Dans la fenêtre d’impression, choisissez « Enregistrer en PDF » comme destination.

Réf. NIS-DOR

NIS2 & DORA - Piloter la conformité du système d'information

Gouvernance & Bonnes pratiques SI

Durée

14 à 21 heures (2 à 3 jours) selon le format

Modalités

Présentiel, Classe à distance

Reconnaissance

Formation non certifiante (attestation de fin de formation)

Format de vente

Intra-entreprise

Délai d’accès

En moyenne 15 jours ouvrés après l’acceptation du devis

Tarif intra

Sur devis

Pourquoi suivre cette formation

NIS 2 et DORA imposent un net renforcement de la résilience numérique. Cette formation vous donne la grille de lecture réglementaire et les exigences opérationnelles pour mettre en conformité la cybersécurité de votre organisation.

À l’issue de cette formation, les participants seront capables de

Comprendre les exigences clés de la directive NIS 2 et du règlement DORA
Déterminer le statut de leur organisation (entité essentielle ou importante) et les échéances associées
Mener une analyse des écarts entre les pratiques actuelles et les exigences réglementaires
Organiser la gouvernance cyber, qui engage la responsabilité des dirigeants
Déployer une politique robuste de gestion des risques liés aux tiers (fournisseurs IT et cloud)
Organiser la notification des incidents majeurs dans les délais légaux (notamment l'alerte sous 24 heures prévue par NIS 2)

Formats proposés

ACTIONImmersion14 heures (2 jours)

IMPACTTerrain21 heures (3 jours) · dont une journée en décalé

Chaque format reprend le précédent et y ajoute des journées.

Public visé

Responsables de la Sécurité des Systèmes d'Information (RSSI), directeurs juridiques (DPO, Compliance Officers), directeurs des Systèmes d'Information (DSI), auditeurs internes, directeurs des risques (CRO), et dirigeants d'entreprises concernées par ces directives.

Prérequis

Avoir des connaissances générales en gouvernance ou en sécurité des systèmes d'information. La maîtrise préalable de la gestion des risques (type EBIOS RM ou ISO 27005) est fortement recommandée.

Prérequis techniques à distance

La classe virtuelle se tient sur Microsoft Teams : AMBIA fournit à chaque participant un compte pour la durée de la formation. En intra-entreprise, elle peut aussi se tenir sur l’outil que l’entreprise utilise déjà, par exemple Zoom ou Google Meet.

Le participant se connecte depuis un ordinateur équipé d’une caméra, d’un micro, d’un accès à internet et d’un navigateur à jour, dans un lieu calme. Si la formation le demande, le formateur donne accès à un poste de travail à distance, depuis le navigateur.

Pendant la formation, l’assistance technique répond à support@ambia-skills.fr.

Objectifs pédagogiques

Citer les obligations fondamentales de NIS 2 et de DORA. Différencier le champ d'application et les exigences spécifiques entre NIS 2 (orienté infrastructures critiques et services essentiels) et DORA (orienté secteur financier). Réaliser un diagnostic d'éligibilité pour une entreprise et ses sous-traitants. Interpréter les résultats d'un audit d'écarts (Gap Analysis) pour identifier les priorités chantiers. Auditer les clauses contractuelles des fournisseurs critiques pour s'assurer de leur conformité. Rédiger la trame d'une politique de gestion des incidents majeurs et de notification réglementaire.

Programme détaillé

Jour 1ACTION

Matin

Comprendre les textes, l'éligibilité et le périmètre

Maîtriser le cadre réglementaire de NIS 2 et de DORA, déterminer son statut d'éligibilité et définir le périmètre d'application du SI.

Contexte et calendrier d'application de la directive NIS 2 et du règlement DORA.
Critères d'éligibilité : Entités Essentielles (EE) vs Entités Importantes (EI) sous NIS 2 ; acteurs concernés sous DORA.
Responsabilité pénale et financière des dirigeants (Conseil d'Administration / COMEX).
Identification des actifs informationnels et des services critiques à inclure dans le périmètre de conformité.

Atelier pratique

Détermination de l'éligibilité d'une entreprise industrielle et de ses filiales logistiques à l'aide de l'arbre de décision AMBIA.

Cas métier

Cartographie du périmètre d'application de la conformité DORA pour une société de courtage financier utilisant des API tierces.

Compétence acquise

Savoir déterminer avec certitude le niveau d'assujettissement de son organisation et en délimiter le périmètre technique et organisationnel.

Livrable

Rapport de cadrage d'éligibilité et cartographie macroscopique du périmètre à conformer.

Après-midi

Analyse des écarts et plan de gouvernance

Conduire un audit d'écarts de sécurité réglementaire et poser les bases de la gouvernance cyber exigée par les autorités.

Les 10 mesures de sécurité obligatoires de NIS 2 (politique de sécurité, hygiène informatique, chiffrement, gestion des accès...).
Les piliers de la gouvernance DORA (gouvernance interne, gestion du risque TIC).
Méthodologie de conduite d'un audit d'écarts (Gap Analysis).
Engager la direction : formation obligatoire des dirigeants et allocation des budgets de sécurité.

Atelier pratique

Simulation d'évaluation d'écarts à partir de l'outil tableur d'AMBIA sur le pilier « Politiques de sécurité et formation ».

Cas métier

Restructuration de la gouvernance de sécurité d'une ETI pour intégrer la responsabilité légale du Directeur Général dans la signature de la politique de sécurité.

Compétence acquise

Être capable de piloter un autodiagnostic de conformité et de formaliser la feuille de route des chantiers prioritaires.

