Nederlands
English
DeutschConformité DORA
Depuis le 17 janvier 2025, le règlement DORA impose aux entités financières de maîtriser leurs risques informatiques, de notifier leurs incidents majeurs et d'encadrer leurs prestataires TIC. Nous vous aidons à mesurer les écarts et à les combler, forts de plus de 25 ans d'expérience de notre fondateur en gouvernance de la sécurité, notamment dans la finance.
Pour qui
- Banques, entreprises d'assurance et de réassurance, entreprises d'investissement et sociétés de gestion.
- Établissements de paiement et de monnaie électronique, prestataires de services sur crypto-actifs.
- Entités de plus petite taille, pour lesquelles DORA prévoit des exigences proportionnées.
- Prestataires informatiques de clients financiers, à qui ces clients imposent les exigences contractuelles de DORA.
Ce que nous faisons
Analyse d'écarts
Évaluation de votre cadre de gestion des risques liés aux TIC au regard de DORA et de ses normes techniques, en proportion de votre taille et de votre profil de risque.
Registre d'informations
Inventaire des accords contractuels avec vos prestataires TIC, tenu à jour et prêt pour la remise annuelle à l'autorité de contrôle (BNB ou FSMA).
Incidents majeurs
Procédures de classification selon les critères de DORA et de notification dans les délais, avec l'appui de l'investigation numérique.
Prestataires TIC tiers
Évaluation des risques avant contrat, clauses contractuelles obligatoires, suivi et stratégies de sortie.
Tests de résilience
Un programme de tests proportionné : évaluations de vulnérabilités, tests d'intrusion, revues de configuration et exercices de crise.
Formation de la direction
L'organe de direction porte la responsabilité ultime des risques liés aux TIC et doit tenir ses connaissances à jour : nous formons ses membres comme le personnel.
Notre démarche
DORA demande des preuves, pas seulement des politiques. Chaque mesure est documentée pour pouvoir être présentée à l'autorité de contrôle ou à un auditeur.
Qualification
Votre statut au regard de DORA, l'autorité compétente et les allègements éventuels liés à votre taille.
Analyse d'écarts
Revue des politiques, des procédures, du registre et des contrats, sur la base des preuves disponibles.
Plan d'action
Mesures priorisées selon le risque et l'effort, validées par l'organe de direction.
Mise en œuvre et preuves
Politiques, registre et procédures rédigés ou mis à jour avec vos équipes, puis testés en exercice.
Questions fréquentes
DORA ou NIS2 : lequel s'applique ?
Pour une entité financière soumise à DORA, ce sont les règles de DORA sur la gestion des risques liés aux TIC et sur la notification des incidents qui s'appliquent, à la place des dispositions équivalentes de NIS2. Un prestataire informatique non financier relève, lui, de NIS2 s'il en remplit les critères.
Nous sommes le prestataire informatique d'une banque : DORA nous concerne-t-il ?
Indirectement. Vos clients doivent inclure dans leurs contrats les clauses imposées par DORA, évaluer leurs prestataires et pouvoir les auditer : attendez-vous à des questionnaires et à des demandes de preuves. Seuls les prestataires désignés comme critiques par les autorités européennes sont supervisés directement.
Qu'est-ce que le registre d'informations ?
C'est le registre de tous les accords contractuels de services TIC conclus avec des prestataires tiers, au format défini par les autorités européennes de surveillance. Il doit être tenu à jour et transmis chaque année à l'autorité compétente.
Les tests de pénétration fondés sur la menace (TLPT) sont-ils obligatoires ?
Seulement pour les entités désignées par l'autorité compétente, en général les plus importantes. Toutes doivent en revanche disposer d'un programme de tests proportionné : évaluations de vulnérabilités, tests d'intrusion, revues et exercices.
DORA s'applique-t-il aux petites entités ?
Oui, de façon proportionnée. Certaines entités, comme les petites entreprises d'investissement non interconnectées, peuvent appliquer un cadre simplifié de gestion des risques liés aux TIC, et les microentreprises bénéficient d'allègements.