Cadre de gestion du risque lié aux TIC
Un cadre documenté, approuvé et revu par l'organe de direction, qui reste responsable en dernier ressort du risque lié aux TIC.
Règlement (UE) 2022/2554 · DORA
Pilotez DORA depuis une seule plateforme.
DORA s'applique depuis le 17 janvier 2025. Audexa réunit au même endroit l'évaluation des 81 contrôles, vos fournisseurs et contrats TIC, le registre d'informations et les preuves demandées par l'autorité de surveillance.
- 81 contrôles en 14 domaines
- Registre d'informations sous Excel
- Fournisseurs et contrats TIC
81 contrôles DORA avec guide, preuves suggérées et remédiation
14 domaines : du risque lié aux TIC aux tiers critiques
S01–S19 types de services TIC selon les modèles ITS de l'UE
46 correspondances DORA ↔ ISO 22301 pour réutiliser le travail
Ce qu'exige DORA
DORA est déjà obligatoire et les autorités demandent déjà des preuves.
Le règlement s'applique directement aux banques, aux établissements de paiement et de monnaie électronique, aux entreprises d'investissement, aux sociétés de gestion, aux entreprises d'assurance, aux prestataires de services sur crypto-actifs et à d'autres entités financières. Sa supervision relève des autorités nationales compétentes de chaque État membre, avec les autorités européennes de surveillance (AES).
Incidents majeurs
Classification et notification à l'autorité compétente : notification initiale dans les 4 heures suivant la classification (au plus tard 24 heures après la détection), rapport intermédiaire sous 72 heures et rapport final sous un mois.
Tests de résilience
Un programme de tests proportionné à la taille et au risque, et des tests de pénétration fondés sur la menace (TLPT) pour les entités désignées.
Risque lié aux tiers TIC
Stratégie en matière de risque lié aux tiers, clauses contractuelles minimales, stratégies de sortie et maîtrise de la concentration sur certains prestataires.
Registre d'informations
Un inventaire de tous les accords conclus avec des prestataires de services TIC, au format des modèles d'exécution de l'UE, transmis à l'autorité compétente.
Partage d'informations
Des dispositifs pour échanger en toute sécurité des renseignements sur les cybermenaces avec d'autres entités financières.
Sources: Règlement (UE) 2022/2554 (EUR-Lex) · Règlement d'exécution (UE) 2024/2956 (EUR-Lex) · INCIBE : notification des incidents majeurs DORA (en espagnol)
Comment Audexa vous aide
Un pilotage centralisé de DORA, de l'évaluation au registre.
Évaluation, tiers TIC, preuves et rapports connectés pour que chaque exigence ait un responsable, une échéance et une preuve.
Évaluer
Connaissez votre niveau réel face au règlement.
Audit DORA guidé
81 contrôles en 14 domaines, avec guide d'interprétation, preuves suggérées et critère d'acceptation.
Applicabilité justifiée
Excluez les contrôles qui ne s'appliquent pas à votre entité avec une justification qui accompagne le résultat.
Correspondance avec l'ISO 22301
46 liens entre DORA et l'ISO 22301 pour tirer parti du travail de continuité déjà réalisé.
Piloter les tiers TIC
Des fournisseurs et des contrats avec des données utiles pour DORA.
Fournisseurs avec LEI
Fiche fournisseur avec raison sociale, identifiant fiscal, LEI validé, pays, criticité et dépendances.
Contrats avec données DORA
Type de service TIC, fonction critique ou importante, substituabilité, plan de sortie, droit applicable et sous-traitants.
Alertes de préavis
Alertes à 90, 60 et 30 jours du préavis et de l'échéance, également dans le calendrier.
Démontrer
Préparez ce que demandera l'autorité.
Registre d'informations
Exportez sous Excel la feuille « Registre d'informations (DORA) », avec un contrat en vigueur par ligne.
Politiques DORA
Modèles sur la résilience opérationnelle numérique, les tests de résilience, le renseignement sur les menaces et la notification aux autorités.
Rapport pour la direction
Rapport exécutif et technique avec évolution, écarts, risques et feuille de route.
Certaines fonctionnalités dépendent de votre offre et des modules activés.
Registre d'informations
Préparez le registre d'informations DORA à partir de vos contrats.
Chaque contrat avec un prestataire TIC alimente le registre. Audexa exporte une feuille reprenant les colonnes des modèles d'exécution de l'UE, prête à être revue et adaptée au format de transmission de votre autorité.
