DORA et gestion du risque IT : ce que votre DSI doit prouver lors d’un audit
Le coût moyen d’une violation de données atteint 4,4 millions de dollars en 2025 [1]. Face à cette menace, le règlement DORA impose un changement de paradigme. Les déclarations d’intention ne suffisent plus. Les auditeurs exigent des preuves tangibles de votre résilience opérationnelle. Votre DSI doit démontrer une maîtrise totale de la chaîne de valeur numérique.
Cet article détaille les éléments concrets que vous devez fournir pour valider votre conformité. Vous saurez exactement quels documents, logs et contrats préparer pour passer un audit DORA sans encombre.
Cartographier l’ensemble des actifs TIC
L’auditeur commence par vérifier votre connaissance du système d’information. Vous devez fournir une cartographie exhaustive et dynamique. Un simple fichier Excel statique entraîne une non-conformité immédiate.
Votre DSI doit présenter un inventaire automatisé des actifs matériels et logiciels. Ce document prouve que vous identifiez les dépendances critiques. Il doit inclure les serveurs, les applications cloud et les terminaux utilisateurs. La mise à jour continue de cette cartographie démontre votre capacité à détecter les angles morts. Un simple fichier statique est rarement suffisant pour soutenir cette démonstration dans la durée.
Rapport des menaces Cybersécurité 2026
Téléchargez notre rapport 2026 sur les menaces Cybersécurité.
Une analyse global de l'évolution des menaces par secteur et par pays.
Apprenez comment protéger vos actifs contre les dernières menaces et restez en conformité avec les derniers réglementations.
Prouver la gestion des risques tiers
Les prestataires externes représentent une vulnérabilité majeure. DORA cible spécifiquement la chaîne d’approvisionnement numérique. L’article 30 du règlement impose des clauses contractuelles strictes [2].
Vous devez présenter un registre d’informations complet sur vos fournisseurs TIC. L’auditeur vérifiera la présence de clauses garantissant vos droits d’accès et d’audit. Les contrats doivent préciser les lieux de traitement des données. Vous devez aussi fournir des stratégies de sortie documentées pour chaque prestataire critique.
Démontrer la détection continue des menaces
La conformité DORA exige une surveillance active de votre surface d’attaque. Les rapports d’audit annuels ne répondent plus aux exigences réglementaires. Vous devez prouver une évaluation continue des vulnérabilités.
Votre équipe doit fournir des logs d’analyse réguliers. Ces traces démontrent votre capacité à identifier les failles avant leur exploitation. C’est ici qu’une solution comme Autodit.io centralise vos preuves d’audit. La plateforme génère les rapports techniques exigés par les régulateurs pour justifier votre posture de sécurité.
Justifier les tests de résilience opérationnelle
DORA impose des tests réguliers pour valider vos défenses. L’auditeur demande les résultats de ces exercices pratiques. Vous devez prouver que vos plans de continuité d’activité fonctionnent en conditions réelles.
Fournissez les rapports de vos tests d’intrusion et de vos analyses de vulnérabilités. Pour les entités critiques, les tests TLPT (Threat-Led Penetration Testing) sont obligatoires. Les documents doivent inclure les plans d’action correctifs suite aux failles découvertes. Un test sans suivi correctif est considéré comme invalide.
Documenter la gestion des incidents majeurs
La réaction face à une crise intéresse particulièrement les auditeurs. DORA impose des délais stricts pour la notification des incidents majeurs. Vous devez être capable de notifier rapidement, puis d’alimenter un rapport intermédiaire dans les 72 heures et un rapport final après résolution selon le cadre applicable.
Votre DSI doit présenter des procédures de classification des incidents testées et approuvées. L’auditeur vérifiera les registres d’incidents passés. Vous devez prouver votre capacité à isoler les systèmes compromis rapidement. Les rapports post-mortem démontrent votre volonté d’amélioration continue.
| Preuve exigée | Format attendu | Objectif de l’auditeur |
|---|---|---|
| Cartographie des actifs | Inventaire dynamique et automatisé | Vérifier la visibilité sur le SI |
| Registre des tiers | Base de données à jour avec contrats | Évaluer le risque fournisseur |
| Rapports de vulnérabilités | Logs d’analyse continue | Valider la détection proactive |
| Résultats des tests | Rapports de pentests et TLPT | Confirmer l’efficacité des défenses |
| Procédures d’incident | Manuels de crise et registres | Mesurer la capacité de réaction |
FAQ
Quels contrats fournisseurs l’auditeur va-t-il vérifier en priorité ? L’auditeur cible les prestataires TIC supportant des fonctions critiques ou importantes. Il vérifie les clauses de localisation des données, les droits d’audit et les conditions de résiliation.
Comment prouver la mise à jour de notre cartographie IT ? Vous devez fournir les logs de vos outils de découverte automatisée. L’horodatage des scans réguliers prouve que votre inventaire reflète la réalité de la production.
Les tests de phishing internes sont-ils des preuves valables ? Oui. Les rapports des campagnes de sensibilisation prouvent votre respect des exigences de formation DORA. Ils démontrent la préparation de vos équipes face aux menaces d’ingénierie sociale.
Références
[1] IBM. “Rapport 2025 : coût d’une violation de données”. https://www.ibm.com/fr-fr/reports/data-breach
[2] EUR-Lex. “Règlement (UE) 2022/2554 - DORA”. https://eur-lex.europa.eu/eli/reg/2022/2554/oj