Conformité DORA :une résilience numérique pilotée et mesurée
Entités financières et prestataires TIC du secteur financier : nous structurons votre conformité au règlement DORA avec une méthode outillée, des contrôles automatisés et la gestion de vos prestataires TIC dans CYKHUB.
DORA vous concerne, directement ou par vos clients
Applicable depuis le 17 janvier 2025, le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique fait de la cybersécurité une obligation prudentielle, sous la responsabilité de l'organe de direction. Pour le détail du texte, consultez notre guide DORA.
Entités financières
Banques, assurances, sociétés de gestion, entreprises d'investissement, établissements de paiement, prestataires crypto-actifs…
Vous devez démontrer la maîtrise de vos risques TIC, de vos incidents et de vos prestataires à votre superviseur.
Prestataires TIC du secteur financier
Éditeurs, hébergeurs, infogéreurs, ESN, fournisseurs cloud et SaaS dont les clients sont des acteurs financiers.
Vos clients vous imposent clauses, questionnaires et audits : y répondre sans délai devient un avantage concurrentiel.
Les 5 piliers DORA, couverts de bout en bout
Conseil, sécurité offensive et plateforme : chaque pilier s'appuie sur une expertise Cykrony.
Gestion des risques TIC
Un cadre de gestion des risques approuvé par la direction, des actifs critiques identifiés et protégés.
EBIOS RM →Gestion des incidents
Détection, classification et notification des incidents majeurs aux autorités dans des délais très courts.
Réponse à incident →Tests de résilience
Scans de vulnérabilités, tests d'intrusion, tests de continuité, et TLPT pour les entités désignées.
Tests d'intrusion →Risque lié aux tiers TIC
Registre d'information, évaluation des prestataires, clauses contractuelles et stratégies de sortie.
Risque fournisseurs →Partage d’informations
Participation aux dispositifs d’échange sur les menaces et vulnérabilités.
Notre méthode en 4 étapes
Une démarche automatisée et non intrusive au démarrage, un accompagnement concret ensuite, et un suivi mensuel pour que la conformité tienne dans la durée.
Évaluation initiale automatisée
- Cyber-notation externe de votre surface exposée (type SecurityScorecard)
- Scan de vulnérabilités interne (Nessus)
- Cartographie de vos services critiques et de vos prestataires TIC
- Rapport d'évaluation : écarts face aux 5 piliers DORA
Analyse des écarts & plan d'action
- Gap analysis exigence par exigence (règlement et normes techniques associées)
- Plan d'action priorisé selon la criticité et planifié
- Feuille de route présentée à l'organe de direction
Mise en œuvre
- Cadre de gestion des risques TIC, politiques et procédures
- Processus de classification et de notification des incidents majeurs
- Programme de tests de résilience (pentests, Red Team, continuité)
- Registre d'information et évaluation des prestataires TIC avec CYKHUB
Suivi & amélioration continue
- Rapport mensuel d'avancement et de niveau de résilience
- Contrôles automatisés réguliers (notation externe, scans)
- Revue des politiques face aux nouvelles menaces et exigences des superviseurs
- Points de suivi hebdomadaires ou bimensuels
Le risque lié aux prestataires TIC, enfin sous contrôle
C'est souvent le chantier DORA le plus lourd. CYKHUB, notre plateforme de gestion du risque tiers, intègre nativement le référentiel DORA : inventaire des prestataires, classement par criticité, questionnaires, collecte de preuves, notation continue et suivi des plans de remédiation, avec un historique complet pour vos audits. Données hébergées dans l'UE.
Découvrir CYKHUB ↗Tableur vs CYKHUB
Ce que vous obtenez
État des lieux DORA
Une vision objective de votre résilience, pilier par pilier.
Cadre de gestion des risques TIC
Politiques, procédures et appétit au risque prêts à être approuvés.
Registre d'information
Vos prestataires TIC inventoriés, qualifiés et suivis dans CYKHUB.
Processus incidents majeurs
Critères de classification, circuits de décision et modèles de notification.
Programme de tests
Un calendrier de tests de résilience, de l'analyse de vulnérabilités au Red Team.
Reporting de direction
Un tableau de bord mensuel pour l'organe de direction, responsable au titre de DORA.
Également soumis à NIS 2 dans vos autres activités ? Découvrez notre accompagnement NIS 2 ou confiez le pilotage global à un RSSI externalisé.
DORA : vos questions
Qui est concerné par DORA ?
Le règlement (UE) 2022/2554, dit DORA, s'applique depuis le 17 janvier 2025 à la quasi-totalité des entités financières : banques, entreprises d'investissement, sociétés de gestion, assureurs et réassureurs, établissements de paiement et de monnaie électronique, prestataires de services sur crypto-actifs… Les prestataires TIC de ces entités (éditeurs, hébergeurs, infogéreurs, services cloud) sont aussi directement impactés : leurs clients doivent leur imposer des exigences contractuelles et les évaluer.
Je suis prestataire informatique d’une banque ou d’un assureur : que dois-je faire ?
Attendez-vous à recevoir des questionnaires de sécurité, des clauses contractuelles DORA (droits d'audit, notification d'incidents, réversibilité) et des demandes de preuves. Être capable d'y répondre vite et bien devient un argument commercial. Nous vous aidons à structurer votre sécurité et vos preuves, et CYKHUB embarque les référentiels DORA pour préparer ces campagnes.
DORA et NIS 2 : faut-il mener deux projets ?
Non. Pour les entités financières, DORA est le texte sectoriel de référence et prévaut sur NIS 2 pour la gestion du risque cyber. Les deux textes partagent une grande partie des exigences (gestion des risques, incidents, tiers, gouvernance) : notre méthode mutualise le travail pour éviter les doublons.
Qu'est-ce que le registre d'information des prestataires TIC ?
DORA impose de tenir un registre de tous les accords contractuels avec des prestataires de services TIC, et de le transmettre aux autorités. C'est un chantier lourd quand il est mené dans un tableur. CYKHUB centralise l'inventaire des prestataires, leur criticité, leurs évaluations et le suivi des actions.
Quels tests de résilience DORA exige-t-il ?
Toutes les entités doivent disposer d'un programme de tests de résilience opérationnelle numérique : analyses et scans de vulnérabilités, tests d'intrusion, revues de sécurité, tests de continuité. Certaines entités désignées par les autorités doivent en plus réaliser des tests de pénétration fondés sur la menace (TLPT) au moins tous les trois ans. Nos équipes de sécurité offensive réalisent les tests d'intrusion et exercices Red Team de votre programme.
Combien de temps faut-il pour se mettre en conformité ?
Cela dépend de votre maturité de départ, notamment sur la gestion des risques TIC et des prestataires. Notre évaluation initiale automatisée donne rapidement un état des lieux objectif ; le plan d'action est ensuite déroulé et suivi mois par mois, avec un reporting adapté à l'organe de direction.