DORA : connaître vos prestataires informatiques, documents à l'appui.
Depuis janvier 2025, DORA impose au secteur financier de maîtriser ses risques informatiques, y compris ceux qui viennent de ses prestataires. Une grande partie du travail consiste à réunir, tenir à jour et prouver des informations.
- Texte
- Règlement (UE) 2022/2554
- Applicable depuis
- 17 janvier 2025
- Autorités en France
- ACPR et AMF, selon l'entité
- Prestataires critiques
- Supervisés directement par les autorités européennes
01Qui est concerné
Les entités financières, et leurs prestataires informatiques.
Le règlement liste une vingtaine de catégories d'entités financières. Les prestataires de services informatiques entrent dans son champ par les contrats qui les lient à elles.
Banque et paiement
Établissements de crédit, établissements de paiement et de monnaie électronique, prestataires de services sur crypto-actifs.
Marchés et gestion
Entreprises d'investissement, sociétés de gestion, gestionnaires de fonds alternatifs, plateformes de négociation, dépositaires centraux, contreparties centrales.
Assurance
Entreprises d'assurance et de réassurance, intermédiaires d'assurance et de réassurance, institutions de retraite professionnelle, sous conditions de taille.
Prestataires informatiques
Ils doivent accepter les clauses contractuelles prévues par le règlement ; les plus critiques sont supervisés au niveau européen.
02Ce que le texte exige
Les cinq piliers du règlement.
La direction en est responsable, et chaque pilier se documente.
Gestion du risque informatique
Un cadre de gestion des risques approuvé et suivi par l'organe de direction, avec continuité d'activité et plans de réponse.
Articles 5 à 16Incidents informatiques
Classer les incidents, notifier les incidents majeurs à l'autorité compétente selon les délais fixés.
Articles 17 à 23Tests de résilience
Un programme de tests, et pour certaines entités des tests de pénétration fondés sur la menace.
Articles 24 à 27Risque lié aux prestataires
Un registre d'informations sur tous les contrats de services informatiques, une évaluation avant contrat, des clauses obligatoires et des stratégies de sortie.
Articles 28 à 30Partage d'informations
Des échanges volontaires d'informations sur les menaces entre entités financières.
Article 45
03Vos échanges de documents
Là où vos échanges de documents entrent en jeu.
Le registre d'informations et l'évaluation des prestataires reposent sur des documents à obtenir, vérifier et tenir à jour.
- Obtenir de chaque prestataire ses certifications, politiques de sécurité, plans de continuité et sous-traitants.
- Relancer ceux qui n'ont pas répondu, puis recommencer l'année suivante.
- Retrouver la dernière version de chaque pièce lors d'un contrôle.
- Partager des informations sensibles avec un prestataire sans les exposer en pièces jointes.
04Ce que Nestor apporte
Ce que Nestor apporte.
Nestor vous aide à répondre à certaines exigences : traçabilité, contrôle des accès, hébergement en France. La conformité reste celle de votre organisation.
- Votre besoin
Réunir les informations de vos prestataires
Une campagne demande à chaque prestataire les mêmes pièces et réponses, dans son espace, avec des relances qui s'arrêtent quand il a répondu.
En savoir plus - Votre besoin
Suivre qui a répondu
Le tableau de bord de la campagne : ouvertures, réponses, pièces à valider, prestataire par prestataire.
En savoir plus - Votre besoin
Retrouver la bonne version
Chaque pièce dans le dossier prévu, avec son historique de versions.
En savoir plus - Votre besoin
Garder la trace
Le journal d'activitéJournal d'activitéHistorique horodaté des actions réalisées sur des documents ou des dossiers : envoi, consultation, téléchargement, validation. de chaque campagne, exportable en CSV.
En savoir plus - Votre besoin
Évaluer Nestor, votre prestataire
Nestor est engagé dans une démarche de certification ISO/IEC 27001ISO/IEC 27001Norme internationale qui fixe les exigences d'un système de management de la sécurité de l'information : appréciation des risques, mesures de sécurité, amélioration continue.:2022 ; les documents de la démarche sont disponibles sur demande.
En savoir plus - Votre besoin
Tenir pendant une crise
BientôtBientôt : la Safe Room, un espace de crise accessible depuis un navigateur quand vos outils habituels ne répondent plus.
En savoir plus
05Questions fréquentes
Questions fréquentes
Nestor rend-il conforme à DORA ?
Non. DORA couvre l'ensemble de votre résilience numérique. Nestor vous aide à réunir et tenir à jour les informations de vos prestataires, et à garder la trace de vos échanges. La conformité reste celle de votre organisation.
DORA concerne-t-il les prestataires comme Nestor ?
Oui, par les contrats. Une entité financière doit évaluer ses prestataires informatiques et inclure dans ses contrats les clauses prévues par le règlement. Nous transmettons les documents de notre démarche ISO/IEC 27001 sur demande.
Et NIS 2 pour une banque ?
Pour les entités financières, DORA prévaut sur NIS 2 pour la gestion des risques informatiques et la notification des incidents.
Sources et pages liées
Ces pages informent et ne remplacent pas un conseil juridique.
Un registre de prestataires à tenir à jour ?
Dites-nous combien de prestataires vous suivez et ce que vous leur demandez : nous vous montrons la campagne correspondante.
- Hébergement européen totalement souverain
- Aucun compte à créer pour vos interlocuteurs