{"id":36567,"date":"2026-10-29T08:38:53","date_gmt":"2026-10-29T08:38:53","guid":{"rendered":"https:\/\/vanleeuwenlawfirm.eu\/fr\/?p=36567"},"modified":"2026-10-29T08:53:24","modified_gmt":"2026-10-29T08:53:24","slug":"resilience-operationnelle-numerique-nis2-et-dora","status":"publish","type":"post","link":"https:\/\/vanleeuwenlawfirm.eu\/fr\/analyses-et-perspectives\/actualites-analyses-sur-mesure\/ia-resilience-numerique\/resilience-operationnelle-numerique-nis2-et-dora\/","title":{"rendered":"R\u00e9silience op\u00e9rationnelle num\u00e9rique, NIS2 et DORA"},"content":{"rendered":"\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

La r\u00e9silience op\u00e9rationnelle num\u00e9rique ne constitue plus, pour votre organisation, une simple probl\u00e9matique technique portant sur la cybers\u00e9curit\u00e9, la disponibilit\u00e9 des r\u00e9seaux, les sauvegardes, les contr\u00f4les d\u2019acc\u00e8s ou la restauration des syst\u00e8mes d\u2019information et de communication. La question centrale de gouvernance consiste d\u00e9sormais \u00e0 d\u00e9terminer si votre organisation demeure capable, dans des circonstances de perturbation num\u00e9rique grave, de prot\u00e9ger, maintenir et r\u00e9tablir ses fonctions essentielles ou importantes de mani\u00e8re ma\u00eetris\u00e9e, v\u00e9rifiable et juridiquement d\u00e9fendable, tout en \u00e9tant en mesure de rendre compte des d\u00e9cisions prises avant, pendant et apr\u00e8s l\u2019incident. Ce d\u00e9placement du centre de gravit\u00e9 est fondamental. Une organisation peut disposer de dispositifs techniques de s\u00e9curit\u00e9 sophistiqu\u00e9s et rester n\u00e9anmoins insuffisamment pr\u00e9par\u00e9e \u00e0 une indisponibilit\u00e9 prolong\u00e9e d\u2019un environnement cloud, \u00e0 la compromission d\u2019identit\u00e9s num\u00e9riques, \u00e0 un incident logiciel affectant un fournisseur strat\u00e9gique, \u00e0 une attaque par ran\u00e7ongiciel \u00e0 grande \u00e9chelle, \u00e0 la perte temporaire d\u2019acc\u00e8s \u00e0 des donn\u00e9es essentielles, \u00e0 une interruption des infrastructures de paiement ou \u00e0 la d\u00e9faillance simultan\u00e9e de plusieurs syst\u00e8mes interd\u00e9pendants. Les cons\u00e9quences juridiques et op\u00e9rationnelles de tels \u00e9v\u00e9nements sont de moins en moins d\u00e9termin\u00e9es par le seul dysfonctionnement technique initial ou par le vecteur d\u2019attaque, et de plus en plus par la mani\u00e8re dont les d\u00e9pendances, responsabilit\u00e9s, pouvoirs d\u2019escalade, priorit\u00e9s de r\u00e9tablissement, obligations de communication et relations contractuelles ont \u00e9t\u00e9 organis\u00e9s en amont. NIS2, la loi n\u00e9erlandaise sur la cybers\u00e9curit\u00e9 et le Digital Operational Resilience Act placent cette \u00e9volution dans un cadre r\u00e9glementaire contraignant. Pour les organisations entrant dans le champ d\u2019application de la loi n\u00e9erlandaise sur la cybers\u00e9curit\u00e9, un ensemble d\u2019obligations en mati\u00e8re de gestion des risques, d\u2019enregistrement, de notification et de gouvernance impose une ma\u00eetrise d\u00e9montrable des risques de cybers\u00e9curit\u00e9. Pour les entit\u00e9s financi\u00e8res relevant de DORA, un r\u00e9gime europ\u00e9en applicable depuis le 17 janvier 2025 encadre notamment la gestion des risques li\u00e9s aux TIC, la classification et la notification des incidents majeurs li\u00e9s aux TIC, les tests de r\u00e9silience op\u00e9rationnelle num\u00e9rique, les risques li\u00e9s aux prestataires tiers de services TIC ainsi que la supervision des prestataires tiers critiques. Le crit\u00e8re d\u2019\u00e9valuation ne r\u00e9side donc plus dans la simple existence de politiques de cybers\u00e9curit\u00e9, mais dans la capacit\u00e9 \u00e0 d\u00e9montrer le fonctionnement effectif d\u2019un dispositif coh\u00e9rent reliant technologie, services critiques, d\u00e9pendances fournisseurs, d\u00e9cision de crise, surveillance par les organes de direction et obligations l\u00e9gales de responsabilit\u00e9.<\/p>

