Classifier vite et bien
La mécanique
DORA articule deux temps distincts :
- La classification (article 18) — l'incident est-il majeur ? Elle s'appuie sur des critères harmonisés : clients et contreparties touchés, réputation, durée et indisponibilité, portée géographique, pertes de données, criticité des services affectés, impact économique.
- La notification (article 19) — un schéma en trois temps : notification initiale, rapport intermédiaire, rapport final.
Le point qui piège : le compte à rebours démarre au moment où l'incident est classé comme majeur, pas au moment de sa détection. Retarder la classification ne gagne pas de temps — c'est en soi un manquement, et c'est l'un des premiers points qu'un superviseur vérifiera en comparant les horodatages de la supervision et ceux de la classification.
La grille opérationnelle
La grille doit tenir sur une page et être utilisable par une personne seule, à 3 heures du matin.
| Critère | Seuil à renseigner | Source de la donnée |
|---|---|---|
| Clients ou contreparties touchés | Nombre et pourcentage | Supervision, service client |
| Durée d'indisponibilité | Heures écoulées | Supervision |
| Portée géographique | Nombre d'États membres | Cartographie des services |
| Pertes de données | Confidentialité, intégrité, disponibilité | Analyse technique |
| Criticité des services affectés | Fonction critique ou importante ? | Cartographie de l'article 8 |
| Impact économique | Coûts directs et indirects estimés | Estimation, fourchette acceptable |
Chaque critère est renseigné avec la meilleure estimation disponible et une mention explicite du niveau d'incertitude. Attendre la donnée exacte pour classer est la façon la plus sûre de rater le délai.
La chaîne de décision
Trois rôles, désignés nominativement avec suppléants :
- Qui détecte et déclenche la qualification — généralement le SOC ou l'astreinte ;
- Qui classe — un rôle désigné, joignable 24 h/24, habilité à décider seul ;
- Qui notifie — la fonction conformité ou son suppléant, qui transmet à l'autorité.
Le rôle 2 est le plus critique. S'il exige une réunion ou une validation hiérarchique, le délai sera manqué. La délégation doit être écrite, avec un seuil au-delà duquel la classification s'impose sans débat.
Les trois rapports
| Rapport | Contenu |
|---|---|
| Notification initiale | Faits connus, services affectés, mesures immédiates, estimation préliminaire |
| Rapport intermédiaire | Évolution, impact consolidé, état du rétablissement, révision de la classification |
| Rapport final | Causes racines, impact définitif chiffré, actions correctives, enseignements |
Le rapport final est celui qui laisse une trace durable. Il est lu, comparé aux précédents, et ses actions correctives seront vérifiées lors du contrôle suivant.
L'articulation avec les autres obligations
Un même incident peut déclencher plusieurs notifications, avec des délais et des destinataires différents : DORA vers l'autorité compétente, NIS 2 le cas échéant, la protection des données en cas de violation, et l'information des clients affectés.
Ces flux ne sont pas fongibles. Un tableau unique dans la procédure — quel événement, quelle obligation, quel délai, quel destinataire, quel modèle — évite les oublis au moment où personne n'a le temps de chercher.
À retenir
- La classification tardive est un manquement, pas un délai gagné
- Une personne d'astreinte doit pouvoir classer sans réunion
- Les critères sont cumulatifs et se combinent