La multiplicité des lois, règlements et certifications cyber applicables au secteur financier est-elle une opportunité ou une menace pour la résilience des systèmes numériques financiers et la souveraineté européenne ?

En avril 2017, l’Estonie connaît une vague de cyberattaques sans précédent, affectant banques et médias. En février 2022, les banques ukrainiennes connaissent également des cyberattaques, en avance de phase d’un conflit armé. Dans les deux cas, il s’agit de porter atteinte à la circulation des liquidités, à la résilience des paiements, à la maîtrise de l’inflation et plus globalement à la stabilité économique d’un pays. En Europe, qui pourrait imaginer une interruption des paiements, ne serait-ce que pendant quelques heures ? Qui pourrait désormais se passer d’une carte de paiement, qui plus est, dans le contexte Covid qui a provoqué le déclin des paiements en espèces au profit des paiements dématérialisés ? Le secteur financier, comme celui de l’énergie, compte parmi les plus exposés au risque cyber en termes de sécurité et de résilience. En effet, toutes les activités sont informatisées depuis de nombreuses années. Les bénéfices recherchés sont potentiellement élevés pour des cyber attaquants et les effets dévastateurs pour l’économie d’un pays qui verrait ses flux financiers entravés. Chaque jour, plus de 1 800 milliards d’euros ⁽¹⁾ sont échangés entre les banques de l’Eurosystème : virements de salaires, prélèvements de l’impôt à la source, paiements de gros montants (comme les achats d’hydrocarbures) ou échanges de titres cotés.

Le secteur financier (banques, réseaux de cartes de paiement, chambres de compensation…) a donc très tôt produit un ensemble de normes cyber (lois françaises, règlements, directives, certifications…). Elles couvrent plusieurs thématiques : sécurité des paiements, sécurité des acteurs (banques et infrastructures de marché), sécurité des transactions par carte, développement informatique, gestion du risque cyber des fournisseurs. Certaines normes cyber ont une portée commerciale, c’est-à-dire qu’elles sont initiées par des acteurs privés avec des enjeux le plus souvent contractuels ⁽²⁾, d’autres s’inscrivent dans un cadre légal et réglementaire, avec des enjeux pouvant être pénaux ⁽³⁾.