines parties prenantes (notamment publiques) voient des avantages à renforcer la surveillance des tiers prestataires de services informatiques, tel que proposé dans l’option 3, la création d’une nouvelle autorité européenne à cette fin ne recueille qu’un soutien limité de la part des parties prenantes, tout comme la rupture plus marquée avec le cadre SRI.

C. Incidence des options privilégiées

Quels sont les avantages de l’option privilégiée (ou, à défaut, des options principales)?

L’option 2 permettrait de traiter les risques informatiques dans l’ensemble du secteur financier en renforçant les capacités des établissements financiers à surmonter les incidents informatiques. Cela réduirait le risque qu’un cyberincident se propage rapidement sur les marchés financiers. Bien qu’il soit difficile d’estimer les coûts induits par les incidents opérationnels dans le secteur financier (tous les incidents ne sont pas notifiés, l’ampleur des coûts est incertaine), les évaluations sectorielles suggèrent que les coûts pour le secteur financier de l’UE pourraient s’échelonner entre 2 et 27 milliards d’EUR par an. L’option privilégiée permettrait d’atténuer ces coûts directs et toute incidence plus importante que les cyberincidents majeurs sont susceptibles d’avoir sur la stabilité financière. L’élimination des chevauchements dans les exigences de notification allégerait les charges administratives. Par exemple, pour certaines des banques les plus importantes, les économies liées pourraient atteindre de 40 à 100 millions d’EUR par an. La notification directe permettrait également aux autorités de surveillance d’améliorer leur connaissance des incidents informatiques. Avec l’harmonisation des pratiques de test, les vulnérabilités et les risques inconnus seraient mieux détectés. Cela permettrait également de réduire les coûts, en particulier pour les entreprises transfrontières. Par exemple, pour les 44 plus grandes banques transfrontières, les bénéfices totaux escomptés d’une approche commune en matière de tests pourraient être compris entre 11 et 88 millions d’EUR. La mise en place d’un ensemble cohérent de règles sur la gestion des risques liés aux tiers prestataires de services informatiques permettrait aux entreprises financières de mieux contrôler la mesure dans laquelle les tiers prestataires se conforment au cadre réglementaire, ce qui pourrait conforter les autorités de surveillance. Des avantages prudentiels découleraient également de la supervision des tiers prestataires de services informatiques. Dans l’ensemble, l’option privilégiée est porteuse d’avantages sociétaux plus larges, qui découlent d’un environnement opérationnel plus résilient pour tous les acteurs des marchés financiers et d’une protection renforcée des consommateurs et des investisseurs.

Quels sont les coûts de l’option privilégiée (ou, à défaut, des options principales)?

L’option retenue entraînerait des coûts de nature tant ponctuelle que récurrente. En ce qui concerne les premiers, ils sont dus aux investissements à consentir dans les systèmes informatiques et sont difficiles à quantifier étant donné l’état variable des systèmes informatiques patrimoniaux des entreprises. En l’absence d’intervention réglementaire, certaines entreprises financières ont déjà réalisé des investissements importants dans les systèmes informatiques. Cela signifie que, pour les grandes entreprises financières, la mise en œuvre des mesures de cette proposition sera probablement peu coûteuse. Pour les petites entreprises, les coûts devraient également être assez peu élevés, car celles-ci seraient soumises à des mesures moins strictes du fait du risque plus faible qu’elles présentent. En ce qui concerne les tests, les autorités européennes de surveillance ont estimé que les coûts liés aux tests de pénétration fondés sur la menace représenteraient entre 0,1 % et 0,3 % du budget TIC total des entreprises concernées. Les coûts associés à la notification des incidents seraient considérablement réduits, car il n’y aurait pas de chevauchement avec les notifications au titre de la directive SRI. Les autorités de surveillance devront également engager certains coûts, en raison des tâches supplémentaires qu’elles assumeront. Par exemple, pour les autorités de surveillance participant à la supervision directe de tiers prestataires de services informatiques, l’augmentation estimée des ETP pourrait être de l’ordre de 1 à 5 ETP pour l’autorité principale, et d’environ 0,25 ETP pour les autorités participantes.

Quelle sera l’incidence sur les entreprises, les PME et les microentreprises?

L’option privilégiée couvrirait toutes les entreprises financières afin d’accroître la résilience opérationnelle du secteur dans son ensemble. Cette portée étendue est importante compte tenu de la nature interconnectée du secteur financier et de la nécessité connexe de garantir un niveau adéquat de résilience opérationnelle globale. Toutefois, les exigences essentielles définies dans les principaux domaines d’intervention appliqueraient le principe de proportionnalité à la fois à l’ensemble des sous-secteurs et au sein de chaque sous-secteur. Cette approche tiendrait compte, entre autres, des différences de modèle d’entreprise, de taille, de profil de risque, d’importance systémique, etc. Par exemple, les mesures relatives à la notification des incidents et aux tests seraient moins strictes pour les petites entreprises financières.

Y aura-t-il une incidence notable sur les budgets nationaux et les administrations nationales?

Non. La supervision supplémentaire pourrait, comme expliqué ci-dessus, nécessiter de consacrer un niveau limité de ressources supplémentaires à la surveillance, qui pourraient en tout ou en partie (en cas de redevances de surveillance) être prises en charge par les budgets publics.

Y aura-t-il d’autres incidences notables?

Les conséquences socio-économiques de la pandémie de COVID-19 mettent en évidence le caractère essentiel des marchés financiers numériques et de leur résilience opérationnelle. L’option privilégiée poserait des fondements solides pour tirer le meilleur parti possible du virage numérique en rendant le marché unique des services financiers, y compris au sein de l’union bancaire et de l’union des marchés des capitaux, résilient sur le plan opérationnel, sur la base d’un ensemble commun de règles et d’exigences visant à garantir la sécurité, la performance, la stabilité et des conditions de concurrence équitables. Elle renforcera également la position de l’Europe en tant qu’acteur mondial de premier plan dans le domaine financier et numérique, un objectif fixé par la Commission dans sa communication intitulée «Façonner l’avenir numérique de l’Europe».

D. Suivi

Quand la législation sera-t-elle réexaminée?

Le premier réexamen aurait lieu trois ans après l’entrée en vigueur de l’instrument juridique. La Commission présenterait un rapport au Parlement européen et au Conseil sur son réexamen. Le réexamen pourrait s’appuyer sur une consultation publique, des études, des discussions d’experts, des enquêtes et des ateliers, selon les besoins.