Logiciel · DORA
Un logiciel DORA doit démontrer que votre établissement respecte le règlement sur la résilience opérationnelle numérique : gestion du risque lié aux TIC sous la responsabilité de l’organe de direction, traitement et notification des incidents, tests de résilience et pilotage des prestataires tiers de services TIC, registre d’informations compris. Cette page montre ce qu’un logiciel doit offrir pour cela, à quoi vous devez veiller lors du choix et comment Sightadel le met en œuvre.
Situation de départ
DORA s’applique depuis janvier 2025 aux entités financières de toute l’UE. Le règlement repose sur cinq piliers : gestion du risque lié aux TIC, gestion et notification des incidents liés aux TIC, tests de résilience opérationnelle numérique, gestion du risque lié aux prestataires tiers de services TIC et échange volontaire d’informations sur les menaces. Des normes techniques des autorités européennes de surveillance règlent les détails ; en Allemagne, la surveillance est exercée par la BaFin, l’Autorité fédérale de supervision financière. Il n’existe pas de certificat DORA.
Pour un logiciel, quatre exigences sont surtout déterminantes. L’organe de direction approuve le cadre de gestion du risque lié aux TIC et en porte la responsabilité (art. 5–6). Les incidents sont classés selon des critères uniformes, les incidents majeurs sont notifiés, la notification initiale au plus tard 24 heures après la prise de connaissance (art. 17–19). Un programme de tests fondé sur les risques s’applique à tous, certaines entreprises effectuent en plus au moins tous les trois ans des tests de pénétration fondés sur la menace (art. 24–27). Et le registre d’informations recense tous les contrats avec des prestataires de services TIC (art. 28).
Le registre est généralement la partie la plus laborieuse, car les informations ne figurent au complet dans aucun dossier de contrats. Un logiciel DORA doit le faire naître de la gestion courante des prestataires, pas d’une collecte avant la date de référence. Les décisions comme l’appétence au risque, la classification des fonctions critiques ou importantes et les stratégies de sortie restent du ressort de l’organe de direction.
Pourquoi maintenant
La BaFin demande le registre d’informations une fois par an à une date de référence. Qui ne l’actualise que peu avant recommence chaque année à chercher.
Les questions portent sur le cadre, son réexamen annuel, les résultats des tests et le traitement des constats. Ce sont les justificatifs datés qui comptent, pas les déclarations d’intention.
Avant la conclusion du contrat, une évaluation des risques et une vérification du contenu du contrat selon l’art. 30 sont nécessaires. Ensuite, le prestataire doit être inscrit au registre.
La première vague s’est déroulée comme un projet avec des tableurs et des dossiers sur le réseau. Pour l’exploitation courante, cela suffit rarement.
Frameworks pertinents
Résumé avec nos propres mots, sans valeur de conseil juridique. Seul le texte original dans sa version en vigueur fait foi.
Pour les entités financières de l’UE. Dans Sightadel, 50 exigences avec référence à l’article et preuve attendue. Il faut typiquement six à douze mois pour combler les écarts existants. Un cadre simplifié existe pour certaines entreprises de petite taille.
Voir le framework →Gestion du risque lié aux TIC, contrôle d’accès, sauvegarde et gestion des incidents reposent sur les mêmes bases. Le registre d’informations n’a pas d’équivalent dans ISO 27001.
Voir le framework →Pour les entités financières, DORA prime. Beaucoup de mesures se recoupent, les délais de notification diffèrent par leur point de départ : DORA se rattache à la classification, NIS2 à la prise de connaissance.
Voir le framework →Une attestation C5 d’un fournisseur de cloud est une preuve précieuse pour l’évaluation de ce prestataire. Elle ne remplace pas votre propre évaluation des risques.
Voir le framework →Les mesures techniques et les accords de sous-traitance s’appuient sur les mêmes données des prestataires. Un incident peut déclencher plusieurs obligations de notification.
Voir le framework →Ordre recommandé
Déterminer quelles obligations s’appliquent, si le cadre simplifié entre en ligne de compte et quelles fonctions sont critiques ou importantes.
Parcourir de manière guidée les 50 exigences, rattacher les preuves existantes issues du SMSI, de la gestion de crise et des achats.
Recenser les prestataires, les contrats, les fonctions soutenues et les sous-traitants. Les listes existantes arrivent par import Excel.
Définir les critères de classification, les responsabilités et les canaux de notification, puis les tester une fois en conditions simulées.
Des plans d’action avec responsables et échéances. L’adaptation des contrats prend souvent le plus de temps, car l’autre partie doit jouer le jeu.
Mener le programme de tests, réexaminer le cadre chaque année, tenir le registre à jour. Ces étapes reviennent ensuite sous forme de cycle.
Choix
Beaucoup d’outils couvrent des piliers isolés, par exemple seulement le registre ou seulement la gestion des incidents. Vérifiez si le logiciel réunit toutes les obligations et s’il est adapté à votre taille.
