Cette checklist de 50 points de contrôle permet d'évaluer rapidement le niveau de conformité d'une entité financière au règlement DORA (EU) 2022/2554. Elle couvre les cinq domaines du règlement et peut être utilisée en autoévaluation ou comme base d'un audit interne.
Domaine 1 : Gouvernance et Cadre de Gestion des Risques TIC
- L'organe de direction a approuvé formellement la stratégie de résilience numérique
- Le cadre de gestion des risques TIC est documenté et daté
- Le cadre de gestion du risque lié aux TIC a été réexaminé au cours des 12 derniers mois (article 6, paragraphe 5 : au moins une fois par an)
- Des formations sur les risques TIC ont été dispensées aux membres de l'organe de direction
- Un responsable de la gestion des risques TIC est clairement identifié
- Le cadre TIC est intégré dans le système global de gestion des risques de l'entité
- Des KRI (indicateurs de risque clés) TIC sont définis et reportés à l'organe de direction à une fréquence fixée
- L'appétit au risque TIC est défini et approuvé
- Un rapport annuel sur la résilience numérique est présenté à l'organe de direction
- Le plan d'amélioration continue suite aux incidents et aux tests est formalisé
Domaine 2 : Identification et Protection des Actifs TIC
- Un inventaire complet des actifs TIC existe et est tenu à jour
- Les actifs TIC sont classifiés selon leur criticité (critique, important, autre)
- Les interdépendances entre actifs TIC sont documentées
- Des mesures de contrôle d'accès proportionnées à la criticité sont en place
- Un processus de gestion des vulnérabilités est opérationnel
- Le chiffrement des données en transit et au repos est appliqué aux actifs critiques
- Une surveillance continue des systèmes critiques est en place (monitoring/SIEM)
- Les sauvegardes des données critiques sont régulières et leur restauration est testée
- Un processus de gestion des correctifs de sécurité est formalisé
- Les plans de continuité et de rétablissement TIC sont documentés et testés
Domaine 3 : Gestion des Incidents TIC
- Un processus de gestion des incidents TIC est documenté et connu des équipes
- Les critères de classification des incidents (majeur, non majeur) sont définis
- Le processus de notification à l'ACPR/AMF est opérationnel
- Les délais de notification des incidents majeurs sont intégrés dans les procédures : initiale dans les 4 heures suivant la classification (et au plus tard 24 heures après la détection), intermédiaire dans les 72 heures suivant la notification initiale, finale dans le mois suivant le dernier rapport intermédiaire
- Un formulaire de notification initiale est préparé et accessible
- Une cellule de crise cyber est identifiée avec des responsabilités définies
- Les contacts des autorités compétentes sont à jour et accessibles 24/7
- Un registre des incidents TIC est tenu (incidents majeurs et non majeurs)
- Des exercices de gestion de crise sont organisés au moins annuellement
- Les enseignements post-incident sont documentés et intégrés au cadre TIC
Domaine 4 : Tests de Résilience
- Un programme de tests de résilience est formalisé et approuvé
- Des évaluations de vulnérabilité sont réalisées au moins annuellement
- Des tests de pénétration sont réalisés sur les systèmes critiques
- Des exercices de continuité d'activité TIC sont réalisés régulièrement
- Les résultats des tests sont documentés et présentés à l'organe de direction
- Un plan de remédiation est établi pour les lacunes identifiées
- L'entité a évalué si elle est potentiellement soumise aux tests TLPT
- Les testeurs sont indépendants des fonctions testées
- Les tests couvrent les scénarios de défaillance de prestataires TIC critiques
- Les tests sont mis à jour pour refléter les nouvelles menaces identifiées
Domaine 5 : Gestion des Tiers Prestataires TIC
- Un registre complet des contrats avec les tiers TIC existe
- Les fonctions critiques ou importantes externalisées sont identifiées
- Les contrats des prestataires TIC critiques incluent toutes les clauses DORA minimales
- Le droit d'audit est inclus dans les contrats des prestataires critiques
- Les chaînes de sous-traitance des prestataires critiques sont cartographiées
- Une stratégie de sortie est documentée pour chaque prestataire TIC critique
- Des évaluations régulières des prestataires TIC critiques sont réalisées
- Un processus de gestion des incidents prestataires est en place
- Le risque de concentration (dépendance à un seul prestataire) est évalué
- La localisation des données chez les prestataires cloud est documentée et conforme
Grille de lecture : combien de points validés ?
| Points validés | Niveau |
|---|---|
| 0-25 | Niveau insuffisant — Plan d'action immédiat requis |
| 26-35 | Niveau en développement — Lacunes significatives à combler |
| 36-42 | Niveau substantiel — Quelques améliorations ciblées nécessaires |
| 43-47 | Niveau avancé — Maintenance et amélioration continue |
| 48-50 | Niveau optimal — Entité exemplaire |
Conclusion
Cette checklist est un outil d'autoévaluation. Elle ne remplace pas un audit formel mais permet d'identifier rapidement les priorités de conformité. Les entités qui valident moins de 35 points doivent engager un plan de remédiation structuré sans délai.