Sécurité offensive
Gouvernance & conformité
Protection des données
Référentiels & règlementsAccompagnement à la mise en conformité DORA
Gouvernance & conformité
Accompagnement à la mise en conformité DORA
Depuis son entrée en application le 17 janvier 2025, la résilience numérique des institutions financières est passée sous la surveillance directe des superviseurs : ACPR pour la banque-assurance, AMF pour les marchés, en coordination avec la Banque de France et les autorités européennes (EBA, EIOPA, ESMA). Digitemis vous aide à instaurer une conformité solide et durable : dispositif unifié, preuves prêtes, sérénité pour vos clients, partenaires et actionnaires.
Qu’est-ce que le règlement DORA ?
Le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier, dit DORA (Digital Operational Resilience Act), s’applique depuis le 17 janvier 2025. Il vise les banques, les assurances, les sociétés de gestion, les établissements de paiement et de monnaie électronique, les prestataires de services sur crypto-actifs, ainsi que les prestataires de services TIC (technologies de l’information et de la communication) jugés critiques, supervisés directement au niveau européen.
Pour ces entités, DORA prime sur NIS 2 dans les domaines qu’il couvre. Les grandes banques de la zone euro relèvent directement de la Banque centrale européenne. Les exigences s’appliquent de façon proportionnée à la taille, à la nature et au profil de risque de chaque entité.
Les piliers du règlement
Le texte s’organise en quatre ensembles d’obligations, dont l’organe de direction porte la responsabilité, et un dispositif facultatif de partage d’informations.
Gestion des risques TIC (art. 5 à 16)
Cadre de gestion approuvé par la direction, protection, détection, continuité, sauvegarde et restauration
Incidents liés aux TIC (art. 17 à 23)
Processus de gestion, classification, notification des incidents majeurs
Tests de résilience (art. 24 à 27)
Programme de tests, tests de pénétration fondés sur la menace pour les entités désignées
Prestataires TIC tiers (art. 28 à 44)
Registre d’informations, clauses contractuelles, stratégie de sortie
Partage d’informations (art. 45)
Échanges facultatifs de renseignements sur les cybermenaces, déclarés à l’autorité
La notification des incidents majeurs
Un incident lié aux TIC classé comme majeur se déclare à l’autorité compétente en trois temps.
- 4 h
Notification initiale
Après la classification comme incident majeur, au plus tard 24 h après en avoir eu connaissance
- 72 h
Rapport intermédiaire
Après la notification initiale, puis à chaque évolution significative
- 1 mois
Rapport final
Un mois après le rapport intermédiaire ou sa dernière mise à jour : causes, impact réel, mesures prises
Les tests de résilience
DORA demande un programme de tests proportionné, conduit par des équipes indépendantes, internes ou externes. Chaque test donne lieu à un compte rendu et à des actions correctives.
| Type de test | Ce que dit DORA |
|---|---|
| Tests des plans de continuité et de reprise | Au moins une fois par an pour les systèmes qui soutiennent l’ensemble des fonctions, et après toute modification substantielle des systèmes qui soutiennent des fonctions critiques ou importantes (article 11) |
| Tests techniques | Analyses de vulnérabilités, revues de code, tests d’intrusion : au moins une fois par an sur les systèmes qui soutiennent des fonctions critiques ou importantes (articles 24 et 25) |
| Tests de pénétration fondés sur la menace | Au moins tous les trois ans, pour les entités désignées par l’autorité (article 26) |
Digitemis, qualifié PASSI LPM par l’ANSSI, conduit les tests techniques et accompagne les tests de continuité et de reprise.
Notre méthode
L’accompagnement suit la structure du règlement et s’adapte à la taille et au profil de risque de votre entité.
Cadrage
Parties prenantes, contexte, programme de conformité et planning.
Analyse d’écart
Évaluation initiale sur chaque pilier, score de maturité, actions rapides.
Gouvernance des risques TIC
Cadre de gestion, politiques, plan de traitement, contrôle interne.
Mise en œuvre
Incidents, tests de résilience, prestataires TIC, sensibilisation, registres.
Pilotage
Indicateurs, reporting trimestriel à la direction, amélioration continue.
Parmi les livrables : les politiques et procédures du dispositif, et un kit contractuel pour les prestataires TIC en français et en anglais (clauses, matrice de criticité, plan de sortie).
Ils nous font confiance
informations
Contactez-nous
Vous devez démontrer votre conformité DORA, sécuriser vos fournisseurs critiques ou tester votre PRA ? Remplissez le formulaire, nous reviendrons vers vous rapidement pour un premier échange.
Expertises liées
FAQ
Questions fréquentes
Si vous avez d’autres questions, n’hésitez pas à nous contacter directement !
Nous sommes certifiés ISO 27001 : sommes-nous couverts ?
En partie. DORA ajoute la gouvernance des prestataires TIC, les tests de résilience opérationnelle et la notification des incidents dans des délais courts. L’analyse d’écart mesure ce qui reste à couvrir.
Toutes les entités financières ont-elles les mêmes obligations ?
Non. Le règlement s’applique de façon proportionnée, et certaines entités relèvent d’un cadre simplifié de gestion du risque lié aux TIC (article 16). L’analyse d’écart tient compte de votre situation.
Pouvez-vous mener nos tests de résilience ?
Oui : nous réalisons les tests d’intrusion et les exercices de crise, et accompagnons les tests de continuité, avec les rapports techniques et la synthèse destinée à la direction. Pour les entités désignées, nous accompagnons aussi la préparation des tests de pénétration fondés sur la menace.
Comment encadrer nos prestataires de services TIC ?
DORA impose un registre d’informations sur les contrats de services TIC, des clauses contractuelles minimales et, pour les fonctions critiques ou importantes, une stratégie de sortie. Nous évaluons la criticité, rédigeons les clauses et construisons le plan de sortie.
cas client
Découvrez notre approche
cas client