Pour vous, cette \u00e9volution implique d\u2019appr\u00e9hender la r\u00e9silience op\u00e9rationnelle num\u00e9rique comme une probl\u00e9matique de ma\u00eetrise \u00e0 l\u2019\u00e9chelle de l\u2019ensemble de l\u2019entreprise, dans laquelle l\u2019analyse juridique, la technologie, la gestion des risques op\u00e9rationnels, le contr\u00f4le interne, les achats, l\u2019externalisation, la gouvernance des donn\u00e9es, la gestion de crise, la conformit\u00e9, l\u2019audit interne et la prise de d\u00e9cision ex\u00e9cutive doivent demeurer continuellement align\u00e9s. La question pertinente ne consiste pas uniquement \u00e0 savoir si un cyberincident peut \u00eatre \u00e9vit\u00e9, mais \u00e9galement \u00e0 d\u00e9terminer quels processus doivent imp\u00e9rativement rester disponibles pendant une perturbation, quels syst\u00e8mes sont indispensables \u00e0 leur fonctionnement, quelle dur\u00e9e maximale d\u2019indisponibilit\u00e9 peut \u00eatre accept\u00e9e, quelles donn\u00e9es doivent demeurer disponibles et fiables, quels fournisseurs sont en pratique indispensables, quelles capacit\u00e9s alternatives sont r\u00e9ellement mobilisables et quelles d\u00e9cisions doivent pouvoir \u00eatre prises dans des d\u00e9lais extr\u00eamement courts en situation de crise. \u00c0 cela s\u2019ajoute le fait que plusieurs r\u00e9gimes juridiques peuvent s\u2019appliquer simultan\u00e9ment sans n\u00e9cessairement partager les m\u00eames d\u00e9finitions, crit\u00e8res d\u2019assujettissement, seuils de notification, relations de supervision ou exigences de gouvernance. Une entit\u00e9 financi\u00e8re soumise \u00e0 DORA peut, par exemple, appartenir \u00e0 un groupe plus large dans lequel d\u2019autres entit\u00e9s rel\u00e8vent principalement de la loi sur la cybers\u00e9curit\u00e9, de prescriptions sectorielles, du droit de la protection des donn\u00e9es, de r\u00e8gles prudentielles ou d\u2019obligations contractuelles en mati\u00e8re de cybers\u00e9curit\u00e9. Une approche int\u00e9gr\u00e9e ne suppose donc pas de traiter l\u2019ensemble des obligations juridiques comme si elles \u00e9taient identiques. Elle requiert un mod\u00e8le central de gouvernance dans lequel il est possible d\u2019identifier, pour chaque entit\u00e9, fonction critique, service, syst\u00e8me, fournisseur et cat\u00e9gorie d\u2019incident, le r\u00e9gime juridique applicable, la fonction responsable devant agir, les informations qui doivent \u00eatre disponibles et les \u00e9l\u00e9ments de preuve permettant ult\u00e9rieurement de d\u00e9montrer que des mesures appropri\u00e9es ont \u00e9t\u00e9 prises. Votre organisation doit ainsi pouvoir \u00e9tablir que sa continuit\u00e9 op\u00e9rationnelle num\u00e9rique ne d\u00e9pend pas d\u2019une connaissance informelle d\u00e9tenue par un nombre limit\u00e9 de sp\u00e9cialistes techniques, mais qu\u2019elle repose sur des responsabilit\u00e9s d\u00e9montrables, des capacit\u00e9s de r\u00e9tablissement test\u00e9es, une prise de d\u00e9cision ma\u00eetris\u00e9e, des obligations fournisseurs juridiquement opposables et un organe de direction capable de comprendre et de piloter effectivement les risques num\u00e9riques significatifs.<\/p><\/div><\/div><\/div><\/div><\/div><\/div><\/div><\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

NIS2, la loi n\u00e9erlandaise sur la cybers\u00e9curit\u00e9 et les obligations sectorielles en mati\u00e8re de cybers\u00e9curit\u00e9<\/h4>

La mise en \u0153uvre de NIS2 au moyen de la loi n\u00e9erlandaise sur la cybers\u00e9curit\u00e9 a fait \u00e9voluer, pour de nombreuses organisations, la cybers\u00e9curit\u00e9 d\u2019un domaine essentiellement technique vers un champ explicite de gouvernance et de responsabilit\u00e9 juridique. Pour votre organisation, une conformit\u00e9 efficace commence donc par une analyse pr\u00e9cise du champ d\u2019application. Il convient de d\u00e9terminer si l\u2019organisation dans son ensemble, une personne morale particuli\u00e8re, une activit\u00e9 sp\u00e9cifique ou un service d\u00e9termin\u00e9 rel\u00e8ve d\u2019un secteur r\u00e9glement\u00e9 et quelle qualification juridique d\u00e9coule de cette analyse. L\u2019exercice peut devenir complexe lorsque des groupes combinent plusieurs activit\u00e9s, lorsque les services sont fournis par diff\u00e9rentes entit\u00e9s juridiques, lorsque les fonctions num\u00e9riques de support sont centralis\u00e9es ou lorsque des prestataires externes jouent un r\u00f4le essentiel dans la fourniture d\u2019un service r\u00e9glement\u00e9. Une analyse trop restrictive peut conduire \u00e0 m\u00e9conna\u00eetre certaines obligations l\u00e9gales ou \u00e0 les identifier trop tardivement. \u00c0 l\u2019inverse, une approche excessivement large peut g\u00e9n\u00e9rer des contr\u00f4les inefficients, des obligations de reporting inutiles et une perte de pr\u00e9cision dans la surveillance exerc\u00e9e par les organes de direction. Vous devez donc \u00eatre en mesure de reconstituer quels services sont fournis, quelles qualifications juridiques leur sont applicables, quels syst\u00e8mes et fournisseurs les soutiennent et o\u00f9 les responsabilit\u00e9s correspondantes sont effectivement attribu\u00e9es dans votre dispositif de gouvernance. Ce p\u00e9rim\u00e8tre juridique constitue ensuite le point de d\u00e9part de l\u2019\u00e9valuation des risques, de l\u2019enregistrement, des mesures de gestion des risques, de la notification des incidents, de la surveillance par la direction et du dialogue avec les autorit\u00e9s comp\u00e9tentes. L\u2019enjeu essentiel consiste \u00e0 ne pas consid\u00e9rer le champ d\u2019application comme une qualification juridique r\u00e9alis\u00e9e une fois pour toutes. Fusions, acquisitions, nouveaux services num\u00e9riques, \u00e9volution des crit\u00e8res de taille ou de chiffre d\u2019affaires, nouveaux fournisseurs, restructurations organisationnelles et changements dans la r\u00e9glementation sectorielle peuvent modifier les obligations applicables. Votre organisation a donc int\u00e9r\u00eat \u00e0 mettre en place un processus p\u00e9riodique de r\u00e9\u00e9valuation combinant champ juridique, activit\u00e9s m\u00e9tiers et d\u00e9pendances num\u00e9riques.<\/p>

