Diagnostic DORA : que doit-il couvrir ?
Pour organiser un diagnostic, on peut lire le règlement (UE) 2022/2554 en cinq volets, qui suivent ses chapitres II à VI : gestion du risque lié aux TIC, incidents, tests de résilience, prestataires tiers et partage d'informations. Ce découpage est notre lecture : le texte lui-même ne le nomme pas.
1. Gestion du risque lié aux TIC (articles 5 à 15)
C'est le socle : gouvernance, cadre de gestion, identification, protection, détection, réponse, rétablissement, sauvegardes, formation et communication. Le diagnostic commence par la direction, car selon l'article 5, paragraphe 2, l'organe de direction « assume la responsabilité ultime de la gestion du risque lié aux TIC de l’entité financière ».
Précision sur ce volet : le cadre simplifié (article 16)
Selon l'article 16, paragraphe 1, premier alinéa, « Les articles 5 à 15 du présent règlement ne s’appliquent pas aux petites entreprises d’investissement non interconnectées et aux établissements de paiement exemptés en vertu de la directive (UE) 2015/2366; aux établissements exemptés en vertu de la directive 2013/36/UE pour lesquels les États membres ont décidé de ne pas appliquer l’option visée à l’article 2, paragraphe 4, du présent règlement; aux établissements de monnaie électronique exemptés en vertu de la directive 2009/110/CE; et aux petites institutions de retraite professionnelle. » Ces entités appliquent à la place le cadre simplifié de l'article 16. Un diagnostic doit donc d'abord établir quel cadre s'applique.
2. Incidents liés aux TIC (articles 17 à 23)
Le diagnostic examine le processus de gestion, la classification et la déclaration des incidents. Article 18 : « Les entités financières classent les incidents liés aux TIC et déterminent leur incidence » selon des critères fixés par le texte. Article 19 : « Les entités financières déclarent à l’autorité compétente pertinente visée à l’article 46 les incidents majeurs liés aux TIC ».
3. Tests de résilience opérationnelle numérique (articles 24 à 27)
Les entités, autres que les microentreprises, tiennent « un programme solide et complet de tests de résilience opérationnelle numérique » (article 24). Le test de pénétration fondé sur la menace (article 26) ne concerne que les entités désignées par leur autorité.
4. Risque lié aux prestataires tiers de services TIC (chapitre V, articles 28 à 44)
Le chapitre V couvre les articles 28 à 44. Sa section I (articles 28 à 30) s'adresse aux entités financières : stratégie, analyse avant contrat, clauses contractuelles (article 30), et surtout le registre de l'article 28, paragraphe 3 : les entités tiennent et mettent à jour « un registre d’informations en rapport avec tous les accords contractuels portant sur l’utilisation de services TIC fournis par des prestataires tiers de services TIC ».
Sa section II (articles 31 à 44) organise la surveillance des prestataires tiers critiques de services TIC par les autorités européennes de surveillance : elle vise ces prestataires et leurs superviseurs, pas directement l'entité diagnostiquée.
5. Partage d'informations (chapitre VI, article 45), facultatif
Ce volet n'est pas une obligation : « Les entités financières peuvent échanger entre elles des informations et des renseignements sur les cybermenaces ». Un diagnostic peut le mentionner, il ne peut pas le reprocher.
La proportionnalité (article 4)
Tout se lit à l'échelle de l'entité : les règles s'appliquent « en tenant compte de leur taille et de leur profil de risque global ainsi que de la nature, de l’ampleur et de la complexité de leurs services, activités et opérations ». Un diagnostic qui applique la même grille à une petite société de gestion et à une grande banque se trompe de lecture.
Ce que le texte ne dit pas
Le règlement ne fixe ni le prix, ni la forme, ni la durée d'un diagnostic DORA, et ne désigne aucun prestataire habilité à le faire. Un devis sérieux devrait donc dire quels volets il couvre, lesquels il écarte et pourquoi, et sur quelles preuves il s'appuie (documents, entretiens, relevés techniques, registre d'informations).
Voir aussi
- DORA s'applique-t-il aux PME ?
- DORA s'applique-t-il à l'assurance ?
- DORA : quelles clauses imposer aux prestataires TIC ?
- DORA : qu'est-ce que le TLPT et qui doit le faire ?
Gratuit: votre score + vos écarts. Le rapport détaillé et la déclaration étayée : 990 € HT, seulement si vous le décidez.
Le rapport est un diagnostic : il dit ce qui est constaté, il ne corrige rien à votre place.
SYAGA Audit est un outil de diagnostic au regard de votre environnement Microsoft 365 ; il ne se substitue pas à une démarche de conformité complète et ne constitue ni une certification ni une garantie de conformité réglementaire. Mesures alignées sur ISO/IEC 27001, sans certification à ce jour.
Source : règlement (UE) 2022/2554 (EUR-Lex). Cette page informe ; elle ne constitue pas un conseil juridique.