Conformité
DORA
Aussi appeléDigital Operational Resilience ActRèglement (UE) 2022/2554
En résumé
Le règlement européen (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier, applicable depuis le 17 janvier 2025. Il impose aux entités financières une gestion du risque informatique, la déclaration des incidents majeurs, des tests de résilience et le contrôle de leurs prestataires.
DORA, en détail
DORA est un règlement : il s’applique directement dans tous les États membres, sans texte de transposition. Il vise les établissements de crédit, de paiement et de monnaie électronique, les entreprises d’investissement, les assureurs et intermédiaires, les prestataires de services sur crypto-actifs et, pour certains aspects, les prestataires informatiques tiers critiques. Les exigences sont modulées selon la taille et le profil de risque.
Ses cinq piliers sont la gestion du risque lié aux technologies de l’information, la gestion et la déclaration des incidents, les tests de résilience opérationnelle numérique, la gestion du risque lié aux prestataires tiers et le partage d’informations. Pour les tests, il impose un programme mené par des parties indépendantes et, pour certaines entités, des tests d’intrusion fondés sur la menace (TLPT : définition) au moins tous les trois ans.
Qu’est-ce que cela change pour vous ?
Pour une entité financière ou son fournisseur, les tests de sécurité deviennent une obligation documentée, avec une boucle de remédiation vérifiable, et plus seulement une bonne pratique.
La confusion fréquente
Croire qu’un test d’intrusion annuel suffit. DORA demande un programme combinant plusieurs types de tests, relié à la gestion des incidents et des prestataires.
Qui peut vous accompagner ?
- Conformité DORA : la prestationPasser du texte du règlement à un dispositif que l’autorité peut contrôler.
- Red team : la prestationSavoir si vos équipes verraient une attaque, et à quelle vitesse elles réagiraient.
Aller plus loin
- ArticleDORA : ce que le règlement impose en tests de sécurité et de résilienceLe règlement DORA exige des tests de résilience numérique réguliers, dont des tests d’intrusion fondés sur la menace. Ce que disent les articles 24 à 27, qui est concerné et comment s’y préparer.
- ArticleChoisir un prestataire de test d’intrusion : PASSI et les bonnes questionsPASSI, certifications, références, assurance, méthode : les questions à poser à un prestataire de test d’intrusion avant de signer, et ce que chaque réponse doit vous dire.
- ComparatifTest d’intrusion ou red team : quelle différence et lequel acheter ?Le test d’intrusion cherche le plus de failles possible sur un périmètre, la red team mesure si votre défense détecte un adversaire déterminé. Pourquoi la red team est souvent achetée trop tôt.
Termes liés
- MéthodeTLPT : définitionUn test d’intrusion fondé sur la menace : un exercice avancé, proche d’un red team, qui reproduit les tactiques d’attaquants réalistes contre les systèmes de production d’une entité financière, à partir d’un scénario nourri de renseignements sur la menace, sous un encadrement réglementaire strict.
- ConformitéNIS 2 : définitionLa directive européenne (UE) 2022/2555 sur la cybersécurité, qui impose aux entités « essentielles » et « importantes » de nombreux secteurs des mesures de gestion des risques, une responsabilité de la direction et une notification rapide des incidents importants.
- ConformitéISO 27001 : définitionLa norme internationale qui définit les exigences d’un système de management de la sécurité de l’information (SMSI) : analyse des risques, mesures choisies et documentées, revue de direction et amélioration continue.
- MéthodeRed team : définitionUn exercice qui simule un adversaire réaliste, avec un objectif précis (accéder à une donnée, prendre le contrôle d’un système), sur plusieurs semaines et de manière discrète.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début