Sécurité de l'information
DORA
Digital Operational Resilience Act (DORA)
DORA est le règlement de l'Union européenne qui établit des règles communes pour la résilience opérationnelle numérique du secteur financier. Nous vous aidons à combler les lacunes en matière de risque informatique, de notification des incidents, de tests et de surveillance des tiers, et à démontrer votre conformité.
Ce qu'est DORA
Le Digital Operational Resilience Act est une loi de l'Union européenne qui exige des entités financières qu'elles résistent aux perturbations liées aux TIC, y réagissent et s'en rétablissent. Il réunit la gestion du risque TIC, la classification et la notification des incidents, les tests de résilience opérationnelle ainsi que la surveillance des prestataires tiers de TIC au sein d'un cadre harmonisé.
DORA est un règlement dont vous démontrez la conformité, supervisé par les autorités financières compétentes, et non une norme face à laquelle un organisme accrédité vous certifie. Ses obligations s'appliquent à un large éventail d'entités financières et atteignent, par des dispositions contractuelles et de surveillance, les prestataires de TIC qui les servent.
Les cinq piliers de DORA
Pilier 1 · Gestion du risque TIC
Les entités financières doivent maintenir un cadre gouverné de stratégies, de politiques et d'outils pour identifier les risques TIC, s'en protéger et s'en rétablir, la responsabilité ultime incombant à l'organe de direction.
Pilier 2 · Notification des incidents
Les incidents majeurs liés aux TIC doivent être classés selon des critères définis et notifiés à l'autorité compétente concernée au moyen de notifications initiale, intermédiaire et finale selon des délais fixés.
Pilier 3 · Tests de résilience opérationnelle numérique
Les entités doivent mener un programme de tests proportionné, et les plus importantes d'entre elles doivent réaliser des tests de pénétration fondés sur la menace au moins tous les trois ans.
Pilier 4 · Gestion du risque lié aux tiers de TIC
Les contrats avec les prestataires de services de TIC doivent respecter des clauses obligatoires, être consignés dans un registre d'informations, et les prestataires critiques relèvent d'un régime de surveillance européen dédié.
Pilier 5 · Partage d'informations
Le règlement permet aux entités financières d'échanger des renseignements sur les cybermenaces et des indicateurs au sein de communautés de confiance sur une base volontaire.
Normes techniques · RTS et ITS
Les obligations de haut niveau sont précisées sur le plan opérationnel par des normes techniques de réglementation et d'exécution élaborées par les autorités européennes de surveillance.
Qui en a besoin
- Banques, assureurs, entreprises d'investissement et autres entités financières réglementées opérant dans l'UE
- Prestataires de services de paiement, de monnaie électronique et de crypto-actifs relevant des règles financières de l'UE
- Prestataires tiers de TIC dont les services soutiennent des entités financières dans l'UE
Ce que vous obtenez
- Une évaluation des écarts et une feuille de route priorisée face aux exigences de DORA
- Un cadre de gestion du risque TIC avec des processus de classification et de notification des incidents
- Un registre des dispositifs tiers de TIC et un programme de tests de résilience
- Un dossier de preuves de conformité et une préparation à l'échange avec le superviseur
Les délais dépendent de la manière dont DORA s'applique à vous, de la maturité de vos dispositifs de risque TIC et de tiers, et de l'échelle de votre parc. Nous en définissons honnêtement le périmètre en amont plutôt que de promettre un nombre fixe de semaines.
Version actuelle
DORA est entré en vigueur en janvier 2023 et s'applique pleinement depuis le 17 janvier 2025, de sorte que les entités financières concernées et leurs prestataires de TIC sont désormais censés satisfaire à ses obligations plutôt que de s'y préparer. Les exigences détaillées continuent d'être façonnées par les normes techniques de réglementation et d'exécution et par les orientations des autorités européennes de surveillance, dont plusieurs ont été finalisées autour et après la date d'application. La tâche de transition concrète consiste à maintenir alignés votre cadre, votre registre d'informations et vos processus d'incidents à mesure que ces normes se stabilisent et que les autorités compétentes clarifient leurs attentes.