- Référence de l'accord, fournisseur, LEI, identifiant fiscal et pays
- Type de service TIC (S01–S19), dates et délai de préavis
- Fonction critique ou importante, substituabilité et plan de sortie
- Coût annuel, devise, droit applicable et sous-traitants
Tiers TIC
Gérez vos prestataires TIC sans manquer un préavis.
Fournisseurs, contrats, SaaS et dépendances dans un même inventaire. Audexa vous prévient avant l'expiration d'un préavis et signale ce qui demande votre attention : données personnelles sans DPA, MFA non activée ou fournisseurs critiques sans responsable.
- Contrats à renouvellement automatique et dates de préavis
- Responsable et revue périodique selon la criticité
- Fin de relation documentée : ce qu'il est advenu des données
- Liens avec les contrôles, les preuves, les risques et les tâches
Incidents TIC
Vérifiez que vous pouvez notifier un incident majeur à temps.
L'audit DORA évalue la classification des incidents, les critères de gravité et les délais de notification initiale, intermédiaire et finale. Les écarts se transforment en tâches et en une procédure de notification aux autorités prête à être approuvée.
- Contrôles de classification et de notification des incidents liés aux TIC
- Modèle de procédure de notification aux autorités
- Responsables et dates pour combler chaque écart
- Preuves de tests et d'exercices dans le coffre de preuves
Notification des incidents majeursDélais DORA
- Notification initiale4 h après classification
- Rapport intermédiaire72 h
- Rapport final1 mois
- Procédure approuvéev2 · signée
Comment ça marche
De l'état des lieux DORA à un programme qui tient dans la durée.
Évaluez votre situation
Répondez à l'audit DORA, justifiez ce qui ne s'applique pas et obtenez des écarts priorisés par pondération et par risque.
Organisez vos tiers TIC
Chargez fournisseurs et contrats avec les données DORA et préparez le registre d'informations.
Remédiez et démontrez
Attribuez les tâches, approuvez les politiques, réunissez les preuves et partagez le rapport avec la direction.
Avant / après
DORA sur tableur ou DORA avec Audexa.
DomaineSans plateformeAvec Audexa
Registre d'informations
Fichier Excel monté à la main chaque année
Export à partir des contrats à jour
Préavis contractuels
Découverts trop tard
Alertes à 90, 60 et 30 jours
Écarts DORA
Rapport de conseil figé
Tâches avec responsable et preuve attendue
Politiques
Documents sans version ni signature
Circuit d'approbation et de signature avec historique
Continuité
Travail en double avec l'ISO 22301
Correspondances entre référentiels
Questions fréquentes
Ce que l'on nous demande souvent sur DORA.
À qui s'applique DORA ?
À une vingtaine de catégories d'entités financières : établissements de crédit, de paiement et de monnaie électronique, entreprises d'investissement, sociétés de gestion, entreprises d'assurance et de réassurance, prestataires de services sur crypto-actifs, infrastructures de marché, entre autres. Les prestataires TIC de ces entités se voient aussi imposer des exigences par le biais des contrats.
Audexa génère-t-il le registre d'informations ?
Audexa exporte une feuille Excel avec les champs des modèles d'exécution de l'UE à partir de vos contrats et de vos fournisseurs. Elle vous sert à préparer et à vérifier les données ; le format technique de transmission est fixé par chaque autorité compétente.
Audexa notifie-t-il les incidents à l'autorité compétente ?
Non. Audexa évalue votre processus de classification et de notification, vous aide à documenter la procédure et à combler les écarts, mais la notification se fait par les canaux de votre autorité compétente.
Si nous respectons DORA, devons-nous nous préoccuper de NIS2 ?
Pour les entités financières, DORA s'applique en tant que règle spécifique par rapport à NIS2 pour la gestion du risque lié aux TIC et la notification des incidents. Audexa permet néanmoins d'évaluer les deux référentiels et de réutiliser les preuves.
Quel plan faut-il pour DORA ?
Le référentiel DORA est disponible dans les plans Premium et Diamond. Pendant la démo, nous voyons ce qui correspond à votre nombre d'utilisateurs, de contrats et de fournisseurs.
Où sont hébergées les données ?
Audexa fonctionne sur une infrastructure située dans l'Union européenne, avec accès par rôles, authentification à deux facteurs et traçabilité de l'activité.
Demander une démo
Voyons votre conformité DORA avec vos vrais fournisseurs.
En 30 minutes, nous vous montrons l'audit DORA, la gestion des contrats TIC et l'export du registre d'informations.
- Nous passons en revue les chapitres de DORA qui vous concernent le plus.
- Nous vous montrons comment se construit le registre d'informations.
- Nous vous expliquons quel plan convient à votre entité.