Les obligations de diligence et de gestion des risques de cybers\u00e9curit\u00e9 d\u00e9coulant du cadre NIS2 exigent ensuite des mesures fond\u00e9es sur les risques, adapt\u00e9es \u00e0 la nature de vos activit\u00e9s, \u00e0 la probabilit\u00e9 des menaces pertinentes, aux cons\u00e9quences soci\u00e9tales potentielles d\u2019une perturbation et aux caract\u00e9ristiques techniques et organisationnelles de votre environnement num\u00e9rique. Une politique g\u00e9n\u00e9rique de s\u00e9curit\u00e9 de l\u2019information est d\u00e8s lors insuffisante. Votre organisation doit pouvoir expliquer pourquoi certaines mesures de s\u00e9curit\u00e9 sont appropri\u00e9es, sur quelle analyse de risques elles reposent et comment leur efficacit\u00e9 r\u00e9elle est contr\u00f4l\u00e9e. Les domaines de ma\u00eetrise pertinents peuvent notamment inclure le traitement des incidents, la continuit\u00e9 des activit\u00e9s, la gestion de crise, la s\u00e9curit\u00e9 de la cha\u00eene d\u2019approvisionnement, la gestion des vuln\u00e9rabilit\u00e9s, les contr\u00f4les d\u2019acc\u00e8s, la cryptographie, les communications s\u00e9curis\u00e9es, l\u2019hygi\u00e8ne num\u00e9rique, la formation, l\u2019authentification multifacteur et l\u2019\u00e9valuation des risques fournisseurs. La coh\u00e9rence entre ces mesures est plus importante que la pr\u00e9sence formelle de documents de politique distincts. Des contr\u00f4les d\u2019identit\u00e9 robustes offrent, par exemple, une protection limit\u00e9e si les comptes de r\u00e9cup\u00e9ration sont insuffisamment s\u00e9curis\u00e9s. Une politique fournisseurs d\u00e9taill\u00e9e est peu protectrice si les contrats n\u2019accordent pas de droits effectifs d\u2019audit, d\u2019information, de notification des incidents ou de r\u00e9siliation. Un plan de r\u00e9ponse aux incidents demeure insuffisant lorsque les collaborateurs ne savent pas \u00e0 quel moment un \u00e9v\u00e9nement doit juridiquement \u00eatre consid\u00e9r\u00e9 comme soumis \u00e0 notification. Les mesures techniques doivent donc \u00eatre syst\u00e9matiquement reli\u00e9es \u00e0 des sc\u00e9narios op\u00e9rationnels concrets, \u00e0 des obligations juridiques pr\u00e9cises et \u00e0 des responsabilit\u00e9s de gouvernance identifi\u00e9es. Cette approche rend le dispositif de ma\u00eetrise effectivement testable et \u00e9vite de r\u00e9duire la conformit\u00e9 \u00e0 un exercice documentaire d\u00e9connect\u00e9 de la r\u00e9alit\u00e9 op\u00e9rationnelle.<\/p>

La dimension de gouvernance issue de la loi sur la cybers\u00e9curit\u00e9 requiert une attention particuli\u00e8re d\u00e8s lors que les risques num\u00e9riques deviennent directement int\u00e9gr\u00e9s \u00e0 la surveillance exerc\u00e9e par les organes de direction et \u00e0 leur responsabilit\u00e9. Les membres de l\u2019organe de direction doivent disposer d\u2019une compr\u00e9hension suffisante des principaux risques cyber, de l\u2019efficacit\u00e9 des mesures pertinentes et des cons\u00e9quences de d\u00e9ficiences structurelles. Cela suppose davantage que des tableaux de bord p\u00e9riodiques recensant le nombre de vuln\u00e9rabilit\u00e9s, de signalements de phishing ou d\u2019alertes de s\u00e9curit\u00e9. Votre organe de direction doit recevoir une information permettant de comprendre l\u2019exposition significative des services critiques, la rapidit\u00e9 de correction des vuln\u00e9rabilit\u00e9s graves, le degr\u00e9 de d\u00e9pendance envers certains fournisseurs, la capacit\u00e9 r\u00e9elle de r\u00e9tablissement des processus essentiels, l\u2019efficacit\u00e9 des contr\u00f4les d\u2019acc\u00e8s, l\u2019\u00e9tat des constats d\u2019audit critiques ainsi que le niveau de pr\u00e9paration \u00e0 des sc\u00e9narios dans lesquels plusieurs lignes de d\u00e9fense d\u00e9faillent simultan\u00e9ment. La formation des dirigeants doit \u00e9galement \u00eatre adapt\u00e9e \u00e0 leurs responsabilit\u00e9s. Ils n\u2019ont pas \u00e0 devenir des sp\u00e9cialistes op\u00e9rationnels de la cybers\u00e9curit\u00e9, mais doivent \u00eatre capables d\u2019identifier les risques pr\u00e9sentant un caract\u00e8re strat\u00e9gique ou mat\u00e9riel, les incertitudes persistantes, les d\u00e9cisions n\u00e9cessitant une escalade et les circonstances dans lesquelles des investissements suppl\u00e9mentaires deviennent n\u00e9cessaires. Si une autorit\u00e9 de supervision soul\u00e8ve ult\u00e9rieurement des questions, son analyse ne se limitera pas \u00e0 v\u00e9rifier si des politiques existaient. Elle pourra \u00e9galement porter sur la qualit\u00e9 des \u00e9valuations de risques, la rapidit\u00e9 et l\u2019ad\u00e9quation des mesures correctrices, la proportionnalit\u00e9 des d\u00e9cisions et le degr\u00e9 auquel les d\u00e9ficiences connues ont effectivement \u00e9t\u00e9 trait\u00e9es. Une position solide suppose donc une tra\u00e7abilit\u00e9 v\u00e9rifiable de la prise de d\u00e9cision, dans laquelle l\u2019acceptation des risques, les d\u00e9cisions d\u2019investissement, les d\u00e9rogations, les priorit\u00e9s de rem\u00e9diation et les escalades sont motiv\u00e9es et document\u00e9es de mani\u00e8re d\u00e9montrable.<\/p>

DORA, gestion des risques TIC dans le secteur financier et supervision r\u00e9glementaire<\/h4>

DORA \u00e9tablit pour les entit\u00e9s financi\u00e8res un cadre europ\u00e9en complet dans lequel le risque TIC ne peut plus \u00eatre trait\u00e9 comme une sp\u00e9cialit\u00e9 technologique isol\u00e9e, mais doit \u00eatre ma\u00eetris\u00e9 comme une composante centrale de la gouvernance des services financiers. Pour votre organisation, cela signifie que la gestion des risques TIC doit \u00eatre directement reli\u00e9e \u00e0 la strat\u00e9gie d\u2019entreprise, \u00e0 la gestion des risques op\u00e9rationnels, \u00e0 la planification de la continuit\u00e9, \u00e0 la gestion des fournisseurs, au traitement des incidents et \u00e0 la supervision r\u00e9glementaire. Le crit\u00e8re central r\u00e9side dans la capacit\u00e9 de votre organisation \u00e0 identifier, prot\u00e9ger, d\u00e9tecter, ma\u00eetriser, r\u00e9tablir et \u00e9valuer syst\u00e9matiquement les risques li\u00e9s aux TIC. Cela requiert un cadre coh\u00e9rent de gestion des risques TIC dans lequel les responsabilit\u00e9s sont clairement attribu\u00e9es, les actifs informationnels et les actifs TIC identifiables, les d\u00e9pendances critiques connues et les mesures de s\u00e9curit\u00e9 et de r\u00e9tablissement appropri\u00e9es maintenues. Il doit \u00eatre possible d\u2019identifier quelles fonctions reposent sur quelles applications, infrastructures, sources de donn\u00e9es et prestataires externes. Un produit financier, un service de paiement, un processus d\u2019assurance, une fonction de n\u00e9gociation ou un portail client peuvent d\u00e9pendre de dizaines de composants techniques r\u00e9partis entre plusieurs environnements internes et externes. Lorsque ces d\u00e9pendances ne sont connues qu\u2019au sein d\u2019\u00e9quipes informatiques isol\u00e9es, un risque de gouvernance significatif appara\u00eet. DORA exige donc une approche dans laquelle les informations techniques sont traduites en enjeux op\u00e9rationnels et d\u00e9cisionnels. Votre direction doit pouvoir comprendre quelles d\u00e9faillances TIC peuvent produire un impact significatif, dans quel ordre le r\u00e9tablissement doit \u00eatre organis\u00e9 et quels risques apparaissent lorsqu\u2019un prestataire externe devient indisponible.<\/p>

