DORA
S'applique au secteur financier : banques, assurances, sociétés de gestion, prestataires de paiement et leurs prestataires informatiques.
Résilience réglementaire
DORA et NIS2 : le vocabulaire de la résilience.
Deux textes européens imposent désormais à des milliers d'organisations de démontrer qu'elles tiennent face aux incidents. Ils emploient un vocabulaire précis, et chaque terme porte une exigence. Voici les vingt notions qui structurent ces deux cadres, et ce qu'elles demandent concrètement.
NIS2
S'applique à dix-huit secteurs définis par ses annexes I et II : énergie, santé, transport, numérique et bien d'autres.
Dix notions
DORA, règlement UE 2022/2554, secteur financier.
Résilience opérationnelle numérique
La capacité à tenir et à redémarrer malgré un incident informatique. C'est la finalité du texte.
Entités financières
Le périmètre visé : banques, assurances, sociétés de gestion, prestataires de paiement et assimilés.
Risque lié aux TIC
Le cadre de gestion des risques informatiques, à documenter et à réviser régulièrement.
Organe de direction
Il porte la responsabilité finale et ne peut pas la déléguer.
Fonctions critiques ou importantes
Les activités dont l'interruption mettrait l'entité en difficulté, et qui déclenchent les exigences renforcées.
Incident majeur lié aux TIC
Classification selon des critères précis, puis notification à l'autorité.
TLPT
Tests d'intrusion fondés sur la menace, conduits en conditions réelles, pour les entités les plus significatives.
Prestataires tiers de services TIC
La gestion du risque fournisseur, assortie de clauses contractuelles obligatoires.
Registre d'informations
L'inventaire de tous les contrats TIC, à tenir à jour et à transmettre au superviseur.
Prestataires tiers critiques
Les grands fournisseurs, le cloud notamment, supervisés directement au niveau européen.
Dix notions
NIS2, directive UE 2022/2555, multisectorielle.
Entités essentielles
Les acteurs les plus critiques, soumis à un contrôle a priori.
Entités importantes
Des obligations proches, mais un contrôle exercé a posteriori.
Secteurs critiques
Les dix-huit secteurs des annexes I et II : énergie, santé, transport, numérique et autres.
Mesures de gestion des risques
Le socle de l'article 21 : politiques, continuité, chiffrement, contrôle d'accès et davantage.
Approche « tous risques »
Couvrir aussi le physique et l'environnemental, pas seulement la menace cyber.
Proportionnalité
Des mesures adaptées à la taille, à l'exposition et à l'impact potentiel.
Incident important
Une notification en trois temps : alerte dans les vingt-quatre heures, notification dans les soixante-douze heures, rapport final sous un mois.
Chaîne d'approvisionnement
La sécurité des fournisseurs et des prestataires directs entre dans le périmètre.
Responsabilité des dirigeants
Approbation des mesures, formation obligatoire, mise en cause personnelle possible.
Supervision et sanctions
Une autorité nationale, l'ANSSI en France, et des amendes pouvant atteindre dix millions d'euros ou deux pour cent du chiffre d'affaires mondial.
Ce que mesure déjà l'IRO
Le même terrain, abordé par deux chemins.
Ces textes posent des exigences juridiques. L'indice de robustesse organisationnelle mesure des capacités. Les deux se rencontrent sur le même terrain : tenir malgré la perturbation. Voici les recoupements que nous observons, dimension par dimension.
Une réserve, parce qu'elle compte : un diagnostic de robustesse ne vaut pas un audit de conformité et n'engage pas votre conformité à ces textes. Il éclaire les capacités réelles sur lesquelles cette conformité devra s'appuyer, et il révèle les écarts avant que le contrôle ne les révèle.
Votre organisation tiendrait-elle un contrôle, et surtout un incident réel ?
Le diagnostic mesure huit dimensions et vous rend une cartographie des fragilités, avant qu'un auditeur ou une panne ne s'en charge.