Regulation (EU) 2022/2554 (DORA)
Liste de contrôle de préparation à DORA
Les principales obligations du règlement sur la résilience opérationnelle numérique, applicable depuis le 17 janvier 2025, regroupées selon ses cinq piliers. Elle permet de repérer les lacunes avant un contrôle prudentiel.
1. Champ d'application et proportionnalité
Vérifiez quel type d'entité financière visé à l'article 2, paragraphe 1, s'applique à chaque entité juridique du groupe.
Art. 2(1)DORA vise notamment les établissements de crédit, de paiement et de monnaie électronique, les entreprises d'investissement, les prestataires de services sur crypto-actifs, les assureurs et les gestionnaires de fonds. Les exemptions de l'article 2, paragraphe 3, doivent aussi être examinées.
Documentez comment votre taille, votre profil de risque et la nature et la complexité de vos services déterminent vos mesures DORA.
Art. 4Le principe de proportionnalité permet une mise en œuvre allégée, mais les autorités compétentes attendent une justification écrite et défendable.
Vérifiez si vous pouvez appliquer le cadre simplifié de gestion du risque lié aux TIC et, le cas échéant, appliquez-le de manière cohérente.
Art. 16L'article 16 s'applique à certaines petites entités non interconnectées, comme les petites entreprises d'investissement et les établissements de paiement exemptés. Il remplace les articles 5 à 15 par des exigences allégées.
2. Gestion du risque lié aux TIC
Faites définir, approuver et superviser le cadre de gestion du risque lié aux TIC par l'organe de direction, qui en assume la responsabilité ultime.
Art. 5(2)Cela comprend l'approbation de la stratégie de résilience opérationnelle numérique, l'allocation du budget et la définition des rôles. Les membres doivent maintenir leurs connaissances du risque lié aux TIC par une formation régulière (article 5, paragraphe 4).
Documentez le cadre de gestion du risque lié aux TIC et réexaminez-le au moins une fois par an ainsi qu'après des incidents majeurs liés aux TIC.
Art. 6(5)Le cadre couvre les stratégies, politiques, procédures, protocoles et outils. Le réexamen doit aussi suivre les constats prudentiels et les résultats des tests de résilience ou des audits.
Tenez un inventaire à jour des actifs TIC et informationnels et de leurs interdépendances, y compris les dépendances envers des tiers.
Art. 8Identifiez et classez les fonctions, rôles et actifs qui les soutiennent, en repérant ceux qui soutiennent des fonctions critiques ou importantes. Mettez l'inventaire à jour à chaque changement majeur.
Mettez en œuvre des politiques de sécurité des TIC couvrant le contrôle d'accès, l'authentification forte, le chiffrement, les correctifs et la gestion des changements.
Art. 9L'objectif est de garantir la disponibilité, l'authenticité, l'intégrité et la confidentialité des données. Les exigences détaillées figurent dans les normes techniques de réglementation sur le cadre de gestion du risque lié aux TIC.
Déployez des mécanismes permettant de détecter rapidement les activités anormales, les problèmes de performance du réseau et les incidents liés aux TIC.
Art. 10Définissez des seuils d'alerte et des critères déclenchant la réponse aux incidents, et allouez des ressources suffisantes à la surveillance de l'activité des utilisateurs et des anomalies.
Adoptez une politique de continuité des activités de TIC avec des plans de réponse et de rétablissement, et testez-les au moins une fois par an.
Art. 11Les plans doivent couvrir les fonctions critiques ou importantes, inclure une analyse d'impact sur les activités et la communication de crise, et être testés pour des scénarios incluant le basculement vers des capacités redondantes.
Définissez des politiques de sauvegarde et des procédures de restauration et de rétablissement, et testez périodiquement la restauration des sauvegardes.
Art. 12Les sauvegardes doivent pouvoir être restaurées à partir de systèmes physiquement et logiquement séparés du système source. Fixez des objectifs de délai et de point de rétablissement par fonction.
