Solutions · Services financiers
Depuis janvier 2025, DORA s’applique aux entités financières dans toute l’UE. La première vague est passée ; l’autorité fédérale allemande de supervision financière (BaFin) demande désormais des processus effectivement appliqués et des registres complets. Sightadel vous guide à travers les exigences, fait du registre d’informations un sous-produit de la gestion quotidienne des prestataires et consigne ce que l’organe de direction a décidé.
Situation de départ
La plupart des établissements ont abordé DORA comme un projet : analyse des écarts, révision des politiques, remplissage du registre pour la première date de référence. Une grande partie se trouve aujourd’hui dans des tableurs, des dossiers sur des lecteurs réseau et des e-mails. Cela a suffi pour la première remise. Pour le fonctionnement courant, cela suffit rarement, car chaque modification de contrat, chaque nouveau prestataire et chaque test doit être reporté quelque part.
DORA exige plus qu’un registre. Le règlement repose sur cinq piliers : la gestion du risque lié aux TIC sous la responsabilité de l’organe de direction, la gestion et la notification des incidents liés aux TIC, les tests de résilience opérationnelle numérique, la gestion du risque lié aux prestataires tiers de services TIC et le partage volontaire d’informations sur les menaces. Les normes techniques des autorités européennes de surveillance en précisent les détails. En Allemagne, la surveillance est assurée par la BaFin.
Les plus petits établissements sont soumis à la même obligation avec moins de personnel. La sécurité de l’information repose souvent sur une seule personne, qui gère en parallèle l’externalisation, la protection des données et la gestion de crise. Pour elle, l’essentiel est que les preuves soient au même endroit, que les échéances ne soient pas oubliées et que le prochain contrôle ne déclenche pas une collecte de dernière minute.
Pourquoi maintenant
La BaFin demande le registre d’informations une fois par an à une date de référence. Des identifiants manquants ou des données contradictoires entraînent des rejets. Si vous ne mettez le registre à jour que peu avant, vous recommencez vos recherches chaque année.
Les commissaires aux comptes et l’autorité de surveillance demandent le cadre de gestion du risque lié aux TIC, son réexamen annuel, les résultats des tests et le traitement des constats. Ils attendent des justificatifs datés, pas des déclarations d’intention.
Avant la conclusion du contrat, l’évaluation des risques et la vérification du contenu contractuel sont requises. Si le prestataire soutient une fonction critique ou importante, une stratégie de sortie et des clauses étendues s’y ajoutent.
Un incident majeur déclenche des délais de notification de quelques heures. Si vous ne clarifiez les critères de classification, les responsables et les circuits de notification qu’en situation réelle, vous perdez précisément ces heures.
Tests d’intrusion, scans de vulnérabilités et audit interne produisent des constats. L’autorité de surveillance veut voir qu’ils sont évalués, priorisés et traités dans les délais.
Avec un agrément étendu, une fusion ou la fin d’exemptions, le cadre simplifié peut ne plus s’appliquer. Les exigences complètes s’appliquent alors, et l’état des preuves doit suivre.
Frameworks pertinents
Résumé avec nos propres mots, sans valeur de conseil juridique. Seul le texte original dans sa version en vigueur fait foi.
S’applique directement depuis le 17 janvier 2025 aux entités financières de l’UE, par exemple les établissements de crédit, les établissements de paiement et de monnaie électronique, les entreprises d’investissement, les assureurs, les sociétés de gestion et les prestataires de services sur crypto-actifs. Il n’existe pas de certificat. Ce qui est attendu, c’est un état des preuves que la BaFin et les auditeurs peuvent retracer.
Voir le framework →Pas obligatoire, mais la base éprouvée. Un SMSI met de toute façon en place la gestion des risques, le contrôle des accès et des changements, la sauvegarde et la gestion des incidents. DORA ajoute surtout le registre d’informations, la classification des incidents, le contenu des contrats et le programme de tests.
Voir le framework →Les données clients, les données de compte et les informations de solvabilité sont sensibles. Les accords de sous-traitance et le registre DORA s’appuient sur les mêmes données de prestataires. Un incident peut déclencher simultanément une notification à l’autorité de protection des données et à la BaFin.