L\u2019une des caract\u00e9ristiques essentielles de DORA r\u00e9side dans le fait que l\u2019efficacit\u00e9 de la gestion des risques TIC n\u2019est pas appr\u00e9ci\u00e9e uniquement au regard de la s\u00e9curit\u00e9 pr\u00e9ventive, mais sur l\u2019ensemble du cycle de vie d\u2019une perturbation num\u00e9rique. La d\u00e9tection, la r\u00e9ponse, le r\u00e9tablissement, l\u2019apprentissage et l\u2019am\u00e9lioration structurelle deviennent ainsi aussi importants que les mesures de protection. Votre organisation doit \u00eatre capable d\u2019identifier et de classifier en temps utile les incidents majeurs li\u00e9s aux TIC et de les notifier conform\u00e9ment aux exigences applicables. Elle doit simultan\u00e9ment pouvoir d\u00e9montrer comment les signaux techniques sont transform\u00e9s en d\u00e9cisions relatives aux obligations juridiques de notification, aux cons\u00e9quences pour les clients, aux impacts financiers, aux pertes de donn\u00e9es, \u00e0 l\u2019exposition r\u00e9putationnelle et aux \u00e9ventuelles implications syst\u00e9miques. Cela suppose un processus int\u00e9gr\u00e9 d\u2019escalade dans lequel la cybers\u00e9curit\u00e9, les op\u00e9rations TIC, la gestion des risques, la conformit\u00e9, la fonction juridique, la protection des donn\u00e9es, la communication et la direction g\u00e9n\u00e9rale savent \u00e0 l\u2019avance quel r\u00f4le ils doivent exercer. La m\u00eame int\u00e9gration est n\u00e9cessaire pour les tests de r\u00e9silience op\u00e9rationnelle num\u00e9rique. Ceux-ci ne peuvent \u00eatre limit\u00e9s \u00e0 des scans techniques de vuln\u00e9rabilit\u00e9 ou \u00e0 des tests p\u00e9riodiques d\u2019intrusion. Votre organisation doit d\u00e9terminer si ses processus critiques peuvent continuer \u00e0 fonctionner dans des sc\u00e9narios r\u00e9alistes de perturbation, si les proc\u00e9dures de r\u00e9tablissement peuvent r\u00e9ellement \u00eatre ex\u00e9cut\u00e9es, si les d\u00e9cisions de crise peuvent \u00eatre prises suffisamment rapidement et si les solutions alternatives sont v\u00e9ritablement disponibles. Les constats issus de ces tests doivent ensuite \u00eatre traduits en mesures correctrices concr\u00e8tes, prioris\u00e9es, attribu\u00e9es \u00e0 des responsables identifi\u00e9s et assorties de d\u00e9lais. Un programme de tests d\u00e9pourvu de m\u00e9canisme contraignant de rem\u00e9diation ne procure qu\u2019une assurance limit\u00e9e.<\/p>

DORA entra\u00eene \u00e9galement des cons\u00e9quences majeures sur la mani\u00e8re dont votre organisation s\u00e9lectionne, contracte, enregistre, \u00e9value et, le cas \u00e9ch\u00e9ant, remplace ses prestataires externes de services TIC. Les fournisseurs de cloud, prestataires de services manag\u00e9s, \u00e9diteurs de logiciels, plateformes de donn\u00e9es, prestataires de s\u00e9curit\u00e9 et autres fournisseurs TIC peuvent \u00eatre profond\u00e9ment int\u00e9gr\u00e9s \u00e0 la fourniture de services financiers critiques. Un incident op\u00e9rationnel touchant un fournisseur peut ainsi avoir des cons\u00e9quences directes sur vos obligations r\u00e9glementaires m\u00eame lorsque la cause technique se situe hors de votre propre environnement. DORA confirme que l\u2019externalisation de la technologie ne vaut pas externalisation de la responsabilit\u00e9. Votre organisation doit donc \u00e9valuer pr\u00e9alablement quelles fonctions sont soutenues par un prestataire externe, quels risques de concentration apparaissent, quelles donn\u00e9es sont trait\u00e9es, quels sous-traitants sont impliqu\u00e9s, quelles localisations sont pertinentes, quels risques de r\u00e9siliation existent et si les strat\u00e9gies de sortie sont v\u00e9ritablement ex\u00e9cutables. Les dispositions contractuelles doivent garantir des droits suffisants en mati\u00e8re d\u2019information, d\u2019audit, de coop\u00e9ration, de notification d\u2019incidents, de continuit\u00e9 et de r\u00e9siliation. Le registre des accords contractuels ne doit pas \u00eatre trait\u00e9 comme un inventaire administratif, mais comme un instrument strat\u00e9gique permettant d\u2019identifier les concentrations, les d\u00e9pendances communes et les expositions significatives. Dans le cadre d\u2019un contr\u00f4le prudentiel ou r\u00e9glementaire, votre organisation doit \u00eatre capable de d\u00e9montrer rapidement quel fournisseur soutient quelle fonction critique, quelles garanties contractuelles s\u2019appliquent, quelle analyse de risques a \u00e9t\u00e9 effectu\u00e9e et quelles mesures sont disponibles en cas de d\u00e9faillance ou d\u2019insuffisance structurelle du fournisseur.<\/p>

Services m\u00e9tiers critiques, analyse d\u2019impact sur l\u2019activit\u00e9 et cartographie des d\u00e9pendances op\u00e9rationnelles<\/h4>