Procédez à des analyses post-incident après les incidents majeurs liés aux TIC et intégrez les enseignements dans le cadre.
Art. 13Suivez également les évolutions technologiques et organisez des programmes de sensibilisation à la sécurité des TIC et des formations à la résilience opérationnelle numérique pour tout le personnel, y compris la direction.
Mettez en place des plans de communication de crise pour la divulgation des incidents liés aux TIC aux clients, aux contreparties et au public.
Art. 14Désignez au moins une personne chargée de la stratégie de communication en cas d'incident et de la fonction de porte-parole auprès du public et des médias.
3. Gestion, classification et notification des incidents liés aux TIC
Définissez un processus de gestion des incidents liés aux TIC permettant de détecter, gérer, enregistrer et notifier les incidents.
Art. 17Enregistrez tous les incidents liés aux TIC et les cybermenaces importantes, attribuez les rôles, définissez les voies d'escalade et identifiez les causes profondes pour éviter leur répétition.
Classez les incidents selon les critères du règlement, notamment les clients touchés, la durée, l'étendue géographique, les pertes de données et l'impact économique.
Art. 18Les seuils d'importance qui font d'un incident un incident majeur sont fixés par le règlement délégué (UE) 2024/1772, adopté en vertu de l'article 18, paragraphe 3. Intégrez-les dans vos outils de tri.
Préparez des modèles et un circuit pour la notification initiale, le rapport intermédiaire et le rapport final des incidents majeurs liés aux TIC.
Art. 19(4)Selon l'article 5 du règlement délégué (UE) 2025/301 : notification initiale dans les quatre heures suivant la classification de l'incident comme majeur et au plus tard 24 heures après en avoir eu connaissance, rapport intermédiaire au plus tard 72 heures après la notification initiale, rapport final au plus tard un mois après le dernier rapport intermédiaire. Les formulaires et modèles sont fixés par le règlement d'exécution (UE) 2025/302.
Informez sans retard injustifié les clients concernés lorsqu'un incident majeur a une incidence sur leurs intérêts financiers.
Art. 19(3)Les clients doivent également être informés des mesures prises pour atténuer les effets négatifs de l'incident.
Déterminez quand notifier volontairement des cybermenaces importantes à l'autorité compétente.
Art. 19(2)La notification des menaces est volontaire, mais une règle de décision documentée assure une pratique cohérente. Le cas échéant, informez les clients potentiellement concernés des mesures de protection qu'ils peuvent prendre (article 19, paragraphe 3).
4. Tests de résilience opérationnelle numérique
Établissez un programme de tests de résilience opérationnelle numérique fondé sur les risques, intégré au cadre de gestion du risque lié aux TIC.
Art. 24(1)Les tests doivent être réalisés par des parties indépendantes, internes ou externes, et les faiblesses relevées doivent être hiérarchisées, classées et corrigées.
Testez au moins une fois par an tous les systèmes et applications de TIC soutenant des fonctions critiques ou importantes.
Art. 24(6)L'article 25 énumère des tests appropriés, comme les évaluations de vulnérabilité, les évaluations de la sécurité des réseaux, les tests fondés sur des scénarios, les revues de code source et les tests de pénétration.
Si votre autorité compétente vous a identifié, effectuez des tests de pénétration fondés sur la menace (TLPT) au moins tous les trois ans.
Art. 26(1)Les TLPT portent sur les fonctions critiques ou importantes dans les systèmes de production en conditions réelles, peuvent inclure des prestataires tiers de services TIC et se terminent par une attestation de l'autorité.
Recourez pour les TLPT à des testeurs satisfaisant aux exigences d'aptitude, de réputation, d'expertise, de certification et d'assurance.
