Accompagnement à la conformité DORA

Transformez les exigences DORA en mesures concrètes de résilience informatique.

De l’analyse des risques aux tests de résilience, Déessi vous accompagne dans la mise en œuvre d’une démarche DORA proportionnée, adaptée à vos activités critiques et à vos contraintes opérationnelles.

conformité dora deessi

Qu’est-ce que DORA ?

DORA, ou Digital Operational Resilience Act, est une réglementation de l’Union Européenne qui vise à renforcer la résilience opérationnelle numérique des entreprises du secteur financier. Entrée en vigueur en janvier 2023, elle verra son application effective dès le 17 janvier 2025.

L’objectif de cette réglementation est de garantir la continuité d’activité des entreprises concernées, même en cas de cyberattaque. De plus, DORA harmonise les règles de cybersécurité au sein du secteur financier de l’UE, en prenant le pas sur la réglementation propre à chaque pays.

Accompagnement à la conformité DORA

Nos experts vous recontactent rapidement afin d’échanger sur votre projet.

Pourquoi recourir à DORA ?

Pour le secteur financier, outre le respect de la réglementation, la continuité d’activité et la protection face aux cyberattaques représentent des enjeux cruciaux :

  • Les informations financières et personnelles des clients sont des données à haute sensibilité,
  • Le secteur financier attire la convoitise et s’expose à des attaques informatiques de plus en plus sophistiquées,
  • Les acteurs du secteur financier ont à cœur de préserver la confiance et la crédibilité obtenue auprès de leurs clients,
  • En cas de cyber incident, il est important de prévenir tout risque de répercussion sur le reste de l’écosystème financier du pays.

La réglementation DORA s’inscrit ainsi dans une approche globale de protection de la stabilité économique des pays de l’Union européenne.

La Solution Déessi d’accompagnement à la Conformité DORA

Chez Déessi, nous avons intégré au sein même de notre fonctionnement les mesures nécessaires à la conformité DORA.

Grâce à notre expérience dans ce domaine, nous sommes hautement qualifiés pour aider nos clients à naviguer dans ce processus de mise en conformité complexe. Nous offrons pour cela un accompagnement personnalisé qui tient compte des besoins spécifiques de chaque entreprise.

Nous aidons nos clients à respecter les exigences de DORA en mettant en œuvre des actions telles que :

  1. Évaluation et gestion des risques : Nous assistons nos clients dans l’identification des risques informatiques encourus par l’entreprise et nous établissons des politiques de sécurité informatique afin d’atténuer ces risques.
  2. Mise en place d’une gouvernance solide : Nous nous assurons que la direction de l’entreprise soit activement impliquée dans la gestion de la cybersécurité et dans la mise en place d’évaluations régulières.
  3. Conduite des tests de résilience : Nous réalisons, en mode “white box” (en collaboration avec vos responsables informatiques) ou en mode “black box” (en situation d’attaque proche de la réalité), des simulations et tests pour s’assurer que vos systèmes sont suffisamment résistants aux attaques.
  4. Gestion et signalement des incidents : Nous vous accompagnons dans la mise en place de procédures claires et efficaces pour gérer et pour signaler les incidents de sécurité.

Cette liste est bien entendue non exhaustive.

La Solution Déessi

Détails de la Solution Déessi Conformité DORA

Spécifications

  • Réalisation d’analyses de risques et d’audits de conformité aux bonnes pratiques

  • Accompagnement à l’élaboration des documents essentiels

  • Mise en place de procédures de gestion et de signalement des incidents

  • Organisation de programmes de tests de résilience, y compris de tests d’intrusion

  • Sensibilisation des employés sur les enjeux de cybersécurité

Avantages

  • Expertise adaptée aux enjeux des TPE/PME selon un principe de proportionnalité

  • Suivi régulier et conseils proactifs pour assurer la conformité continue avec DORA

  • Expertise approfondie en matière de conformité réglementaire

  • Accompagnement personnalisé prenant en compte le contexte spécifique de chaque entreprise.

  • Garanties de conformité avec les exigences réglementaires européennes

Et ensuite…

  • Nos experts DORA restent à votre disposition pour vous accompagner sur le long terme, en assurant l’amélioration continue de vos pratiques et l’assistance en cas de signalement d’incidents.