La r\u00e9silience op\u00e9rationnelle num\u00e9rique ne peut \u00eatre organis\u00e9e efficacement que si votre organisation d\u00e9finit d\u2019abord avec pr\u00e9cision quels services m\u00e9tiers sont r\u00e9ellement critiques pour ses clients, les march\u00e9s, les partenaires de la cha\u00eene de valeur, les int\u00e9r\u00eats publics ou la continuit\u00e9 m\u00eame de l\u2019entreprise. Une approche informatique traditionnelle part souvent des syst\u00e8mes, des applications ou des infrastructures. Une approche fond\u00e9e sur la r\u00e9silience op\u00e9rationnelle part au contraire du service qui doit continuer \u00e0 fonctionner, puis remonte vers l\u2019ensemble des personnes, processus, technologies, donn\u00e9es, sites et prestataires externes n\u00e9cessaires \u00e0 sa fourniture. Cette distinction est d\u00e9terminante. Une application peut \u00eatre techniquement importante sans \u00eatre directement critique pour un service essentiel. Inversement, une application relativement simple peut constituer un point de d\u00e9faillance majeur parce que plusieurs processus importants en d\u00e9pendent. Votre organisation doit donc identifier ses services m\u00e9tiers critiques en fonction des cons\u00e9quences d\u2019une perturbation, de la rapidit\u00e9 avec laquelle un pr\u00e9judice peut se mat\u00e9rialiser, du degr\u00e9 de d\u00e9pendance des clients ou partenaires, des obligations l\u00e9gales et de l\u2019existence de solutions alternatives. Il convient \u00e9galement d\u2019\u00e9viter de qualifier chaque processus m\u00e9tier de critique. Si pratiquement tout est consid\u00e9r\u00e9 comme critique, toute capacit\u00e9 r\u00e9elle de priorisation dispara\u00eet et les d\u00e9cisions de r\u00e9tablissement deviennent difficiles \u00e0 prendre en situation de crise. La notion de criticit\u00e9 exige par cons\u00e9quent une diff\u00e9renciation rigoureuse.<\/p>

L\u2019analyse d\u2019impact sur l\u2019activit\u00e9 constitue ensuite le m\u00e9canisme reliant les services critiques aux exigences concr\u00e8tes de r\u00e9tablissement. Votre organisation doit pouvoir d\u00e9terminer quelles cons\u00e9quences op\u00e9rationnelles, financi\u00e8res, juridiques, soci\u00e9tales et r\u00e9putationnelles apparaissent lorsqu\u2019un service devient indisponible pendant une p\u00e9riode donn\u00e9e. Le facteur temps est ici d\u00e9terminant. Une interruption de quinze minutes peut avoir un impact limit\u00e9, tandis que la m\u00eame perturbation, apr\u00e8s quatre heures, douze heures ou deux jours, peut devenir extr\u00eamement grave. Les objectifs de r\u00e9tablissement ne doivent donc pas \u00eatre fix\u00e9s exclusivement \u00e0 partir de consid\u00e9rations techniques, mais d\u00e9riv\u00e9s de la tol\u00e9rance r\u00e9elle de chaque service m\u00e9tier. Pour chaque service critique, il doit \u00eatre possible d\u2019identifier quelles fonctionnalit\u00e9s minimales doivent \u00eatre maintenues, dans quel d\u00e9lai le r\u00e9tablissement doit intervenir, quel niveau de perte de donn\u00e9es peut \u00eatre accept\u00e9, quelles solutions manuelles sont disponibles et quelles d\u00e9pendances peuvent retarder la remise en service. L\u2019analyse doit \u00e9galement tenir compte des effets de cha\u00eene. La d\u00e9faillance d\u2019un seul service d\u2019authentification peut bloquer plusieurs applications. L\u2019indisponibilit\u00e9 d\u2019un fournisseur de donn\u00e9es peut affecter la prise de d\u00e9cision alors m\u00eame que l\u2019application principale continue de fonctionner. Une perturbation des t\u00e9l\u00e9communications peut simultan\u00e9ment affecter les communications internes, les contacts avec les clients et l\u2019acc\u00e8s aux environnements cloud. La mise en visibilit\u00e9 de ces interd\u00e9pendances offre une compr\u00e9hension consid\u00e9rablement plus r\u00e9aliste de la vuln\u00e9rabilit\u00e9 effective.<\/p>

La cartographie des d\u00e9pendances op\u00e9rationnelles approfondit cette analyse en identifiant l\u2019int\u00e9gralit\u00e9 de la cha\u00eene qui soutient un service critique. Votre organisation ne doit pas recenser uniquement les syst\u00e8mes principaux, mais \u00e9galement les technologies de support, services d\u2019identit\u00e9, sources de donn\u00e9es, API, connexions r\u00e9seau, composants cloud, sites physiques, collaborateurs cl\u00e9s, prestataires externes, sous-traitants et dispositifs de r\u00e9tablissement. Les d\u00e9pendances indirectes requi\u00e8rent une attention particuli\u00e8re. Un fournisseur qui n\u2019est pas formellement qualifi\u00e9 de critique peut fournir un composant logiciel essentiel utilis\u00e9 par plusieurs syst\u00e8mes critiques. Un prestataire externe peut lui-m\u00eame d\u00e9pendre d\u2019un sous-traitant utilisant le m\u00eame fournisseur cloud que votre organisation, ce qui signifie qu\u2019une diversification apparente peut en r\u00e9alit\u00e9 masquer un m\u00eame point de concentration. La concentration g\u00e9ographique peut \u00e9galement \u00eatre pertinente lorsque plusieurs centres de donn\u00e9es, \u00e9quipes ou fournisseurs op\u00e8rent dans une m\u00eame zone de risque. L\u2019objectif de cette cartographie n\u2019est donc pas de produire un diagramme statique, mais de g\u00e9n\u00e9rer une information de gouvernance permettant de d\u00e9terminer o\u00f9 existent des risques de concentration, quelles d\u00e9pendances sont insuffisamment ma\u00eetris\u00e9es et dans quel ordre les op\u00e9rations doivent \u00eatre r\u00e9tablies en cas de perturbation grave. Ces informations constituent \u00e9galement un fondement essentiel pour la gestion des fournisseurs, les programmes de tests, l\u2019analyse de sc\u00e9narios, la gestion de crise et les \u00e9changes avec les autorit\u00e9s de supervision.<\/p>

Classification des cyberincidents, obligations de notification et reporting r\u00e9glementaire<\/h4>