Voir le framework →Pour les entités financières relevant de DORA, DORA est la réglementation plus spécifique. C’est là que vous remplissez les obligations de cybersécurité. NIS2 devient pertinente lorsque des sociétés du groupe, par exemple un prestataire informatique interne, exercent une activité hors du champ de DORA et atteignent les seuils.
Voir le framework →Pas un sujet pour l’établissement lui-même, mais une preuve précieuse lors de l’évaluation des prestataires cloud. Une attestation C5 à jour ne remplace pas votre propre évaluation des risques, mais la rend nettement plus solide.
Voir le framework →Ordre recommandé
Déterminez à quel titre votre entité financière relève de DORA et si le cadre simplifié de gestion du risque lié aux TIC de l’art. 16 peut s’appliquer. L’ampleur du cadre, des tests et de la documentation en dépend.
Quelles fonctions, en cas de défaillance, mettraient en péril l’activité, le respect des obligations ou l’agrément ? Cette définition se répercute sur le registre, les contrats, les tests et les stratégies de sortie. L’organe de direction l’adopte.
Chaque prestataire TIC est enregistré avec son contrat, les fonctions soutenues, les lieux de traitement des données, ses sous-traitants et ses preuves. Le registre d’informations en découle. Les clauses contractuelles manquantes deviennent des mesures pour la prochaine renégociation.
Critères de classification, responsables, suppléants et circuits de notification sont documentés à l’avance et simulés une fois. Un registre des incidents consigne aussi les incidents qui ne sont pas soumis à notification.
Les exigences sont parcourues de façon guidée, et les preuves existantes du SMSI y sont rattachées. Le programme de tests fonctionne par cycles. Les constats deviennent des problèmes avec une échéance et un responsable.
Le cadre est réexaminé au moins une fois par an et après tout incident majeur. L’organe de direction est informé, approuve les modifications et se forme. Sightadel vous rappelle chaque échéance.
Priorité
Rares sont les établissements qui exploitent seuls leur informatique. Système bancaire central, centre de données, cloud, systèmes de paiement et applications métier proviennent de tiers. DORA place ces dépendances au cœur de la surveillance.
Pas un simple répertoire des contrats, mais un ensemble structuré : prestataire, contrat, fonction, criticité, localisations, substituabilité et les sous-traitants qui se trouvent derrière. Dans Sightadel, il résulte de la gestion courante dans le module Fournisseurs, et non d’une collecte à la veille de la date de référence.
Les contrats de services TIC doivent comporter un contenu minimal, par exemple la description des services, les lieux de traitement des données, les droits d’accès et d’audit, l’assistance en cas d’incident et les droits de résiliation. Des exigences étendues s’appliquent aux fonctions critiques ou importantes. Chaque clause manquante devient une tâche avec un responsable.
Le risque est évalué avant la conclusion du contrat, puis réexaminé régulièrement. Les certificats, attestations et rapports d’audit des prestataires sont stockés avec leur date de validité auprès du fournisseur concerné. Si une preuve expire, vous le voyez dans le tableau de bord.
Pour les prestataires qui soutiennent des fonctions critiques ou importantes, il faut un plan documenté décrivant comment le service peut être remplacé ou réinternalisé sans perturbation. Il est versionné comme toute autre preuve et réexaminé régulièrement.
Comment Sightadel vous aide
Le module Fournisseurs est la base du registre d’informations. Prestataires, contrats, fonctions soutenues, criticité, sous-traitants et preuves y sont tenus à jour dès qu’un contrat est conclu ou modifié.
En savoir plus →Les exigences du règlement sont enregistrées avec la référence de l’article et la preuve attendue. Les justificatifs existants du SMSI sont rattachés à la fois à DORA et à ISO 27001.
En savoir plus →Les clauses contractuelles manquantes, les constats des tests et de l’audit interne et les points ouverts de l’analyse des écarts deviennent des tâches avec une échéance et un responsable. L’avancement est visible à tout moment.