Livrable

Feuille de route (Roadmap) de mise en conformité priorisée avec affectation des porteurs de projets.

Jour 2ACTION

Matin

Risques liés aux fournisseurs et sécurisation des contrats informatiques

Maîtriser et sécuriser l'écosystème de sous-traitance IT en conformité avec NIS 2 et DORA (Tierce partie).

Les exigences de NIS 2 et DORA concernant la maîtrise de la chaîne d'approvisionnement (Supply Chain Security).
Identification, classification et enregistrement des fournisseurs de services TIC critiques (Registre d'information DORA).
Les clauses contractuelles obligatoires à intégrer dans les contrats d'achat IT (droits d'audit, SLA, réversibilité, gestion des failles).

Atelier pratique

Revue critique de clauses réelles de contrats de sous-traitance Cloud (SaaS/IaaS) et réécriture des exigences réglementaires manquantes.

Cas métier

Création du registre de classification des fournisseurs de services TIC pour une banque privée soumise à DORA.

Compétence acquise

Savoir auditer, classifier et encadrer contractuellement les relations avec les fournisseurs de technologies critiques.

Livrable

Trame d'avenant contractuel de sécurité « Prêt à l'emploi » pour les fournisseurs informatiques sensibles.

Après-midi

Résilience opérationnelle, tests et notification des incidents

Structurer la gestion des incidents majeurs, mettre en place les tests de résilience opérationnelle et orchestrer les processus d'alerte officiels.

Le processus de détection et de classification des incidents majeurs sous DORA et NIS 2.
Le calendrier de notification ultra-serré : la notification initiale à l'ANSSI / autorité compétente dans les 24 heures (NIS 2).
Conception de plans de continuité d'activité (PCA) et de reprise d'activité (PRA).
Le programme de tests de résilience opérationnelle (tests d'intrusion réguliers, simulations d'attaques, tests TLPT basés sur la menace pour DORA).

Atelier pratique

Simulation chronométrée de classification et de rédaction d'une notification d'incident de sécurité majeur après l'intrusion d'un ransomware.

Cas métier

Définition du programme de tests de résilience opérationnelle pour un intermédiaire financier devant justifier de sa continuité d'activité auprès de l'ACPR.

Compétence acquise

Être en mesure de piloter la réponse opérationnelle et de respecter sans faille les obligations de notification d'incident d'urgence.

Livrable

Procédure interne de notification réglementaire et modèle de rapport initial d'incident en cas d'attaque cyber.

Jour 3 · en décaléIMPACT

Matin

Diagnostic de votre dispositif de conformité

Analyser le dispositif existant et repérer les erreurs d'interprétation des textes.

Les participants apportent leur projet de registre des fournisseurs, leur politique de sécurité (PSSI) ou leur analyse des écarts. Avec le consultant-formateur : repérage des erreurs d'interprétation de NIS 2 et DORA, des incohérences de périmètre et des risques de non-conformité.

Après-midi

Construire votre plan de mise en conformité

Rédiger les clauses contractuelles des fournisseurs et le protocole de notification des incidents.

Rédaction en direct des clauses de sécurité à insérer dans les contrats de services informatiques, du plan de mise en conformité et du protocole d'alerte sous 24 heures.

Les ateliers et cas métier de ce programme pourront être adaptés par le consultant-formateur selon les besoins, le niveau et les prérequis des participants, pour favoriser l’atteinte des objectifs pédagogiques.

Méthodes et moyens pédagogiques

Méthodes mobilisées

Pédagogie active (ateliers collaboratifs d'ancrage), études de cas transverses, analyses de contrats tiers réels, et revues de conformité par sous-groupes sur support collaboratif numérique.

Moyens techniques

Un ordinateur individuel par apprenant, accès à nos outils d'aide à l'évaluation de conformité, supports pédagogiques dématérialisés AMBIA.

Moyens humains

Formation animée par un consultant-formateur expert senior en gouvernance cyber et conformité, engagé au quotidien dans la mise en conformité NIS 2 ou DORA d'organisations d'envergure.

Modalités d’évaluation

Évaluation diagnostique

Questionnaire d'auto-évaluation envoyé 15 jours avant la session pour cerner le niveau d'assujettissement des entreprises représentées.

Évaluation formative

Exercices pratiques de diagnostic, analyses de contrats et simulations de notifications tout au long de la formation.

Évaluation sommative

Questionnaire de validation des acquis sous forme de QCM en fin de formation et étude de cas d'arbitrage de conformité en fin de session.

Suivi

Feuilles de présence signées par demi-journée, en présentiel comme à distance.
Attestation de fin de formation remise à chaque stagiaire, mentionnant les objectifs, la nature, la durée et les résultats de l’évaluation.
Certificat de réalisation adressé au client ou au financeur.
Questionnaire de satisfaction remis à l’issue de la formation.

Délai d’accès

Intra-entreprise : La formation débute en moyenne 15 jours ouvrés après l’acceptation du devis.

Ce délai peut être adapté selon la disponibilité des sessions, le positionnement du stagiaire et, le cas échéant, l’instruction du dossier de prise en charge par le financeur.

Accessibilité handicap

Nos parcours sont accessibles aux personnes en situation de handicap. Contactez notre référent dédié pour étudier les adaptations nécessaires.

Référent handicap : accessibilite@ambia-skills.fr. Aucune reconnaissance de la qualité de travailleur handicapé ni aucun justificatif médical n’est exigé.

Indicateurs de résultats

Indicateurs publiés à partir de 3 avis.

Mode de calcul : www.ambia-skills.fr/notre-approche#notes