Un cyberincident acquiert une importance juridique et strat\u00e9gique d\u00e8s lors qu\u2019il appara\u00eet susceptible d\u2019avoir des cons\u00e9quences significatives sur la disponibilit\u00e9, l\u2019int\u00e9grit\u00e9, la confidentialit\u00e9, l\u2019authenticit\u00e9 ou la continuit\u00e9 des services. La difficult\u00e9 op\u00e9rationnelle tient au fait que cette appr\u00e9ciation doit souvent intervenir alors que les faits techniques restent incomplets. Durant les premi\u00e8res heures d\u2019un incident, des incertitudes peuvent subsister quant \u00e0 sa cause, son ampleur, sa dur\u00e9e, les syst\u00e8mes concern\u00e9s, les donn\u00e9es \u00e9ventuellement compromises et les cons\u00e9quences potentielles. Dans le m\u00eame temps, les d\u00e9lais l\u00e9gaux de notification peuvent d\u00e9j\u00e0 avoir commenc\u00e9 \u00e0 courir et tout retard peut cr\u00e9er une exposition r\u00e9glementaire. Votre organisation doit donc disposer d\u2019un processus de classification reliant directement la d\u00e9tection technique des incidents aux crit\u00e8res juridiques d\u2019\u00e9valuation. Il convient de d\u00e9finir pr\u00e9alablement quels indicateurs d\u00e9clenchent une escalade, quelles informations minimales doivent \u00eatre disponibles, qui dispose du pouvoir de qualifier l\u2019incident et qui est responsable de la notification externe. Les crit\u00e8res doivent \u00eatre suffisamment concrets pour rester op\u00e9rationnels sous pression. Une consigne g\u00e9n\u00e9rale imposant de notifier un \u00ab incident majeur \u00bb n\u2019apporte pas un niveau de pr\u00e9cision suffisant en situation aigu\u00eb. Les facteurs pertinents peuvent notamment inclure la dur\u00e9e, l\u2019\u00e9tendue g\u00e9ographique, le nombre d\u2019utilisateurs affect\u00e9s, l\u2019impact \u00e9conomique, la perte de donn\u00e9es, les cons\u00e9quences pour les fonctions critiques, les effets transfrontaliers potentiels ainsi que la capacit\u00e9 \u00e0 r\u00e9tablir les services dans les d\u00e9lais attendus.<\/p>

Le processus de notification doit \u00e9galement tenir compte du fait qu\u2019un incident unique peut d\u00e9clencher simultan\u00e9ment plusieurs r\u00e9gimes juridiques. Une cyberattaque peut, par exemple, \u00eatre pertinente au regard de la loi sur la cybers\u00e9curit\u00e9, de DORA, du R\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es, d\u2019exigences sectorielles de supervision, d\u2019obligations contractuelles de notification et des conditions de couverture d\u2019assurance. Ces r\u00e9gimes n\u2019utilisent pas n\u00e9cessairement les m\u00eames d\u00e9finitions, d\u00e9lais ou crit\u00e8res d\u2019\u00e9valuation. Il existe d\u00e8s lors un risque que diff\u00e9rentes \u00e9quipes aboutissent parall\u00e8lement \u00e0 des conclusions divergentes ou que les notifications obligatoires soient pr\u00e9par\u00e9es de mani\u00e8re incoh\u00e9rente. Votre organisation a donc int\u00e9r\u00eat \u00e0 disposer d\u2019un processus central de gouvernance des incidents dans lequel chaque \u00e9v\u00e9nement est \u00e9valu\u00e9 au regard de tous les cadres juridiques potentiellement applicables, des \u00e9ch\u00e9ances correspondantes, des informations d\u00e9j\u00e0 disponibles et des analyses compl\u00e9mentaires encore n\u00e9cessaires. Ce processus doit emp\u00eacher que l\u2019urgence ne compromette la rigueur, mais \u00e9galement qu\u2019une recherche excessive de perfection ne provoque des retards. Une notification initiale n\u2019a pas n\u00e9cessairement vocation \u00e0 \u00e9tablir d\u00e9finitivement chaque d\u00e9tail technique. Elle doit toutefois exposer de mani\u00e8re fiable ce qui est connu, les incertitudes persistantes, les mesures d\u00e9j\u00e0 prises et la mani\u00e8re dont les investigations compl\u00e9mentaires sont organis\u00e9es. Une gestion rigoureuse des versions de l\u2019information relative \u00e0 l\u2019incident est donc essentielle.<\/p>

La qualit\u00e9 du reporting r\u00e9glementaire d\u00e9pend dans une large mesure de la qualit\u00e9 de la documentation sous-jacente relative \u00e0 l\u2019incident. Votre organisation doit \u00eatre capable de reconstituer \u00e0 quel moment l\u2019incident a \u00e9t\u00e9 d\u00e9tect\u00e9, quels indicateurs \u00e9taient disponibles, quelles d\u00e9cisions ont \u00e9t\u00e9 prises, quelles personnes ont \u00e9t\u00e9 impliqu\u00e9es, quand l\u2019escalade est intervenue, quelles hypoth\u00e8ses ont \u00e9t\u00e9 utilis\u00e9es et \u00e0 quel moment suffisamment d\u2019informations \u00e9taient disponibles pour d\u00e9cider d\u2019une notification. Cette chronologie peut devenir d\u00e9terminante si une autorit\u00e9 examine ult\u00e9rieurement si la notification a \u00e9t\u00e9 effectu\u00e9e dans les d\u00e9lais et avec un niveau de compl\u00e9tude suffisant. La prise de d\u00e9cision, la classification et les communications doivent donc \u00eatre document\u00e9es d\u00e8s l\u2019origine. Une discipline particuli\u00e8re est \u00e9galement n\u00e9cessaire dans les communications internes. Des hypoth\u00e8ses techniques non confirm\u00e9es, des qualifications informelles ou des explications contradictoires peuvent ult\u00e9rieurement cr\u00e9er des difficult\u00e9s d\u2019interpr\u00e9tation. Un processus robuste distingue par cons\u00e9quent les constatations factuelles, les hypoth\u00e8ses provisoires, les \u00e9valuations de risques et les d\u00e9cisions formelles. Les communications avec les clients, partenaires de la cha\u00eene de valeur et m\u00e9dias doivent \u00e9galement \u00eatre align\u00e9es sur une m\u00eame base factuelle ma\u00eetris\u00e9e. Des d\u00e9clarations externes contradictoires peuvent amplifier le pr\u00e9judice r\u00e9putationnel et susciter de nouvelles interrogations r\u00e9glementaires. La position la plus solide est celle dans laquelle la r\u00e9ponse technique \u00e0 l\u2019incident, l\u2019analyse juridique et la communication ex\u00e9cutive reposent sur un m\u00eame socle factuel contr\u00f4l\u00e9, tout en tenant compte des diff\u00e9rences l\u00e9gitimes pouvant exister entre les notifications r\u00e9glementaires et la communication publique.<\/p>

