Gestion du risque lié aux TIC : le cadre exigé par DORA

DORA commence par la gouvernance, et ce n'est pas un hasard. L'article 5 rend l'organe de direction (conseil d'administration, directoire ou dirigeants effectifs, selon la forme de l'entité) responsable de la gestion du risque lié aux TIC. Il ne s'agit pas d'une délégation à la direction informatique : la direction doit, entre autres :

• porter la responsabilité finale de la gestion du risque lié aux TIC ;
• adopter des politiques qui garantissent un haut niveau de disponibilité, d'authenticité, d'intégrité et de confidentialité des données ;
• attribuer clairement les rôles et responsabilités pour toutes les fonctions liées aux TIC ;
• définir la stratégie de résilience opérationnelle numérique, y compris le niveau de tolérance au risque lié aux TIC ;
• approuver et réexaminer la politique de continuité des activités de TIC, les plans de réponse et de rétablissement, et les plans d'audit TIC ;
• allouer un budget suffisant, y compris pour la sensibilisation et la formation ;
• approuver la politique d'utilisation des services TIC fournis par des prestataires tiers, et se tenir informée des accords conclus, de leurs changements importants et des incidents majeurs.

Les membres de l'organe de direction doivent aussi se former régulièrement pour comprendre et évaluer le risque lié aux TIC. Hors microentreprises, l'entité désigne un rôle chargé de suivre les accords avec les prestataires TIC, ou un cadre dirigeant chargé de ce suivi.

Le cadre de gestion du risque lié aux TIC est l'ensemble documenté des stratégies, politiques, procédures, protocoles et outils qui protègent les actifs informationnels et informatiques (logiciels, matériels, serveurs) et les infrastructures physiques (locaux, centres de données). Il s'intègre au dispositif global de gestion des risques de l'entité.

• Hors microentreprises, la gestion et le contrôle du risque lié aux TIC sont confiés à une fonction de contrôle suffisamment indépendante, distincte de l'audit interne, selon le modèle des trois lignes de défense ou un modèle équivalent.
• Le cadre est réexaminé au moins une fois par an (périodiquement pour les microentreprises), après tout incident majeur, et à la suite des constats des tests, des audits ou des autorités. Un rapport de réexamen est remis à l'autorité sur demande ; son format est fixé par l'article 27 du règlement délégué 2024/1774.
• Hors microentreprises, le cadre est audité régulièrement par des auditeurs internes compétents en TIC, et les constats critiques font l'objet d'un suivi formel.
• L'entité peut adopter une stratégie multifournisseur pour ses services TIC, au niveau du groupe ou de l'entité.

La stratégie de résilience opérationnelle numérique

Le cadre inclut une stratégie qui explique comment il sera mis en œuvre. L'article 6, paragraphe 8, en liste le contenu minimal :

• le lien entre le cadre et la stratégie et les objectifs de l'entreprise ;
• le niveau de tolérance au risque lié aux TIC, cohérent avec l'appétence pour le risque, et l'analyse de la tolérance aux perturbations ;
• des objectifs de sécurité de l'information, avec des indicateurs clés de performance et de risque ;
• l'architecture TIC de référence et les évolutions nécessaires ;
• les mécanismes de détection, de protection et de prévention des incidents ;
• l'état de la résilience, mesuré notamment par le nombre d'incidents majeurs et l'efficacité des mesures préventives ;
• les tests de résilience et la stratégie de communication en cas d'incident.

Les articles suivants décrivent ce que le cadre doit couvrir. On peut les lire comme un cycle continu, que l'organe de direction pilote et que les incidents et les tests viennent alimenter :

Publié au Journal officiel le 25 juin 2024, le règlement délégué (UE) 2024/1774 transforme les principes des articles 5 à 15 en une liste de politiques et de procédures attendues. Son titre II, pour le régime général, couvre :

• la gestion des actifs de TIC : inventaire, propriétaire, classification, actifs en fin de support ;
• le chiffrement et la gestion des clés cryptographiques ;
• la sécurité des opérations : capacités, gestion des vulnérabilités et des correctifs, sécurité des données et des systèmes, journalisation ;
• la sécurité des réseaux et des informations en transit ;
• la gestion des projets, des acquisitions, du développement et des changements ;
• la sécurité physique et environnementale ;
• les ressources humaines, la gestion des identités et le contrôle d'accès ;
• la détection et la gestion des incidents ;
• la continuité des activités de TIC, ses tests et les plans de réponse et de rétablissement ;
• le format du rapport de réexamen du cadre.

Son titre III décrit le cadre simplifié réservé aux entités de l'article 16 (voir entités concernées). Dans le secteur de l'assurance, la notice de l'ACPR du 18 décembre 2024 reprend ces attentes de façon pratique.

DORA impose d'identifier les sources de risque, d'évaluer les menaces et les vulnérabilités et de revoir les scénarios de risque au moins une fois par an, mais n'impose pas de méthode. Une analyse de risques conduite selon la norme ISO 27005 ou la méthode EBIOS RM de l'ANSSI répond à cette attente, à condition de couvrir les fonctions critiques ou importantes et les dépendances envers les prestataires. Le résultat se présente utilement sous forme de cartographie des risques pour l'organe de direction.

Les exigences recoupent largement celles d'un système de management de la sécurité de l'information certifié ISO 27001 : une entité déjà certifiée part avec une bonne partie des politiques, mais doit ajouter ce qui est propre à DORA, comme la stratégie de résilience, la tolérance aux perturbations, le registre d'information ou la notification des incidents en heures. Côté continuité, l'article 11 s'appuie sur un plan de continuité d'activité testé.