Ce que cela coûte
DORA est un règlement dont vous démontrez la conformité à votre autorité de surveillance, et non une norme assortie d'un certificat à acheter, de sorte qu'aucun frais de certification accréditée n'y est attaché. Les coûts qui l'accompagnent sont nos honoraires de conseil et de mise en œuvre au périmètre défini, chiffrés en amont une fois que nous comprenons votre taille, votre périmètre et votre point de départ, ainsi que tout apport indépendant que vous choisissez d'ajouter, comme un test de résilience fondé sur la menace ou technique, un audit externe, ou des conseils juridiques et spécialisés sur la manière dont les obligations s'appliquent à vous. tr3labs n'est jamais votre certificateur, votre auditeur ou votre régulateur. Nous définissons le périmètre du travail avec vous plutôt que de chiffrer à l'aveugle.
Comment tr3labs vous y amène
Évaluation du périmètre et des écarts
Nous confirmons comment DORA s'applique à vous, cartographions vos dispositifs actuels de gestion du risque TIC, d'incidents, de tests et de tiers par rapport à ses exigences, et vous remettons une feuille de route priorisée.
Construire le cadre
Nous vous aidons à mettre en place le cadre de gestion du risque TIC, les processus de classification et de notification des incidents, ainsi que les exigences relatives au risque lié aux tiers et au registre d'informations que le règlement prévoit.
Tests de résilience et preuves
Nous apportons des tests de sécurité et des revues pour soutenir votre programme de tests de résilience opérationnelle et rassemblons les preuves qui montrent que le cadre fonctionne.
Préparation et accompagnement face au superviseur
Nous vous préparons à démontrer votre conformité à votre autorité de surveillance et maintenons le cadre à jour à mesure que les normes techniques relevant de DORA évoluent.
DORA et ISO 27001 comparés
Tous deux traitent du risque lié aux TIC et à la sécurité de l'information, si bien que les entreprises supposent souvent que satisfaire à l'un satisfait à l'autre.
| DORA | ISO 27001 | |
|---|---|---|
| Couvre | La résilience opérationnelle numérique des entités financières de l'UE | La gestion de la sécurité de l'information pour toute organisation |
| Qui le demande | Les régulateurs financiers et autorités de surveillance de l'UE | Les clients, partenaires et équipes d'achat |
| Idée centrale | Une obligation légale répartie sur cinq piliers de résilience | Une norme de système de management certifiable |
| Modèle d'audit | Surveillance prudentielle, sans certificat | Organisme de certification indépendant accrédité |
| Portée | Les entités financières et leurs tiers de TIC | Toute organisation, adoption volontaire |
| Souvent détenu avec | ISO 27001 comme socle de contrôles | DORA, NIS2 et réglementations sectorielles |
FAQ DORA
- DORA s'applique-t-il aux prestataires de TIC autant qu'aux entreprises financières ?
- Oui. DORA impose des obligations directes aux entités financières et atteint les prestataires tiers de TIC par des exigences contractuelles, et les prestataires critiques peuvent relever d'un régime de surveillance dédié. Nous vous aidons à établir comment il s'applique à vous lors de la définition du périmètre.
- DORA est-il une certification ?
- Non. C'est un règlement de l'UE dont vous démontrez la conformité à votre autorité de surveillance, et non une norme certifiable. Nous construisons le cadre et les preuves et vous préparons à l'échange avec le superviseur.
- Quel est le lien entre DORA et ISO 27001 ?
- Un système de management de la sécurité de l'information mature vous donne une base solide, mais DORA ajoute des obligations spécifiques en matière de notification des incidents, de tests de résilience et de surveillance des tiers de TIC. Nous cartographions ce que vous avez déjà et comblons les écarts propres à DORA.
Normes associées
À lire aussi
Le OWASP LLM Top 10, expliqué : un guide en langage clair pour les équipes qui déploient des fonctionnalités d'IA
Un parcours clair et pratique des dix principaux risques du OWASP pour les applications fondées sur de grands modèles de langage, avec une description en langage simple et une mesure d'atténuation concrète pour chacun, destiné aux équipes qui ajoutent des fonctionnalités d'IA pour la première fois.
9 min de lecture
Comment lire un rapport de test d'intrusion (VAPT) : un guide en langage clair pour les équipes
Une présentation pratique du contenu d'un rapport de test d'intrusion, section par section, afin que les fondateurs et les équipes d'ingénierie puissent le lire en confiance et agir sur ce qu'il indique.
8 min de lecture
SOC 2 ou ISO 27001 : une comparaison honnête pour vous aider à choisir
Un guide en langage clair sur les véritables différences entre SOC 2 et ISO 27001 : ce qu'est chacun, qui réclame lequel, comment se déroulent les audits, ce que vous détenez au bout du compte, et s'il vous faut les deux.
8 min de lecture