Art. 26(8), Art. 27Les testeurs internes exigent l'approbation de l'autorité compétente et un fournisseur externe de renseignements sur les menaces (article 27, paragraphe 2). Les entités qui ont recours à des testeurs internes engagent un testeur externe tous les trois tests, et les établissements de crédit importants ne recourent qu'à des testeurs externes (article 26, paragraphe 8).
5. Risque lié aux prestataires tiers de services TIC
Adoptez et réexaminez régulièrement une stratégie relative au risque lié aux tiers dans le domaine des TIC, incluant une politique sur les services TIC soutenant des fonctions critiques ou importantes.
Art. 28(2)L'organe de direction réexamine les risques identifiés pour ces accords. Le risque lié aux tiers reste de votre responsabilité, même en cas d'externalisation.
Tenez un registre d'informations sur tous les accords contractuels relatifs aux services TIC fournis par des prestataires tiers de services TIC.
Art. 28(3)Distinguez les accords soutenant des fonctions critiques ou importantes. Communiquez au moins une fois par an le nombre de nouveaux accords, les catégories de prestataires, les types d'accords et les services fournis, mettez le registre complet à disposition sur demande et informez l'autorité en temps utile de tout accord envisagé pour des fonctions critiques ou importantes. Les modèles sont fixés par le règlement d'exécution (UE) 2024/2956.
Avant la signature, évaluez le prestataire, le risque de concentration, les conflits d'intérêts et si le service soutient une fonction critique ou importante.
Art. 28(4)Procédez à une vérification préalable de l'aptitude du prestataire et contrôlez que les conditions prudentielles de contractualisation sont remplies. Conservez une trace de l'évaluation.
Définissez et testez des stratégies de sortie pour les services TIC soutenant des fonctions critiques ou importantes.
Art. 28(8)Les plans de sortie doivent permettre un retrait sans perturbation des activités, sans atteinte à la conformité ni dégradation de la qualité du service, et couvrir la défaillance du prestataire et la résiliation du contrat.
Veillez à ce que chaque contrat de services TIC contienne les dispositions clés sur la description des services, la localisation des données, la sécurité, l'accès, la résiliation et la coopération.
Art. 30(2)Les droits et obligations doivent figurer dans un seul document écrit qui inclut les accords de niveau de service (article 30, paragraphe 1). Confrontez les contrats existants à la liste de l'article 30, paragraphe 2, et prévoyez des avenants lorsque des clauses manquent.
Ajoutez les clauses supplémentaires pour les fonctions critiques ou importantes : niveaux de service complets, délais de préavis et obligations de notification, plans d'urgence et sécurité, participation aux TLPT, droits d'audit et stratégies de sortie.
Art. 30(3)Il s'agit notamment de droits illimités d'accès, d'inspection et d'audit pour l'entité et l'autorité compétente, et de la participation du prestataire aux TLPT de l'entité.
Vérifiez si l'un de vos prestataires est désigné comme prestataire tiers critique de services TIC dans le cadre de surveillance de l'Union.
Art. 31Les prestataires critiques sont surveillés par un superviseur principal parmi les AES. Leurs recommandations peuvent affecter vos accords, suivez-les donc dans votre processus de gestion du risque lié aux tiers.
6. Partage d'informations
Décidez de participer ou non à des dispositifs de confiance de partage d'informations sur les cybermenaces et notifiez votre participation à l'autorité compétente.
Art. 45Les informations partagées peuvent inclure des indicateurs de compromission, des tactiques et techniques et des alertes de sécurité. Le partage doit protéger les données confidentielles et respecter les règles de concurrence et de protection des données.
Ces checklists résument les textes officiels pour vous aider à planifier. Elles ne constituent pas un conseil juridique, et le droit ou les lignes directrices nationales peuvent ajouter des exigences. Vérifiez le texte officiel avant de vous fier à un point.
Toutes les checklistsService associé: Solutions de cybersécurité proactives
Besoin d'un regard extérieur sur vos écarts ?
Nous menons des analyses d'écarts sur ces référentiels et aidons à combler ce qu'elles révèlent.