Le secteur financier fait appel dans une large mesure aux technologies de l’information et de la communication (TIC). La pandémie de COVID-19 actuelle contribuera probablement à accélérer ce phénomène, compte tenu des avantages d’un accès continu à distance aux services financiers. La dépendance à l’égard des technologies numériques suscite cependant des inquiétudes. Les entreprises doivent être capables de résister à d’éventuelles perturbations informatiques afin que les incidents et les menaces numériques soient traités et les services maintenus. Dans un secteur financier fortement interconnecté qui déploie des services transfrontières essentiels dont dépend l’économie réelle, les vulnérabilités qui découlent de la dépendance aux TIC, bien qu’elles concernent tous les secteurs économiques, sont particulièrement prononcées en raison 1) de l’utilisation intensive et étendue des TIC, et 2) de la possibilité que les effets d’un incident opérationnel dans une entreprise financière ou un sous-secteur financier se propagent rapidement à d’autres entreprises ou parties du secteur financier et, en fin de compte, au reste de l’économie. Bien que le secteur financier soit très avancé dans son intégration des marchés et des réglementations et qu’il prospère grâce à un ensemble unique de règles harmonisées – le corpus réglementaire unique de l’Union –, la réponse apportée par l’Union européenne aux besoins accrus de résilience opérationnelle au niveau tant horizontal que sectoriel: -soit a été fondée sur une harmonisation minimale, laissant ainsi le champ libre à l’interprétation nationale et à la fragmentation du marché unique, -soit s’est révélée trop générale et d’une applicabilité limitée, traitant le risque opérationnel global dans une mesure variable, en réglementant partiellement certaines composantes de la résilience opérationnelle numérique (par exemple, la gestion des risques informatiques, la notification des incidents et le risque lié aux tiers prestataires de services informatiques) tout en laissant d’autres de côté (tests). Jusqu’à présent, l’intervention de l’Union n’a pas abordé le risque opérationnel d’une manière qui corresponde aux besoins des entreprises financières de résister et de réagir aux vulnérabilités informatiques et de s’en rétablir, et elle ne fournit pas non plus aux autorités de surveillance financière les outils dont elles ont besoin pour s’acquitter de leur mandat consistant à maîtriser l’instabilité financière découlant de ces vulnérabilités informatiques. Les lacunes et les incohérences actuelles ont favorisé la prolifération d’initiatives nationales (par exemple en matière de tests) et d’approches de surveillance (par exemple en ce qui concerne les relations de dépendance à l’égard de tiers prestataires de services informatiques) non coordonnées, ce qui se traduit soit par des chevauchements, des doubles emplois dans les exigences ainsi que des coûts administratifs et de mise en conformité élevés pour les entreprises financières transfrontières, soit par des risques informatiques qui ne sont ni détectés ni traités. Dans l’ensemble, la stabilité et l’intégrité du secteur financier ne sont pas garanties et le marché unique des services financiers demeure fragmenté, ce qui a pour conséquence d’affaiblir la protection des consommateurs et des investisseurs.