Nos certifications

La sécurité, la confidentialité et la disponibilité des systèmes d’information doivent s’appuyer sur des engagements vérifiables et des référentiels reconnus. Chez Déessi, nos certifications témoignent de notre engagement à accompagner nos clients dans des environnements exigeants, qu’il s’agisse d’infrastructures critiques, de données sensibles ou d’obligations réglementaires spécifiques.

ISO/IEC 27001:2022 (système de management de la sécurité de l’information)

  • Fourniture d’infrastructures d’hébergement informatique (IaaS)

  • Fourniture d’infrastructures de sauvegarde de données

  • Maintien en condition opérationnelle et en condition de sécurité de services d’hébergement de données sensibles

HDS (Hébergeur de Données de Santé – référentiel v2) Certification couvrant l’ensemble des 6 activités réglementaires (référencée sur esante.gouv.fr) :

  • Hébergement d’infrastructures physiques

  • Hébergement d’infrastructures matérielles

  • Hébergement d’infrastructures virtuelles

  • Hébergement de plateformes applicatives

  • Administration et exploitation des systèmes d’information

  • Sauvegarde de données de santé

Conformité DORA

Sécurisez vos activités critiques et préparez votre conformité DORA.

Nos experts vous accompagnent pour définir les priorités, structurer votre démarche et renforcer durablement votre résilience informatique.
Je contacte Déessi

Les questions fréquentes sur la conformité DORA

DORA (Digital Operational Resilience Act) est le règlement européen (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier.

Contrairement à une directive, un règlement s’applique directement dans tous les États membres : ses obligations sont en vigueur depuis le 17 janvier 2025.

Son objectif est d’assurer que les organisations concernées puissent prévenir les incidents liés aux technologies de l’information et de la communication (TIC), y répondre efficacement et maintenir ou rétablir leurs activités critiques en cas de perturbation.

Le règlement couvre cinq piliers complémentaires : la gouvernance et la gestion des risques liés aux TIC, la gestion et la notification des incidents, les tests de résilience opérationnelle numérique, la maîtrise des risques liés aux prestataires TIC, ainsi que le partage d’informations sur les cybermenaces.

DORA ne se limite pas à la cybersécurité technique : il porte sur la capacité globale de l’organisation à poursuivre ses activités malgré des incidents.

DORA s’adresse à un large éventail d’acteurs du secteur financier, incluant les établissements de crédit et de paiement, les entreprises d’investissement, les sociétés d’assurance et de réassurance, les gestionnaires d’actifs, certains fonds de pension ainsi que plusieurs catégories de prestataires de services financiers.

Les obligations varient en fonction de la nature, de la taille, du profil de risque et de la complexité de chaque organisation, suivant un principe de proportionnalité. En France, la supervision relève principalement de l’ACPR et de l’AMF selon le statut de l’entité.

Une analyse de votre activité, de votre statut et des services concernés reste donc nécessaire pour déterminer précisément les obligations applicables à votre organisation.

Oui. Même si une entreprise n’est pas elle-même une entité financière, elle peut être directement impactée lorsqu’elle fournit des services informatiques à une organisation soumise à DORA.

Dans ce cas, ses clients peuvent lui imposer des exigences renforcées en matière de sécurité, de continuité, d’audit, de notification des incidents, de gestion de la sous-traitance ou de réversibilité. Le règlement prévoit en effet des règles précises sur la maîtrise des risques liés aux prestataires TIC et sur le contenu des contrats qui les lient.

Par ailleurs, les prestataires TIC jugés critiques pour l’ensemble du secteur financier européen peuvent être désignés comme tels par les autorités européennes de surveillance et placés sous un cadre de supervision dédié.

DORA repose sur plusieurs axes complémentaires. Il exige une gouvernance solide et une gestion rigoureuse des risques liés aux TIC :

  • les organisations doivent identifier, classer et notifier les incidents majeurs selon des procédures et des délais précis ;
  • elles doivent réaliser régulièrement des tests de résilience opérationnelle numérique pour vérifier leur capacité à faire face à différents scénarios ;
  • elles doivent maîtriser les risques liés à leurs prestataires TIC et tenir à jour un registre d’informations recensant leurs accords contractuels ;
  • elles doivent conserver les informations et preuves permettant de démontrer leur conformité.

