Cas : l’établissement qui avait « déjà tout »
La situation
Un établissement de paiement de 280 personnes, certifié ISO/IEC 27001 depuis quatre ans, conforme aux orientations EBA/GL/2019/04, avec un plan de continuité testé annuellement. Le comité exécutif considère que DORA « ne change pas grand-chose ».
L’analyse d’écart, conduite article par article, produit un résultat plus nuancé.
Ce qui était déjà couvert
| Article | État | Source existante |
|---|---|---|
| 9 Protection | Couvert | Annexe A d’ISO/IEC 27001 |
| 10 Détection | Couvert | Supervision et SOC existants |
| 12 Sauvegardes | Partiellement | Politique existante, sans exigence d’immuabilité |
| 13 Apprentissage | Couvert | Processus d’amélioration du SMSI |
| 17 Gestion des incidents | Couvert | Procédure ITIL existante |
| 24–25 Tests | Partiellement | Tests techniques annuels, sans programme formalisé |
Soit environ 60 % des exigences, déjà satisfaites par des dispositifs opérationnels.
Les quatre écarts réels
Article 5 — responsabilité du conseil. Le cadre existait mais n’avait jamais été formellement approuvé par le conseil, et aucun administrateur n’avait suivi de formation au risque TIC. Traitement : une délibération et une session de formation de trois heures. Coût : faible. Enjeu : le premier point examiné en contrôle.
Article 8 — chaînage fonction / actif / tiers. L’inventaire d’actifs existait, la cartographie de processus aussi, mais rien ne les reliait. Traitement : huit semaines d’atelier. C’est l’écart le plus coûteux en temps.
Article 19 — délais de notification. La procédure d’incident existait, sans rôle habilité à classer seul hors heures ouvrées ni modèles de rapports. Traitement : deux semaines.
Article 28 — registre d’information. Inexistant. Le service achats disposait d’une liste de fournisseurs sans rattachement aux fonctions, sans identifiants d’entité juridique, sans chaîne de sous-traitance. Traitement : quatre mois, dont deux d’attente des réponses fournisseurs.
Ce que le cas généralise
Un dispositif de sécurité mature couvre bien les exigences techniques de DORA. Il ne couvre presque jamais les trois exigences de nature différente : la gouvernance personnelle du conseil, le chaînage entre métier et technique, et l’inventaire contractuel des tiers.
Ces trois-là ne se déduisent d’aucun référentiel antérieur. C’est là que l’effort doit être concentré dès le départ.
À retenir
- Un dispositif ISO 27001 mature couvre environ 60 % de DORA
- Les écarts se concentrent sur le registre, les délais de notification et la responsabilité du conseil
- L’analyse d’écart article par article évite six mois de travail inutile