Continuit\u00e9 des activit\u00e9s, reprise apr\u00e8s sinistre et gestion de crise<\/h4>

La continuit\u00e9 des activit\u00e9s constitue le c\u0153ur op\u00e9rationnel de la r\u00e9silience num\u00e9rique, car aucune mesure de s\u00e9curit\u00e9 pr\u00e9ventive ne peut offrir une protection absolue contre les perturbations. Votre organisation doit donc \u00eatre pr\u00e9par\u00e9e \u00e0 des sc\u00e9narios dans lesquels les syst\u00e8mes deviennent effectivement indisponibles, les donn\u00e9es ne sont temporairement plus accessibles, un fournisseur cesse de fournir ses services, les communications num\u00e9riques sont fortement d\u00e9grad\u00e9es ou le r\u00e9tablissement n\u00e9cessite beaucoup plus de temps qu\u2019anticip\u00e9. La gestion de la continuit\u00e9 des activit\u00e9s doit commencer par la question de savoir quels services doivent continuer \u00e0 \u00eatre fournis \u00e0 un niveau minimum en p\u00e9riode de perturbation, plut\u00f4t que par la question de savoir quel composant technique peut \u00eatre restaur\u00e9 en premier. La priorit\u00e9 doit \u00eatre d\u00e9termin\u00e9e par la fonction soci\u00e9tale, contractuelle et \u00e9conomique du service concern\u00e9. Pour chaque service m\u00e9tier critique, il convient donc de d\u00e9finir quelle capacit\u00e9 op\u00e9rationnelle minimale doit rester disponible, quelles personnes et ressources sont indispensables, quelles d\u00e9cisions doivent pouvoir \u00eatre prises dans un contexte de crise et quelles solutions temporaires peuvent \u00eatre mobilis\u00e9es. Un processus manuel peut, par exemple, suffire temporairement \u00e0 maintenir un service essentiel, mais uniquement si les donn\u00e9es n\u00e9cessaires restent accessibles, si les collaborateurs sont r\u00e9ellement capables de l\u2019utiliser et si la capacit\u00e9 disponible a \u00e9t\u00e9 test\u00e9e de mani\u00e8re r\u00e9aliste. Les plans de continuit\u00e9 doivent donc reposer sur des sc\u00e9narios op\u00e9rationnellement ex\u00e9cutables et non sur des proc\u00e9dures th\u00e9oriques.<\/p>

La reprise apr\u00e8s sinistre se concentre plus sp\u00e9cifiquement sur le r\u00e9tablissement technique des syst\u00e8mes, infrastructures, donn\u00e9es et connexions, mais doit \u00eatre \u00e9troitement align\u00e9e avec la continuit\u00e9 des activit\u00e9s. Les objectifs techniques de reprise doivent d\u00e9couler de l\u2019impact m\u00e9tier et non uniquement de normes informatiques historiques. Si un service critique doit \u00eatre r\u00e9tabli dans un d\u00e9lai de deux heures alors que la proc\u00e9dure compl\u00e8te de restauration de l\u2019infrastructure de support n\u00e9cessite huit heures, il existe une incoh\u00e9rence fondamentale. Votre organisation doit identifier et r\u00e9soudre ces \u00e9carts en amont au moyen de redondances techniques, de solutions alternatives, d\u2019environnements de reprise s\u00e9par\u00e9s, de capacit\u00e9s de sauvegarde suppl\u00e9mentaires ou d\u2019adaptations des processus m\u00e9tiers. Les sauvegardes m\u00e9ritent une attention particuli\u00e8re. Leur seule existence ne d\u00e9montre pas que les donn\u00e9es peuvent \u00eatre restaur\u00e9es dans des d\u00e9lais appropri\u00e9s, de mani\u00e8re compl\u00e8te et avec un niveau de fiabilit\u00e9 suffisant. Les sauvegardes doivent \u00eatre prot\u00e9g\u00e9es contre les m\u00eames vecteurs d\u2019attaque susceptibles d\u2019affecter les syst\u00e8mes primaires, test\u00e9es r\u00e9guli\u00e8rement et organis\u00e9es avec un degr\u00e9 d\u2019ind\u00e9pendance suffisant par rapport aux environnements de production. Les configurations, certificats, donn\u00e9es d\u2019authentification, informations relatives \u00e0 la gestion des cl\u00e9s, versions logicielles et documentations techniques peuvent \u00e9galement \u00eatre indispensables au r\u00e9tablissement. Une organisation qui sauvegarde ses fichiers de donn\u00e9es mais ne dispose pas des configurations et \u00e9l\u00e9ments d\u2019acc\u00e8s n\u00e9cessaires peut malgr\u00e9 tout subir une indisponibilit\u00e9 prolong\u00e9e.<\/p>

La gestion de crise relie enfin la r\u00e9ponse technique et op\u00e9rationnelle \u00e0 la prise de d\u00e9cision ex\u00e9cutive. Les perturbations num\u00e9riques graves \u00e9voluent souvent rapidement et cr\u00e9ent simultan\u00e9ment des pressions juridiques, commerciales, financi\u00e8res et r\u00e9putationnelles. La direction peut devoir prendre, dans un contexte d\u2019incertitude \u00e9lev\u00e9e, des d\u00e9cisions concernant les priorit\u00e9s de r\u00e9tablissement, la communication, l\u2019assistance externe, les mesures destin\u00e9es aux clients, l\u2019escalade aupr\u00e8s des fournisseurs, les \u00e9changes avec les autorit\u00e9s, le positionnement juridique et d\u2019\u00e9ventuelles restrictions temporaires de certains services. Il doit donc \u00eatre clairement \u00e9tabli en amont qui participe \u00e0 la cellule de crise, quels pouvoirs sont attribu\u00e9s, comment les remplacements sont organis\u00e9s, quelles informations doivent \u00eatre disponibles \u00e0 chaque \u00e9tape et quelles d\u00e9cisions requi\u00e8rent une approbation formelle. La gestion de crise ne doit pas d\u00e9pendre de relations informelles ou de la disponibilit\u00e9 de quelques individus. La relation entre les \u00e9quipes op\u00e9rationnelles et la direction doit \u00e9galement \u00eatre explicite. Les sp\u00e9cialistes techniques doivent disposer de suffisamment d\u2019autonomie pour agir rapidement, tandis que les d\u00e9cisions pr\u00e9sentant des cons\u00e9quences juridiques, financi\u00e8res ou soci\u00e9tales importantes doivent \u00eatre escalad\u00e9es au niveau appropri\u00e9 sans d\u00e9lai.<\/p>

