Le secteur financier repose dans une large mesure sur les technologies de l’information et de la communication (TIC). L’actuelle pandémie de COVID-19 va probablement accélérer ce phénomène, compte tenu des avantages inhérents à la garantie d’un accès continu à distance aux services financiers. La dépendance à l’égard des technologies numériques suscite cependant des préoccupations. Les entreprises doivent être capables de surmonter d’éventuelles perturbations informatiques, de telle sorte que les incidents et les menaces numériques soient traités, et les services maintenus. Dans un secteur financier fortement interconnecté, qui déploie des services transfrontières essentiels dont dépend l’économie réelle, les vulnérabilités qui découlent de la dépendance aux TIC, bien qu’elles concernent tous les secteurs économiques, sont particulièrement prononcées en raison 1) de l’utilisation intensive et étendue des TIC, et 2) de la possibilité que les effets d’un incident opérationnel survenu dans une entreprise financière ou un sous-secteur financier en particulier se propagent rapidement à d’autres entreprises ou parties du secteur financier et, en fin de compte, au reste de l’économie. Bien que le secteur financier soit très avancé dans son intégration des marchés et des réglementations et qu’il prospère grâce à un ensemble unique de règles harmonisées – le corpus réglementaire unique de l’Union –, la réponse apportée par l’Union européenne aux besoins accrus de résilience opérationnelle au niveau tant horizontal que sectoriel: -soit a été fondée sur une harmonisation minimale, qui laisse une marge d’interprétation au niveau national, source de fragmentation du marché unique, -soit s’est révélée trop générale et limitée dans son application, traitant le risque opérationnel global dans une mesure variable, en réglementant partiellement certaines composantes de la résilience opérationnelle numérique (par exemple, la gestion des risques informatiques, la notification des incidents et le risque lié aux tiers prestataires de services informatiques) tout en laissant d’autres de côté (tests). Jusqu’à présent, l’action de l’Union n’a pas traité le risque opérationnel d’une manière qui corresponde aux besoins des entreprises financières de résister aux vulnérabilités informatiques, d’y répondre et de s’en rétablir, et elle ne fournit pas non plus aux autorités de surveillance financière les outils dont elles ont besoin pour s’acquitter de leur mandat consistant à maîtriser l’instabilité financière découlant de ces vulnérabilités informatiques. Les lacunes et les incohérences actuelles ont favorisé la prolifération d’initiatives nationales (par exemple, en matière de tests) et d’approches de surveillance (par exemple, en ce qui concerne les relations de dépendance à l’égard de tiers prestataires de services informatiques) non coordonnées, ce qui se traduit soit par des chevauchements, des doublons dans les exigences ainsi que des coûts administratifs et de mise en conformité élevés pour les entreprises financières transfrontières, soit par des risques informatiques qui ne sont ni détectés ni traités. Dans l’ensemble, la stabilité et l’intégrité du secteur financier ne sont pas garanties et le marché unique des services financiers demeure fragmenté, ce qui a pour conséquence d’affaiblir la protection des consommateurs et des investisseurs.