Cyber-résilience et dépendance aux prestataires de services tiers : les nouveaux défis des infrastructures de marchés financiers
La dépendance croissante des infrastructures de marchés financiers (IMF) aux prestataires de services tiers expose ces écosystèmes à des risques systémiques inédits, où la cyber-résilience devient un impératif autant qu’un défi réglementaire. Les travaux conjoints de l’OICV et du CPIM, publiés en septembre 2026, marquent un tournant dans la supervision prudentielle : au-delà de la prévention des incidents, l’accent est désormais mis sur la capacité à assurer une continuité critique face aux cybermenaces et aux défaillances technologiques, révélant une mutation des priorités de sécurité financière.
Quels organismes internationaux ont récemment publié des documents sur la résilience des infrastructures financières, et pourquoi cette initiative est-elle significative ?
L’Organisation internationale des commissions de valeurs (OICV) et le Comité sur les paiements et les infrastructures de marché (CPIM) ont rendu publics deux rapports en consultation en septembre 2026. Cette initiative est significative car elle reflète une évolution majeure de l’approche prudentielle : elle ne se limite plus à la prévention des incidents, mais intègre désormais la garantie d’une continuité opérationnelle et d’un rétablissement rapide des fonctions critiques en cas de cyberattaque ou de défaillance technologique.
Quel est l’enjeu principal soulevé par ces documents, au-delà de la simple prévention des risques cyber ?
L’enjeu central réside dans la gestion de la dépendance aux prestataires tiers, dont les défaillances ou les vulnérabilités peuvent compromettre la stabilité des IMF. Les régulateurs ne se contentent plus de superviser les acteurs directs, mais étendent leur vigilance à l’ensemble de l’écosystème technologique qui sous-tend les marchés financiers, soulignant ainsi une interdépendance systémique souvent sous-estimée.
Pourquoi la cyber-résilience est-elle devenue un pilier de la supervision financière, et en quoi diffère-t-elle des approches traditionnelles ?
La cyber-résilience s’impose comme un pilier car les cybermenaces, désormais systémiques et transfrontalières, ne peuvent plus être traitées par des mesures isolées. Contrairement aux approches traditionnelles axées sur la prévention, elle exige une capacité à maintenir ou rétablir rapidement les fonctions essentielles après un incident, intégrant ainsi une dimension proactive et adaptative dans la gestion des risques.
Ce que ça pourrait changer
Cette refonte des normes pourrait entraîner un durcissement des obligations pour les IMF et leurs prestataires, avec des exigences accrues en matière de transparence, de redondance des systèmes et de plans de continuité. À plus long terme, elle pourrait aussi redéfinir les rapports de force entre régulateurs et acteurs privés, en imposant une gouvernance plus centralisée des risques technologiques. Enfin, cette évolution interroge la capacité des juridictions à harmoniser leurs approches, alors que les cybermenaces transcendent les frontières.
