SUJET: Young Platform S.p.A.
Données Sociétaires
- Dénomination sociale : Young Platform S.p.A.
- Siège social : Via Francesco Cigna 96/17, 10155 Turin (TO), Italie.
- N° de TVA / Code Fiscal : 11931440017.
Préambule
Le présent document a pour objet de certifier l’alignement des procédures internes de Young Platform S.p.A. (ci-après la « Société ») avec les dispositions européennes en matière de résilience opérationnelle numérique dans le secteur financier, en stricte conformité avec :
- Règlement (UE) 2022/2254 (DORA) : Relatif à la résilience opérationnelle numérique du secteur financier, établissant des exigences uniformes pour la sécurité des réseaux et des systèmes d’information des entités financières, y compris les prestataires de services sur crypto-actifs réglementés par MiCA.
- Règlement (UE) 2023/1114 (MiCA) : Définissant le cadre prudentiel et organisationnel des Prestataires de Services sur Crypto-Actifs (PSCA), complété par DORA pour les aspects liés aux TIC et à la gestion du risque opérationnel numérique.
Le Digital Operational Resilience Act (DORA) harmonise au sein de l’Union Européenne les normes de cybersécurité, de continuité des activités et de gestion des risques liés aux TIC applicables aux opérateurs financiers, y compris les plateformes d’échange de crypto-actifs.
Champ d’Application
Suite à l’entrée en vigueur du Règlement DORA, Young Platform est assujettie aux exigences relatives à :
- La gestion des risques liés aux TIC ;
- La notification obligatoire des incidents majeurs ;
- Les tests de résilience opérationnelle numérique ;
- La gestion des risques liés aux prestataires tiers de services TIC ;
- Le partage d’informations sur les menaces (Threat Intelligence).
Procédures Opérationnelles de Conformité
Afin de garantir le plein respect des obligations prévues par DORA, Young Platform a mis en œuvre un cadre (framework) structuré en cinq macro-domaines :
1. Gestion des Risques liés aux TIC
La Société a adopté un système intégré de gouvernance et de contrôle des risques TIC qui prévoit :
- L’identification, l’évaluation et le suivi continu des cyber-risques ;
- L’adoption de contrôles de sécurité à plusieurs niveaux (techniques et organisationnels) ;
- Le maintien de politiques TIC, mises à jour et révisées périodiquement.
2. Gestion et Notification des Incidents TIC
Conformément aux obligations européennes, Young Platform a défini des procédures pour :
- La détection rapide des incidents opérationnels ou de sécurité ;
- La classification des incidents selon les critères DORA (niveaux de gravité et d’impact) ;
- La notification aux autorités compétentes dans les délais prescrits par la législation ;
- L’analyse post-incident (post-mortem) et la mise en œuvre de mesures correctives.
3. Tests de Résilience Opérationnelle Numérique
La Société réalise périodiquement des tests de résilience pour garantir la fiabilité des systèmes, incluant :
- Des évaluations de vulnérabilité et des tests d’intrusion réguliers ;
- Des tests avancés fondés sur la menace (Threat-Led Penetration Testing – TLPT), lorsque requis par le régulateur ;
- Des simulations de crise et des scénarios d’interruption des services critiques.
4. Gestion des Risques liés aux Tiers TIC
Young Platform applique un processus rigoureux de gestion des fournisseurs (vendor management), qui comprend :
- Une vérification préalable des prestataires tiers critiques de services TIC (due diligence et évaluation des risques) ;
- Des clauses contractuelles conformes à DORA concernant la sécurité, l’auditabilité et la continuité de service ;
- Un suivi continu des performances, des niveaux de service et des risques ;
- L’adoption de stratégies de sortie (exit strategies) pour les services critiques.
Infrastructure Technologique et Sécurité
Pour garantir une résilience opérationnelle totale et la protection des utilisateurs, des systèmes avancés de surveillance continue (24/7) des infrastructures numériques ont été mis en place. De plus, une stratégie multiniveau pour la sécurité des données est adoptée, basée sur :
- Le chiffrement avancé ;
- L’authentification forte du client (SCA) ;
- La segmentation des systèmes critiques ;
- Des protocoles de sauvegarde (backup) et de reprise après sinistre (disaster recovery).
Les infrastructures cloud et sur site (on-premise) respectent les normes de sécurité internationales (ISO/IEC 27001, ISO 22301).
