La Banque centrale européenne (BCE) a achevé des tests de résilience cybernétique qui ont examiné la capacité de 109 banques à répondre à un incident grave et potentiel lié à la cybersécurité et à s’en remettre, a rapporté la Banque nationale croate (HNB).
Les tests de résistance ont commencé en janvier 2024 et ont impliqué un scénario hypothétique dans lequel toutes les mesures préventives ont échoué et une cyberattaque a eu un impact significatif sur les bases de données des systèmes centraux de toutes les banques. Ainsi, les tests n’ont pas évalué la capacité des banques à prévenir une cyberattaque, mais plutôt leur capacité à y répondre et à s’en remettre, a souligné la HNB.
Identifier et traiter les lacunes dans les cadres de résilience opérationnelle des banques supervisées, y compris celles découlant des risques cybernétiques, est l’une des priorités de supervision du Mécanisme de supervision unique de la BCE pour la période de 2024 à 2026. Cela est dû à l’augmentation récente du nombre d’incidents cybernétiques signalés par les banques supervisées à la BCE, qui est en partie le résultat de tensions géopolitiques croissantes et de défis dans la numérisation du secteur bancaire, a noté la banque centrale.
Les tests de résistance ont couvert 109 banques directement supervisées par la BCE. Toutes les banques étaient tenues de remplir un questionnaire et de soumettre une documentation pour analyse aux autorités de supervision. Des tests plus approfondis ont été réalisés sur un échantillon de 28 banques, qui devaient effectuer un véritable test de récupération des systèmes informatiques et démontrer son issue réussie. Leurs tests comprenaient également une vérification par les autorités de supervision dans les locaux des banques. L’échantillon comprenait divers modèles commerciaux et différentes zones géographiques pour englober le système bancaire plus large de la zone euro et garantir une coordination adéquate avec d’autres activités de supervision.
Spécifiquement, dans l’évaluation des capacités de réponse à un scénario de cyberattaque, les banques devaient démontrer qu’elles étaient capables : d’activer des plans de réponse à la crise, y compris des procédures de gestion de crise internes et des plans de continuité des activités ; de communiquer avec toutes les parties prenantes externes, telles que les clients, les prestataires de services et les agences d’application de la loi ; de réaliser des analyses pour déterminer quels services seraient affectés et de quelle manière ; de mettre en œuvre des mesures pour atténuer les conséquences, y compris des solutions de contournement qui faciliteraient leurs opérations jusqu’à la récupération complète des systèmes informatiques.
Dans l’évaluation des capacités de récupération à partir du scénario, les banques devaient montrer qu’elles étaient capables : d’activer des plans de récupération, y compris la restauration des données à partir de sauvegardes et l’alignement des méthodes de réponse aux incidents avec des prestataires de services tiers clés ; d’assurer la restauration et le fonctionnement des zones affectées ; d’appliquer les expériences acquises, telles que la révision des plans de réponse et de récupération.
Comme indiqué dans l’annonce, les tests de résistance ont montré que les banques ont établi des cadres de réponse et de récupération, mais qu’il existe des domaines où des améliorations sont nécessaires. Les résultats des tests ont contribué à accroître la sensibilisation des banques aux forces et aux faiblesses de leurs cadres de résilience cybernétique et seront pris en compte dans le processus d’examen et d’évaluation de la supervision en 2024.
