DORA - Digital operational resilience act

Introduction :
Tour de table : présentation des participants, des besoins, débriefing collectif, rappel des objectifs et auto-positionnement
Qu'est ce que la résilience informatique ?
Contexte actuel : pourquoi un règlement relatif à la résilience des activités financières ?
Quelle est la différence entre résilience informatique (secours) et cyber résilience (reconstruction)

Le cadre juridique actuel de la résilience informatique :
RGPD
RGS
NIS1
Normes AFNOR
Référentiel ACPR
Référentiel Anssi

Les objectifs du règlement DORA et son articulation avec les futures législations sectorielles :
Les objectifs du règlement DORA
Le lien avec la directive NIS2
Le lien avec la directive CER

Le champ d'application du règlement DORA :
Les prestataires de cryptomonnaie
Les banques
Les assurances

Le renforcement général des obligations de résilience pour les DSI du secteur financier concernant :
Les audits et tests d'intrusion
La gouvernance
La sensibilisation des équipes
La gestion de crise
Le test de restauration
Le renforcement des PCA
La reconstruction des SI

La nouvelle gouvernance de la résilience par les risques :
La gestion des risques
Les relations contractuelles avec les tiers : mise à jour des contrats, sortie des contrats en cas de non respect de la nouvelle règlementation
Les entités critiques : présentation des critères annoncés par l'AEFM pour déterminer le niveau de criticité d'un sous-traitant
La Supply chain

Les aspects techniques de DORA :
RTS, RPO, PLA, RTO (objectifs), RTA (pratiques concrètes des SI)
La gestion de l'obsolescence
“Infrastructure as code”
Le back up immuable

La déclaration des incidents de sécurité :
La définition d'un incident de sécurité
La comparaison avec une notification à la CNIL
Quels sont les régulateurs possibles ?

Les potentiels nouveaux pouvoirs de sanction du régulateur :
Le pouvoir d'effectuer des contrôles de sécurité au sein des entités
Le pouvoir de sanctions prévues par DORA alignées sur celles du RGPD

Conclusion