Chaque exigence doit renvoyer à l’article du règlement et indiquer la preuve attendue. Les questions de l’audit interne peuvent ainsi être rattachées directement.
Les prestataires, les contrats, les fonctions soutenues et la criticité doivent être gérés en un seul endroit. Le registre ne doit pas être un projet séparé lié à une date de référence.
Qui notifie aussi au titre de NIS2 ou du RGPD a besoin d’une séparation nette des points de départ. DORA se rattache à la classification comme incident majeur, NIS2 à la prise de connaissance.
Les tests doivent être planifiés comme des rendez-vous récurrents et les constats suivis avec échéance et responsable. Le test fondé sur la menace lui-même est réalisé par des testeurs spécialisés.
L’approbation du cadre, les décisions et les formations de la direction doivent être archivées avec leur date. Elles sont au début de chaque contrôle.
Un petit établissement a les mêmes obligations, mais n’a pas besoin du même appareil qu’une grande banque. Veillez à ce que le logiciel soit utilisable sans longue phase de mise en place.
Comment Sightadel vous aide
50 exigences avec référence à l’article et preuve attendue, chacune sous forme de question expliquée. Les preuves issues d’ISO 27001 peuvent être réutilisées directement.
En savoir plus →Les prestataires avec fonctions soutenues, criticité, contrats et preuves, y compris leur date de validité. Les réévaluations arrivent sous forme de rappel. Le registre d’informations se construit ainsi à partir de la gestion courante.
En savoir plus →Procès-verbaux de tests, tests de restauration et décisions avec version et date de validité. Lorsqu’une preuve expire, elle apparaît comme une tâche avant que l’audit interne ne la découvre.
En savoir plus →Les constats issus des tests, des contrôles et des clauses contractuelles manquantes deviennent des mesures avec responsable et échéance. Le journal d’activité montre qui a fait quoi et quand.
En savoir plus →Synchronisation régulière avec des systèmes comme SAP, Microsoft Dynamics, Microsoft Azure ou Jira. Actifs, preuves et tâches proviennent des systèmes dans lesquels ils sont de toute façon tenus à jour.
En savoir plus →Effort et durée
Ces fourchettes sont des valeurs d’expérience, pas un engagement. C’est généralement le registre d’informations et l’adaptation des contrats qui déterminent le rythme, pas le logiciel.
Ce que vous souscrivez · généralement Professional
Un établissement typique gère DORA avec ISO 27001 comme base dans l’édition Professional. Avec de nombreux prestataires de services TIC ou plusieurs sociétés, l’édition Enterprise est le bon choix. Si ISO 27001 fait partie de la licence, DORA coûte durablement moins cher.
Licence par framework, durée minimale d’un an, paiement mensuel ou annuel. Tous les prix, remises et un simulateur se trouvent sur la page des tarifs. Les honoraires d’un organisme de certification ou d’audit s’ajoutent séparément.
Questions et réponses
Plus de réponses dans la FAQ ou directement via notre formulaire de contact.
Le règlement n’impose aucun logiciel. Il exige un cadre documenté, un registre d’informations complet, une gestion des incidents traçable et un programme de tests. Avec peu de prestataires, des tableurs suffisent. Avec de nombreux contrats, plusieurs intervenants et une remise annuelle, un système devient rentable.
Pour la première remise, beaucoup d’établissements ont utilisé des tableurs. Chaque modification de contrat, chaque nouveau prestataire et chaque test doivent alors être reportés à la main. Les listes existantes peuvent être importées dans Sightadel.
Sightadel est proposé sous licence annuelle par framework et par édition. Les montants actuels figurent sur la page des tarifs. Si ISO 27001 est déjà sous licence, DORA coûte durablement moins cher. Vous pouvez tester gratuitement pendant 14 jours, sans données de paiement.
Non. Sightadel vous guide à travers les exigences et consigne l’état d’avancement. Vous choisissez votre consultant dans le réseau de partenaires depuis l’application ou venez avec le vôtre. Les contrôles par l’audit interne, le commissaire aux comptes et l’autorité de surveillance ne sont pas concernés. Sightadel ne certifie pas et ne perçoit aucune commission.
Il approuve le cadre de gestion du risque lié aux TIC, fixe l’appétence au risque, décide de la classification des fonctions critiques ou importantes et met à disposition les ressources. Sightadel fournit des projets et consigne les décisions avec leur date. Les décisions, c’est lui qui les prend.
Non. Le TLPT est réalisé par des testeurs spécialisés. Sightadel consigne la planification, le résultat et le traitement des constats. Plus d’informations sur les exigences sur la page DORA.
Sightadel est développé en Allemagne et exploité en Allemagne.
14 jours, accès complet, sans données de paiement. Tout ce que vous créez est conservé dans l’offre payante.
