DORA : quelles exigences, quels impacts pour votre organisation et comment vous y préparer ?

1. La formation en résumé

Cette formation porte sur le règlement européen DORA (Digital Operational Resilience Act) entré en vigueur en janvier 2023, qui impose aux institutions financières de nouvelles exigences visant à renforcer leur résilience opérationnelle face aux cybermenaces et à assurer la continuité de leurs services en cas d’incident majeur. Elle permet aux professionnels de la conformité, de la gestion des risques, de l’IT et de la cybersécurité de maîtriser le dispositif réglementaire DORA, d’identifier les impacts pour leur organisation et de se préparer aux nouvelles obligations opérationnelles. Ce programme constitue un levier d’anticipation essentiel, notamment en vue de l’application obligatoire du règlement prévue pour janvier 2025, et vise à structurer une réponse efficace aux exigences croissantes en matière de cybersécurité et de gestion des prestataires critiques.

2. Les thèmes abordés

- Enjeux et contexte réglementaire : compréhension des risques cyber dans l’industrie bancaire européenne, limites du cadre réglementaire actuel, définitions clés de DORA, périmètre des entités concernées, synthèse des obligations (gestion du risque informatique, incidents, tests de résilience, gestion des risques tiers), calendrier d’application, textes réglementaires de niveau 2, et interactions avec d’autres réglementations telles que NIS2, SRI2, DSP2.
- Gestion du risque informatique : principes de gouvernance, rôle de l’organe de direction selon DORA, stratégie de résilience opérationnelle numérique, cadre et procédures de gestion du risque informatique.
- Gestion des incidents informatiques : processus de gestion, classification des incidents selon les taxonomies de l’ENISA et du Groupe d’experts en sécurité du G7, principes de notification aux autorités, et interactions réglementaires.
- Tests de résilience : principes du programme de tests, approche par les risques et proportionnalité, tests de pénétration avancés (TLTP), participation des prestataires tiers, reconnaissance mutuelle européenne, conditions pour testeurs internes et externes, intégration avec dispositifs existants de sécurité, continuité d’activité et gestion de crise.
- Gestion du risque de tiers : périmètre des prestations concernées, gestion des risques liés aux prestataires, obligations contractuelles, registre d’informations, suivi de la performance et qualité, cadre de surveillance des prestataires critiques par les autorités, et analyse comparée des obligations DORA avec les guidelines de l’EBA et l’arrêté du 3 novembre 2014.
- Synthèse et conclusion : récapitulatif des apprentissages et évaluation de la formation.

3. Éléments de méthodologie de la formation

La formation s’appuie sur une approche structurée et opérationnelle du règlement DORA, combinant exposés théoriques, illustrations par des cas pratiques et retours d’expérience. Elle intègre des exercices interactifs tels que QCM, vrai/faux et sessions de questions/réponses afin de vérifier et consolider les acquis. Des synthèses régulières facilitent la compréhension globale et l’intégration des concepts. La documentation pédagogique est fournie sous forme de supports PowerPoint, favorisant une appropriation progressive des enjeux et des bonnes pratiques pour bâtir une gouvernance numérique robuste et préparer efficacement les contrôles réglementaires à venir.