Les onze livrables attendus
La liste, dans l’ordre de production
| # | Livrable | Article | Dépend de |
|---|---|---|---|
| 1 | Note de périmètre et de proportionnalité | 2, 4, 16 | — |
| 2 | Cadre de gestion du risque TIC approuvé | 5, 6 | 1 |
| 3 | Stratégie de résilience opérationnelle numérique | 6 | 2 |
| 4 | Cartographie fonctions / actifs / tiers | 8 | 1 |
| 5 | Politique de continuité des activités TIC | 11 | 4 |
| 6 | Politique de sauvegarde et de restauration | 12 | 4 |
| 7 | Procédure de gestion et de classification des incidents | 17, 18 | 4 |
| 8 | Procédure de notification et modèles de rapports | 19 | 7 |
| 9 | Programme de tests pluriannuel | 24, 25 | 4 |
| 10 | Registre d’information | 28 | 4 |
| 11 | Clausier contractuel TIC | 30 | 10 |
Pourquoi cet ordre
Le livrable 4 — la cartographie — apparaît tôt et conditionne cinq autres. Une organisation qui démarre par le registre d’information sans avoir identifié ses fonctions critiques remplit le champ « fonction supportée » au jugé, et devra tout reprendre.
Le piège de la duplication
Beaucoup d’organisations disposent déjà d’un SMSI ISO/IEC 27001, d’un SMCA ISO 22301 ou d’un dispositif conforme aux orientations de l’EBA. Le réflexe est d’écrire des documents DORA neufs, en parallèle des existants.
C’est une erreur coûteuse et repérable : le superviseur constate deux politiques de sauvegarde qui divergent, deux registres de risques, deux programmes de tests. La bonne approche consiste à enrichir les documents existants et à produire une note de correspondance qui indique, article par article, où l’exigence DORA est satisfaite.
Ce que le superviseur regarde en premier
Dans l’ordre observé : la délibération du conseil approuvant le cadre (article 5), le registre d’information (article 28), les rapports de test de l’année (article 25), et la trace de la dernière notification d’incident majeur (article 19).
Les quatre sont des documents datés et signés. Aucun ne s’improvise la veille d’un contrôle.
À retenir
- Onze livrables couvrent l’essentiel du règlement
- La cartographie de l’article 8 conditionne quatre autres livrables
- Le registre d’information se construit en dernier mais se planifie en premier