La conformité au rulebook technologique VARA (Technology and Information Rulebook) commence avant la délivrance de la licence : la politique de cybersécurité part à la VARA avec la demande. Nous la rédigeons d'après vos systèmes réels et mettons en place la gestion des clés, le rôle du CISO, le plan de continuité et les preuves que la VARA peut demander à tout moment.
Le Technology and Information Rulebook s'applique à tout VASP agréé par la VARA pour exercer une activité sur actifs virtuels à Dubaï et fait partie des Virtual Assets and Related Activities Regulations 2023. Sauf mention contraire, ses exigences sont des règles contraignantes.
Le rulebook compte trois parties : gouvernance, contrôles et sécurité technologiques ; protection des données personnelles ; informations confidentielles. L'annexe 1 liste les catégories de risque que votre cadre de gouvernance doit couvrir, des actifs virtuels des clients à la résilience opérationnelle numérique.
Il s'applique avec les autres rulebooks de la VARA, dont le Company Rulebook et ceux propres à chaque activité. Notre équipe licence VASP aux Émirats gère la demande et ces volets.
Le VASP soumet sa politique de cybersécurité à l'évaluation de la VARA pendant l'instruction de la licence, puis sur demande, et le CISO la réexamine au moins une fois par an. La règle I.B.3 en fixe le contenu minimal.
Parmi les thèmes exigés : classification des données, contrôle d'accès, sécurité des systèmes et du réseau avec audit du code et des smart contracts, développement, sécurité physique, fournisseurs, réponse aux incidents avec analyse de la cause racine, escalade en cas de rançongiciel, partage du renseignement sur les menaces.
La politique décrit comment l'entreprise applique l'authentification multifacteur, ou un standard plus fort, aux transactions au-delà des plafonds clients et à celles qui suivent un changement de données client comme une adresse de portefeuille, ainsi que les contrôles de session.
Nous rédigeons la politique d'après votre architecture, pour que chaque clause se démontre dans une configuration.
Le VASP nomme un CISO responsable du respect des parties I et III du rulebook ; il doit être une personne distincte du responsable de la conformité et peut aussi exercer la fonction de DPO. Clés et portefeuilles sont gérés sans point de défaillance unique.
Le CISO doit être honorable et expérimenté. La direction réexamine régulièrement l'efficacité des contrôles et répartit les rôles pour prévenir les conflits d'intérêts.
Nous documentons arrivées, départs, attribution et retrait des rôles dans le système de gestion des clés.
Le VASP mandate un auditeur tiers qualifié et indépendant pour des évaluations de vulnérabilités et des tests d'intrusion au moins une fois par an et avant toute mise en service de nouveaux systèmes, applications et produits. Les résultats vont à la VARA sur demande.
Selon l'activité, le périmètre inclut l'audit des smart contracts. Les preuves des tests et audits sont documentées et mises immédiatement à disposition de la VARA sur demande (règle I.E.3). Des auditeurs indépendants examinent aussi régulièrement les processus de gestion et la conformité réglementaire (I.E.4), et la VARA peut exiger des tests avancés de type TLPT (I.E.5).
Un tiers indépendant mène le test et l'audit. Nous préparons le périmètre, corrigeons les faiblesses connues avant le test, puis intégrons les constats au plan et revérifions.
Le VASP signale à la VARA un événement de cybersécurité significatif, ou un événement qui déclenche le plan de continuité et de reprise (BCDR) et affecte sensiblement l'activité, dès que raisonnablement possible et au plus tard 72 heures après sa détection. Le plan BCDR est testé et mis à jour chaque année.
Pour un incident touchant des données personnelles, le VASP notifie la VARA dans les 24 heures suivant la notification à une autorité de protection des données ou à la personne concernée (règle II.C.2). Le plan BCDR traite les risques propres aux actifs virtuels : défaillance du réseau, perte ou corruption de données, stockage des clés.
| Exigence | Ce que cela signifie | Source |
|---|---|---|
| S'applique à tout VASP agréé par la VARA ; les exigences sont des règles contraignantes sauf mention contraire | La conformité est due dès le premier jour de la licence | VARA, Technology and Information Rulebook, Introduction |
| Politique de cybersécurité soumise à la VARA lors de la licence et sur demande ; réexamen annuel par le CISO (I.B.1–2) | La politique fait partie du dossier de licence | VARA Rulebook, I.B |
| Un CISO distinct du responsable de la conformité ; cumul avec la fonction de DPO admis (I.I.1, II.B.2) | Il faut une personne nommée et expérimentée | VARA Rulebook, I.I et II.B |
| Aucun point de défaillance unique dans l'accès aux actifs virtuels ; audits internes trimestriels du retrait des accès aux clés (I.D.2) | Les procédures de gestion des clés sont vérifiées chaque trimestre | VARA Rulebook, I.D |
| Auditeur tiers indépendant : évaluation des vulnérabilités et test d'intrusion chaque année et avant tout nouveau système (I.E.1) | Un tiers indépendant teste ; la VARA reçoit les résultats sur demande | VARA Rulebook, I.E.1 |
| Événement de cybersécurité significatif signalé à la VARA au plus tard 72 heures après sa détection (I.K.1) | L'évaluation des incidents et le modèle de rapport sont prêts à l'avance | VARA Rulebook, I.K |
| Incident de données personnelles : notifier la VARA dans les 24 heures suivant la notification à l'autorité ou à la personne concernée (II.C.2) | Deux délais pour deux événements, gérés dans une seule procédure | VARA Rulebook, II.C |
Oui. Selon la règle I.B.1 du Technology and Information Rulebook, le VASP soumet sa politique de cybersécurité à l'évaluation de la VARA pendant l'instruction de la licence, puis sur demande. Elle doit couvrir les thèmes minimaux de la règle I.B.3, et le CISO la réexamine au moins une fois par an. Elle décrit donc l'architecture réelle.
Selon la règle I.I.1, le CISO est une personne distincte du responsable de la conformité. Le rulebook l'autorise expressément à exercer aussi la fonction de délégué à la protection des données, ce que confirme la règle II.B.2. Il doit être honorable, expérimenté et responsable du respect des parties I et III.
Un événement de cybersécurité significatif, ou un événement qui déclenche le plan BCDR et affecte sensiblement l'activité, se signale dès que raisonnablement possible et au plus tard 72 heures après sa détection. Un incident de données personnelles se signale dans les 24 heures suivant la notification à l'autorité de protection des données ou à la personne concernée.
Le prix dépend des activités agréées, de l'architecture de conservation, du nombre de systèmes et de prestataires, des smart contracts éventuels et de l'état de vos documents. Après une consultation payante de 30 minutes, nous fixons le périmètre et un prix forfaitaire dans une lettre de cadrage. Le test et l'audit indépendants se règlent à part.
Selon la règle I.E.1, un auditeur tiers qualifié et indépendant, au moins une fois par an et avant la mise en service de nouveaux systèmes, applications et produits. Le VASP remet les résultats à la VARA sur demande. Nous préparons le périmètre en amont, puis intégrons les constats au plan de correction.
Une ligne suffit. Un associé la lit et répond par écrit sous 24 heures.
Ou écrivez à hello@innovacg.com