En savoir plus →Politiques, décisions de l’organe de direction, procès-verbaux de tests et preuves de formation sont stockés avec leurs versions au même endroit. Chaque preuve porte une date d’expiration ; Sightadel vous prévient avant l’échéance.
En savoir plus →Des modèles pour le cadre de gestion du risque lié aux TIC, la politique relative au risque lié aux tiers, les plans de continuité et les stratégies de sortie fournissent une première version. L’appétence au risque, les fonctions critiques et la classification, c’est vous qui en décidez.
En savoir plus →Effort et durée
Ces fourchettes sont des valeurs d’expérience, pas un engagement. Le rythme dépend surtout de l’exhaustivité du portefeuille de contrats et de la disposition des prestataires à renégocier les clauses. Les établissements désignés pour des tests de pénétration fondés sur la menace les planifient comme un projet distinct.
Ce que vous souscrivez · généralement Professional
Un établissement type gère DORA avec ISO 27001 comme base dans l’édition Professional. Elle comprend dix utilisateurs et 25 fournisseurs. Avec de nombreux prestataires TIC ou plusieurs sociétés, Enterprise avec un nombre illimité de fournisseurs est le bon choix. Si ISO 27001 fait partie de votre licence, vous bénéficiez d’une remise permanente sur DORA.
Licence par framework, durée minimale d’un an, paiement mensuel ou annuel. Tous les prix, remises et un simulateur se trouvent sur la page des tarifs. Les honoraires d’un organisme de certification ou d’audit s’ajoutent séparément.
Questions et réponses
Plus de réponses dans la FAQ ou directement via notre formulaire de contact.
L’art. 16 de DORA prévoit un cadre simplifié pour certaines petites entités financières, par exemple les petites entreprises d’investissement non interconnectées, les établissements de paiement et de monnaie électronique exemptés en vertu du droit de l’UE et les petites institutions de retraite professionnelle. Les exigences y sont allégées, mais ne disparaissent pas. Votre agrément détermine si vous en faites partie. En cas de doute, clarifiez ce point avec votre conseil en réglementation financière.
Non, mais il aide nettement. De nombreuses bases sont en place. Il manque typiquement le registre d’informations, la classification des incidents selon les critères des normes techniques, le contenu minimal des contrats avec les prestataires TIC et un programme de tests au sens de DORA. Dans Sightadel, vous voyez quelles preuves sont déjà rattachées aux deux frameworks.
Sightadel n’est pas connecté à la plateforme de déclaration de la BaFin. Vous tenez à jour les données du registre dans le module Fournisseurs et les exportez. La remise dans le format et la fenêtre prescrits s’effectue via la plateforme de la BaFin.
Documentez la situation, les échanges et votre évaluation des risques. Pour les fonctions qui ne sont ni critiques ni importantes, le risque est souvent acceptable. Pour les fonctions critiques ou importantes, la question doit être portée devant l’organe de direction, stratégie de sortie comprise. Sightadel consigne la décision, sa justification et la date de réexamen.
Le plus souvent, la sécurité de l’information en tant qu’Admin, la gestion de l’externalisation, les achats et l’exploitation informatique en tant que Contributor, et l’organe de direction en tant que Viewer. L’audit interne et les auditeurs externes reçoivent le rôle Auditeur : lire, commenter, modifier après validation, jamais supprimer. Vous invitez votre conseil externe en tant que Consultant.
C’est exact, et c’est pourquoi Sightadel doit figurer dans votre registre. Sightadel est hébergé en Allemagne. Nous concluons avec chaque client un accord de sous-traitance (art. 28 RGPD).
Sightadel veille à ce que le cadre, les décisions, les tests, le registre et les constats soient documentés avec une date et un responsable, et à ce que les auditeurs disposent de leur propre accès. Sightadel ne remplace pas le conseil en réglementation financière. Pour les questions difficiles, vous pouvez ajouter au besoin un forfait de conseil dans l’application.
14 jours, accès complet, sans données de paiement. Tout ce que vous créez est conservé dans l’offre payante.
