Conformité DORA
DORA : cartographie des livrables (gouvernance → opérationnel → preuve)
Vue systémique des livrables DORA en 3 niveaux : pilotage & gouvernance, exécution opérationnelle, éléments de preuve — avec les articles de référence.
Beaucoup d'entités accumulent des politiques sans articuler qui décide, qui exécute, qui prouve. Cette cartographie organise les livrables DORA en trois niveaux : Pilotage & Gouvernance → Opérationnel → Preuve.
Les flèches logiques vont du haut (décision) vers le bas (traçabilité).
Niveau 1 — Pilotage & gouvernance
Décision, arbitrage, redevabilité.
| Livrable | Rôle |
|---|---|
| Stratégie DORA | Cadre d'orientation (Art. 6 / Art. 5) |
| Comité Risques TIC | Approuve stratégie, politique risques, plan d'audit TIC |
| Comité Résilience | Valide scénarios de tests, arbitre niveaux de service dégradé |
| Comité Incidents majeurs | Qualification incidents majeurs, activation PCA/PRA |
| Comité Tiers critiques | Criticité, plans de sortie, multi-fourniture |
| RACI Direction / RSSI / RCCI / DSI | Qui décide, exécute, contrôle, informe |
| Mécanismes d'arbitrage | Acceptation de risque, priorisation des remédiations |
Sans ce niveau, le reste du dispositif produit des documents — pas une gouvernance démontrable.
Niveau 2 — Opérationnel
Socle fondationnel : identification
Tout part de là :
- Inventaire des fonctions métier critiques
- Inventaire des processus dépendants de tiers
- Inventaire des actifs TIC critiques
- Owners des inventaires + règles de mise à jour
Sans inventaires tenus, registre d'information, incidents et plans de sortie restent incohérents. Voir guide registre.
Chaîne de résilience
- Protection & prévention (Art. 9) — politiques sécurité, actifs, chiffrement, identité
- Détection (Art. 10) — surveillance, mécanismes d'anomalies
- Gestion des incidents TIC (Ch. III) — politique, processus, critères d'incident majeur
- Réponse & récupération (Art. 11) — continuité TIC, ICT BCP, plans de réponse
- Apprentissage (Art. 13) — sensibilisation, formation, post-incident / RCA
Voir cheat sheet incidents.
Pilier stratégique : risques tiers TIC
- Stratégie risques tiers TIC (Art. 28)
- Politique services TIC critiques / importants
- Registre d'information (RoI) — obligation structurante
- Plans de sortie
Niveau 3 — Éléments de preuve
Traçabilité, historisation, vérifiabilité.
Preuves réglementaires
- Registre des incidents TIC
- Registre d'information des tiers
- Journaux d'activité (logging)
- Notifications d'incidents majeurs
- Rapport de revue du cadre de risques TIC
- Plan d'audit TIC
Preuves de pilotage
- CR des comités (risques TIC, résilience, tiers critiques)
- Revues de politiques / procédures suite tests ou incidents
- Décisions d'acceptation de risques
- Documentation des tests ICT BCP
Comment lire cette carte
- Gouvernance d'abord — sans comités et RACI, les politiques ne tiennent pas
- Inventaires ensuite — ils alimentent RoI, criticité, incidents
- Chaîne opérationnelle — protection → détection → incident → récupération → apprentissage
- Preuves en continu — pas reconstruites la veille d'un contrôle
Légende pratique
| Type | Exemple |
|---|---|
| Stratégie | Stratégie DORA, stratégie risques tiers |
| Politique | Sécurité, incidents, continuité |
| Procédure / document | Processus, inventaires, plans |
| Preuve | CR, registres, notifications, tests |
Le rôle d'Axenia. Axenia relie exigences, contrôles, preuves, tiers et incidents sur un même socle — pour que la cartographie des livrables ne reste pas un PowerPoint, mais un dispositif vivant.