Des projets qui passent le contrôle
Depuis le 17 janvier 2025, DORA s'applique aux banques et à la plupart des autres entités financières de l'UE. La gestion du risque lié aux TIC, la notification des incidents et le pilotage des prestataires informatiques sont ainsi réglementés de manière uniforme dans toute l'Europe. Nous accompagnons les projets de sorte que les justificatifs correspondants soient produits pendant le travail.
Le règlement (UE) 2022/2554 impose une gestion du risque lié aux TIC, la notification des incidents majeurs liés aux TIC, des tests de résilience opérationnelle numérique et le pilotage des prestataires tiers de services TIC. L'autorité fédérale de surveillance financière (BaFin) a donc progressivement retiré ses circulaires informatiques nationales. Selon son annonce, les BAIT expirent complètement fin 2026.
Quiconque travaille pour un établissement est contrôlé avec lui. Selon l'art. 30 DORA, les contrats avec les prestataires de services TIC doivent comporter certaines clauses minimales, et les établissements tiennent un registre d'informations sur ces accords. La documentation, les justificatifs et les responsabilités doivent donc être établis dès le départ de manière à pouvoir être présentés.
Sont impliqués les métiers, l'informatique, la conformité et l'audit interne, parfois aussi le responsable de l'externalisation. Un projet coordonné uniquement avec l'informatique échoue à la recette.
Quand un ancien système arrive en fin de vie ou qu'un contrôle approche, la date est fixée. On ajuste donc plutôt le périmètre que le calendrier.
Ce que nous ne prenons pas en charge : le conseil juridique, l'interprétation contraignante de DORA et de la MaRisk pour votre établissement et l'accompagnement d'audit au sens strict. Cette évaluation revient à votre service conformité, à votre audit interne et à des cabinets spécialisés.
Construction et mise en place d'une nouvelle solution ITSM en étroite collaboration avec la banque. Nous avons accompagné le projet de l'implémentation jusqu'à l'exploitation, en passant par la mise en production.
Résultat : Douze mois entre le lancement du projet et la mise en production, puis un accompagnement étroit en exploitation.
Pour un établissement réglementé, c'est une durée réaliste. Ici, les projets échouent plus souvent à cause de plannings trop optimistes qu'à cause de la technique.
FAQ
DORA exige une gestion documentée du risque lié aux TIC, avec mesures de protection, détection, plans d'urgence et rétablissement. S'y ajoutent la notification des incidents majeurs liés aux TIC, des tests réguliers et le pilotage des prestataires tiers de services TIC. Dans la pratique, une grande partie concerne les autorisations, la journalisation et la documentation, et c'est là que nous intervenons.
Dans de nombreux cas, oui. Pour les entreprises petites et non interconnectées, l'art. 16 DORA prévoit toutefois un cadre simplifié de gestion du risque lié aux TIC. Votre service conformité détermine les règles applicables à votre établissement, et nous alignons la technique en conséquence.
En règle générale, oui, dès que nous fournissons des services TIC de manière continue à votre établissement. Nous figurons alors dans votre registre d'informations, et le contrat doit contenir les clauses minimales prévues à l'art. 30 DORA. La question de savoir si la prestation constitue en plus une externalisation au sens de la MaRisk dépend de son étendue et de sa classification, et se règle au cas par cas.
Oui, grâce à la pratique des projets et au conseil sur DORA. L'interprétation contraignante pour votre établissement revient toutefois à votre service conformité et à votre audit interne, et nous alignons la mise en œuvre en conséquence.
Nous fournissons ce que l'audit demande et documentons pendant le projet plutôt qu'après. Tout auditeur reconnaît des documents rédigés après coup.
Oui. Dans le secteur bancaire, plusieurs parties travaillent presque toujours sur un même projet, et nous en avons l'habitude.
Dans notre projet bancaire de 250 utilisateurs, il a fallu douze mois jusqu'à la mise en production. La durée dépend surtout du nombre de processus à couvrir et du nombre d'acteurs qui doivent donner leur accord. Nous établissons un calendrier fiable après l'état des lieux.
Banques et services financiers
Présentez-nous votre projet lors d'un court entretien. Nous vous dirons franchement si nous sommes les bons interlocuteurs.
