Piloter la conformité NIS 2 et DORA

• Finalités de NIS2 et de DORA : renforcement de la cybersécurité et de la résilience opérationnelle numérique.
• Différences entre une directive à transposer et un règlement européen directement applicable.
• Articulation entre textes européens, dispositions nationales, textes d’application et recommandations des autorités.
• État de la transposition française de NIS2 et identification des textes applicables à la date de la formation.
• Relations avec les dispositifs existants : RGPD, gestion des risques, sécurité de l’information et continuité d’activité.

• Secteurs et activités concernés, critères de taille et cas particuliers d’assujettissement.
• Distinction entre entités essentielles et importantes et conséquences pour leur supervision.
• Délimitation du périmètre organisationnel, des services et des systèmes d’information concernés.
• Prise en compte des groupes, des prestataires et des dépendances dans l’analyse du périmètre.
• Informations et démarches nécessaires à la qualification de l’entité auprès de l’autorité compétente.

Étude de cas : Examiner plusieurs organisations fictives, identifier les critères d’assujettissement et formuler une conclusion argumentée, en précisant les informations manquantes.

• Gestion des risques : analyse, politiques de sécurité et mesures proportionnées aux enjeux.
• Principaux domaines de protection : gestion des accès, vulnérabilités, fournisseurs, continuité, sauvegardes et sensibilisation.
• Qualification des incidents importants et organisation du circuit interne de remontée de l’information.
• Étapes de notification prévues par NIS2 : alerte précoce, notification et rapport final, selon le cadre applicable.
• Documentation des mesures, suivi de leur efficacité et constitution des éléments de preuve.

Exercice : À partir d’un incident fictif, repérer les informations à réunir, les interlocuteurs à mobiliser et les étapes du processus de notification.

• Entités financières concernées et articulation de DORA avec NIS2 pour les exigences qu’il couvre.
• Cadre de gestion des risques liés aux technologies de l’information et de la communication : gouvernance, actifs, dépendances et mesures de protection.
• Gestion et déclaration des incidents majeurs liés aux TIC : classification, responsabilités et organisation du reporting.
• Programme de tests de résilience et place des tests avancés pour les entités concernées.
• Risques liés aux prestataires TIC : registre d’informations, contrats, suivi, concentration et stratégies de sortie.
• Conditions du partage d’informations sur les cybermenaces et articulation avec les obligations de confidentialité.

• Approbation et supervision des mesures de gestion des risques par les organes de direction.
• Formation des dirigeants, répartition des responsabilités et coordination entre sécurité, conformité, juridique et métiers.
• Contrôles, demandes d’information et mesures correctrices des autorités compétentes.
• Régimes de sanctions et responsabilités selon les textes applicables et la catégorie d’entité.
• Reporting à la direction : risques, écarts, décisions, ressources et suivi des actions.

• Diagnostic initial : périmètre, exigences applicables, dispositifs existants et écarts.
• Distinction entre actions organisationnelles, techniques, documentaires et contractuelles.
• Priorisation selon les risques, les dépendances, les ressources et les échéances applicables.
• Gouvernance du plan : responsables, jalons, indicateurs et preuves de réalisation.

Atelier : Construire une feuille de route pour une organisation fictive relevant de NIS2 ou de DORA. Présenter les priorités, les responsabilités et les éléments permettant de suivre la mise en conformité.