NIS2 & DORA - Piloter la conformité du système d'information

Objectif : Maîtriser le cadre réglementaire de NIS 2 et de DORA, déterminer son statut d'éligibilité et définir le périmètre d'application du SI.

• Contexte et calendrier d'application de la directive NIS 2 et du règlement DORA.
• Critères d'éligibilité : Entités Essentielles (EE) vs Entités Importantes (EI) sous NIS 2 ; acteurs concernés sous DORA.
• Responsabilité pénale et financière des dirigeants (Conseil d'Administration / COMEX).
• Identification des actifs informationnels et des services critiques à inclure dans le périmètre de conformité.

Atelier pratique : Détermination de l'éligibilité d'une entreprise industrielle et de ses filiales logistiques à l'aide de l'arbre de décision AMBIA.

Cas métier : Cartographie du périmètre d'application de la conformité DORA pour une société de courtage financier utilisant des API tierces.

Compétence acquise : Savoir déterminer avec certitude le niveau d'assujettissement de son organisation et en délimiter le périmètre technique et organisationnel.

Livrable : Rapport de cadrage d'éligibilité et cartographie macroscopique du périmètre à conformer.

Objectif : Conduire un audit d'écarts de sécurité réglementaire et poser les bases de la gouvernance cyber exigée par les autorités.

• Les 10 mesures de sécurité obligatoires de NIS 2 (politique de sécurité, hygiène informatique, chiffrement, gestion des accès...).
• Les piliers de la gouvernance DORA (gouvernance interne, gestion du risque TIC).
• Méthodologie de conduite d'un audit d'écarts (Gap Analysis).
• Engager la direction : formation obligatoire des dirigeants et allocation des budgets de sécurité.

Atelier pratique : Simulation d'évaluation d'écarts à partir de l'outil tableur d'AMBIA sur le pilier « Politiques de sécurité et formation ».

Cas métier : Restructuration de la gouvernance de sécurité d'une ETI pour intégrer la responsabilité légale du Directeur Général dans la signature de la politique de sécurité.

Compétence acquise : Être capable de piloter un autodiagnostic de conformité et de formaliser la feuille de route des chantiers prioritaires.

Livrable : Feuille de route (Roadmap) de mise en conformité priorisée avec affectation des porteurs de projets.

Objectif : Maîtriser et sécuriser l'écosystème de sous-traitance IT en conformité avec NIS 2 et DORA (Tierce partie).

• Les exigences de NIS 2 et DORA concernant la maîtrise de la chaîne d'approvisionnement (Supply Chain Security).
• Identification, classification et enregistrement des fournisseurs de services TIC critiques (Registre d'information DORA).
• Les clauses contractuelles obligatoires à intégrer dans les contrats d'achat IT (droits d'audit, SLA, réversibilité, gestion des failles).

Atelier pratique : Revue critique de clauses réelles de contrats de sous-traitance Cloud (SaaS/IaaS) et réécriture des exigences réglementaires manquantes.

Cas métier : Création du registre de classification des fournisseurs de services TIC pour une banque privée soumise à DORA.

Compétence acquise : Savoir auditer, classifier et encadrer contractuellement les relations avec les fournisseurs de technologies critiques.

Livrable : Trame d'avenant contractuel de sécurité « Prêt à l'emploi » pour les fournisseurs informatiques sensibles.

Objectif : Structurer la gestion des incidents majeurs, mettre en place les tests de résilience opérationnelle et orchestrer les processus d'alerte officiels.

• Le processus de détection et de classification des incidents majeurs sous DORA et NIS 2.
• Le calendrier de notification ultra-serré : la notification initiale à l'ANSSI / autorité compétente dans les 24 heures (NIS 2).
• Conception de plans de continuité d'activité (PCA) et de reprise d'activité (PRA).
• Le programme de tests de résilience opérationnelle (tests d'intrusion réguliers, simulations d'attaques, tests TLPT basés sur la menace pour DORA).

Atelier pratique : Simulation chronométrée de classification et de rédaction d'une notification d'incident de sécurité majeur après l'intrusion d'un ransomware.

Cas métier : Définition du programme de tests de résilience opérationnelle pour un intermédiaire financier devant justifier de sa continuité d'activité auprès de l'ACPR.

Compétence acquise : Être en mesure de piloter la réponse opérationnelle et de respecter sans faille les obligations de notification d'incident d'urgence.

Livrable : Procédure interne de notification réglementaire et modèle de rapport initial d'incident en cas d'attaque cyber.