Certaines entités doivent en plus effectuer des tests avancés fondés sur la menace, appelés TLPT.

Les mesures à mettre en place doivent être adaptées aux risques, aux activités critiques et à la complexité de chaque organisation.

La première étape consiste à faire un état des lieux objectif de votre situation actuelle : examiner votre gouvernance, identifier vos systèmes et activités critiques, analyser vos risques TIC, évaluer vos procédures de gestion des incidents, vos dispositifs de continuité d’activité, les tests déjà réalisés ainsi que vos dépendances vis-à-vis des prestataires.

Ce diagnostic permet non seulement d’identifier les écarts par rapport aux exigences, mais aussi de valoriser vos bonnes pratiques existantes.

Déessi peut ensuite vous aider à construire une feuille de route priorisant les actions urgentes, tout en planifiant les chantiers plus structurants selon le niveau réel de risque.

Nous débutons par un cadrage du périmètre d’intervention, en identifiant les fonctions critiques et en évaluant la maturité de votre organisation.

L’analyse porte sur la gestion des risques TIC, les procédures de gestion des incidents, les plans de continuité ainsi que vos relations avec les prestataires.

Nous vous assistons pour formaliser ou améliorer vos politiques et procédures, définir clairement les responsabilités, mettre en place les contrôles attendus et préparer les preuves nécessaires.

L’accompagnement peut aussi inclure l’organisation d’exercices de crise, des tests de résilience et le suivi régulier du plan d’actions dans la durée.

La gouvernance est au cœur du dispositif prévu par DORA.

La direction doit définir et superviser le cadre global de gestion des risques TIC, approuver les principales politiques internes, suivre l’évolution des risques et disposer des connaissances suffisantes pour comprendre leurs impacts sur l’activité.

La conformité ne peut pas être déléguée entièrement aux équipes techniques : la direction doit pouvoir arbitrer les priorités, allouer les ressources nécessaires et démontrer qu’elle pilote activement la résilience informatique.

Le règlement requiert que les responsabilités liées aux risques TIC soient clairement définies et effectivement exercées. En revanche, il ne rend pas obligatoire le recrutement systématique d’un Responsable de la Sécurité des Systèmes d’Information (RSSI) interne à temps plein.

Selon la taille et l’organisation interne, ce rôle peut être tenu par un RSSI dédié, un Directeur des Systèmes d’Information (DSI), une fonction dédiée à la gestion des risques ou un prestataire externe.

Déessi propose un accompagnement personnalisé, que ce soit pour appuyer vos responsables internes ou pour assurer la fonction de RSSI via une prestation externalisée, afin de piloter le plan d’actions, coordonner les acteurs impliqués et maintenir la conformité dans le temps.

Votre organisation doit disposer d’un processus clair permettant de détecter, enregistrer, qualifier, gérer et documenter tous les incidents informatiques, et de déterminer si un incident atteint le seuil de l’« incident majeur » imposant une déclaration officielle auprès de l’autorité compétente.

Les délais réglementaires sont précis et courts : notification initiale dans les 4 heures suivant la classification de l’incident comme majeur (et au plus tard 24 heures après sa détection), rapport intermédiaire dans les 72 heures suivant la notification initiale, puis rapport final dans un délai d’un mois.

La préparation implique donc une chaîne d’alerte bien définie, des responsabilités clairement établies, des critères précis pour classer les incidents et une conservation rigoureuse des informations nécessaires au reporting.

Pour garantir cette efficacité, il est conseillé d’organiser régulièrement des exercices permettant de coordonner les équipes techniques, la direction, les services juridiques et les métiers.

DORA prévoit que chaque organisation mette en œuvre un programme de tests adapté à son profil de risque.

Ce programme peut inclure différentes formes d’évaluations : analyse des vulnérabilités, tests fondés sur des scénarios réalistes, exercices de restauration après incident, simulations de continuité d’activité ou encore tests d’intrusion.

L’objectif n’est pas simplement d’avoir un document ou une procédure, mais de démontrer que vos systèmes, vos procédures et vos équipes sont capables de réagir efficacement face à des situations concrètes.

Les résultats doivent être analysés soigneusement, documentés et suivis jusqu’à la correction complète des faiblesses détectées.

