Le Digital Operational Resilience Act (DORA) instaure un cadre complet de résilience opérationnelle numérique pour l'ensemble du secteur financier de l'UE. Il établit des exigences uniformes en matière de gestion des risques informatiques, de signalement d'incidents, de tests de résilience et de supervision des prestataires tiers.
L'article 9 impose aux entités financières de mettre en œuvre des politiques de contrôles cryptographiques et de gestion des clés dans le cadre de leur sécurité informatique. L'article 15 requiert des évaluations approfondies des risques informatiques englobant l'infrastructure de certificats et les actifs cryptographiques. Ces exigences font de la gouvernance PKI robuste une nécessité réglementaire.
DORA s'applique largement aux banques, assureurs, entreprises d'investissement, prestataires de services sur crypto-actifs et, de manière essentielle, aux prestataires tiers critiques de services informatiques tels que les services cloud et les fournisseurs d'infrastructure. Cette large portée signifie que les pratiques de gestion des certificats doivent être gouvernées non seulement en interne, mais aussi à travers l'ensemble de la chaîne d'approvisionnement.