Non. Les tests avancés fondés sur la menace (TLPT, pour Threat-Led Penetration Testing) ne concernent qu’une sélection d’entités financières désignées par les autorités compétentes en fonction de critères spécifiques. Pour ces entités, ils doivent en principe être réalisés au moins tous les trois ans, selon un cadre aligné sur le référentiel européen TIBER-EU.

Les autres organisations restent néanmoins tenues d’effectuer régulièrement des tests adaptés à leur profil afin d’assurer leur résilience numérique.

Déessi peut vous conseiller sur les types de tests pertinents pour votre situation, planifier leur réalisation et vous accompagner dans l’exploitation des résultats dans une démarche d’amélioration continue.

Le règlement impose aux entités financières une maîtrise rigoureuse des risques liés à leurs prestataires TIC qui interviennent dans leurs activités critiques ou soutiennent leurs fonctions essentielles.

Cela comprend l’identification précise des dépendances vis-à-vis des fournisseurs, l’évaluation préalable des risques avant toute contractualisation, un suivi régulier des services fournis, ainsi que la mise en place de mécanismes garantissant la sortie ou la réversibilité en cas de besoin.

Les contrats doivent intégrer des clauses spécifiques relatives à la sécurité, à la gestion des incidents, aux audits, à la sous-traitance éventuelle, à la localisation des données ainsi qu’à la continuité des services.

Par ailleurs, un registre d’informations actualisé doit recenser l’ensemble de ces accords contractuels ; il peut être demandé à tout moment par les autorités de supervision.

Non. Externaliser un service informatique ne décharge pas l’entité financière de sa responsabilité réglementaire.

Elle doit rester capable d’évaluer les risques liés au service externalisé, de contrôler sa qualité et de démontrer que ses contrats ainsi que ses mesures opérationnelles sont adaptés et respectés.

Cette obligation s’applique notamment aux services cloud, à l’hébergement, aux logiciels métiers, à l’infogérance ou encore aux solutions de cybersécurité.

Le niveau de contrôle exercé doit correspondre à la criticité du service et à son impact potentiel sur l’activité.

Les documents attendus varient selon le périmètre couvert par votre organisation, mais comprennent généralement le cadre global de gestion des risques informatiques, une cartographie détaillée des actifs et fonctions critiques, les procédures relatives à la gestion des incidents ainsi que vos plans de continuité et de reprise d’activité.

Il faut aussi pouvoir présenter les comptes rendus détaillés des tests réalisés ainsi que le registre d’informations, tenu à jour, de vos prestataires informatiques.

Au-delà du simple volume documentaire, il s’agit surtout d’apporter des preuves concrètes que les mesures sont bien appliquées : résultats obtenus lors des tests, rapports issus des comités internes, suivi des incidents déclarés, revues régulières avec les prestataires ou encore actions menées en matière de sensibilisation du personnel.

La détection d’écarts est une étape normale du diagnostic initial.

Chaque écart est analysé en tenant compte du risque qu’il représente pour vos fonctions critiques, de son urgence ainsi que de la complexité de sa correction.

Déessi vous accompagne ensuite pour élaborer un plan d’actions réaliste et priorisé : certaines mesures peuvent être mises en œuvre rapidement, alors que d’autres nécessitent un travail plus approfondi impliquant notamment les instances dirigeantes, les contrats avec vos prestataires ou vos systèmes techniques.

L’objectif est d’adopter une trajectoire progressive vers la conformité, clairement démontrable, plutôt que d’établir une simple liste théorique de recommandations.

La conformité ne peut se limiter à un contrôle ponctuel : elle requiert une démarche continue, car vos risques évoluent avec vos systèmes d’information, vos activités et vos fournisseurs.

Le dispositif doit donc être régulièrement remis à jour : actualisation de votre cartographie des risques informatiques, suivi constant des incidents survenus, réalisation programmée des tests prévus ainsi que contrôle périodique de vos prestataires et mise à jour du registre d’informations.

Déessi peut prendre en charge ce suivi dans le cadre d’une mission dédiée ou l’intégrer dans une prestation plus globale de RSSI externalisé, afin d’assurer une gouvernance efficace et pérenne de votre système d’information.