Dans ce cadre plus large, la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re<\/strong> doit rester \u00e9troitement li\u00e9e \u00e0 la r\u00e9silience op\u00e9rationnelle num\u00e9rique chaque fois qu\u2019une perturbation technologique est susceptible d\u2019affaiblir les contr\u00f4les destin\u00e9s \u00e0 pr\u00e9venir, d\u00e9tecter ou traiter la criminalit\u00e9 financi\u00e8re. L\u2019indisponibilit\u00e9 temporaire de la surveillance des transactions, du filtrage des sanctions, de la connaissance du client, de la d\u00e9tection des fraudes, des contr\u00f4les de paiement ou de la v\u00e9rification des identit\u00e9s peut cr\u00e9er de nouveaux risques de criminalit\u00e9 financi\u00e8re pr\u00e9cis\u00e9ment au moment o\u00f9 l\u2019attention op\u00e9rationnelle est mobilis\u00e9e par ailleurs. La planification de la continuit\u00e9 doit donc identifier quels contr\u00f4les de criminalit\u00e9 financi\u00e8re doivent imp\u00e9rativement demeurer op\u00e9rationnels \u00e0 un niveau minimal, quelles mesures compensatoires doivent \u00eatre activ\u00e9es lorsque les syst\u00e8mes habituels ne sont plus disponibles et comment les transactions, contreparties ou flux de paiement pr\u00e9sentant un niveau de risque accru seront surveill\u00e9s pendant la perturbation. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re<\/strong> permet ainsi de relier continuit\u00e9 num\u00e9rique, int\u00e9grit\u00e9 financi\u00e8re, contr\u00f4le des transactions, conformit\u00e9 aux sanctions, pr\u00e9vention de la fraude et gouvernance des incidents au sein d\u2019un m\u00eame dispositif de ma\u00eetrise. La r\u00e9silience num\u00e9rique cesse alors d\u2019\u00eatre consid\u00e9r\u00e9e comme une discipline purement technique de continuit\u00e9 pour devenir une capacit\u00e9 institutionnelle plus large, destin\u00e9e \u00e0 prot\u00e9ger simultan\u00e9ment la continuit\u00e9 op\u00e9rationnelle, la conformit\u00e9 r\u00e9glementaire, l\u2019int\u00e9grit\u00e9 financi\u00e8re et la capacit\u00e9 de votre organisation \u00e0 prendre des d\u00e9cisions d\u00e9fendables sous pression.<\/p>

Tests de r\u00e9silience op\u00e9rationnelle num\u00e9rique, exercices de sc\u00e9narios et tests fond\u00e9s sur les menaces<\/h4>

La r\u00e9silience op\u00e9rationnelle num\u00e9rique ne peut \u00eatre \u00e9tablie uniquement en v\u00e9rifiant si des politiques, proc\u00e9dures, plans de r\u00e9tablissement et mesures techniques de s\u00e9curit\u00e9 existent formellement. Pour votre organisation, une assurance v\u00e9ritable n\u2019appara\u00eet que lorsqu\u2019il peut \u00eatre d\u00e9montr\u00e9, dans des conditions r\u00e9alistes, que les services m\u00e9tiers critiques sont capables de r\u00e9sister \u00e0 des perturbations num\u00e9riques graves et que les m\u00e9canismes de r\u00e9tablissement fonctionnent effectivement lorsque les mesures pr\u00e9ventives se r\u00e9v\u00e8lent insuffisantes. Les tests de r\u00e9silience op\u00e9rationnelle num\u00e9rique doivent donc aller bien au-del\u00e0 des tests d\u2019intrusion conventionnels, des analyses de vuln\u00e9rabilit\u00e9s et des contr\u00f4les p\u00e9riodiques portant sur des syst\u00e8mes isol\u00e9s. La question centrale consiste \u00e0 d\u00e9terminer si votre organisation est capable de continuer \u00e0 fonctionner comme un ensemble coh\u00e9rent sous pression lorsque plusieurs d\u00e9pendances techniques, organisationnelles et externes sont simultan\u00e9ment affect\u00e9es. Un programme de tests efficace relie par cons\u00e9quent les vuln\u00e9rabilit\u00e9s techniques \u00e0 leur impact concret sur l\u2019activit\u00e9. Des sc\u00e9narios peuvent, par exemple, porter sur l\u2019indisponibilit\u00e9 soudaine d\u2019une plateforme cloud, la d\u00e9faillance des services d\u2019authentification, une attaque par ran\u00e7ongiciel touchant plusieurs unit\u00e9s op\u00e9rationnelles, la perte temporaire de confiance dans l\u2019int\u00e9grit\u00e9 de donn\u00e9es essentielles, l\u2019insuffisance des capacit\u00e9s de r\u00e9tablissement d\u2019un prestataire externe de services TIC ou la d\u00e9couverte que plusieurs fournisseurs d\u00e9pendent d\u2019une m\u00eame infrastructure sous-jacente. La complexit\u00e9 technique du sc\u00e9nario ne doit pas constituer le crit\u00e8re principal. C\u2019est l\u2019impact potentiel sur la continuit\u00e9 des services critiques qui doit d\u00e9terminer l\u2019\u00e9tendue et l\u2019intensit\u00e9 de l\u2019exercice. Votre organisation doit d\u00e9finir pr\u00e9alablement quels services m\u00e9tiers, processus, syst\u00e8mes, donn\u00e9es, sites, collaborateurs et fournisseurs sont inclus dans le p\u00e9rim\u00e8tre du test, quelles tol\u00e9rances aux perturbations s\u2019appliquent et quels indicateurs de performance seront mesur\u00e9s pendant et apr\u00e8s l\u2019exercice. Il devient ainsi possible d\u2019\u00e9valuer non seulement la r\u00e9sistance des contr\u00f4les techniques, mais \u00e9galement la qualit\u00e9 de la prise de d\u00e9cision, de l\u2019escalade, des communications, des proc\u00e9dures de continuit\u00e9 et des capacit\u00e9s de r\u00e9tablissement au regard de la r\u00e9alit\u00e9 op\u00e9rationnelle.<\/p>

Les exercices fond\u00e9s sur des sc\u00e9narios sont tout aussi essentiels pour tester la dimension de gouvernance de la r\u00e9silience num\u00e9rique. Lors d\u2019une crise r\u00e9elle, les organes de direction, les fonctions juridiques, les professionnels de la conformit\u00e9, les \u00e9quipes de s\u00e9curit\u00e9 et les responsables op\u00e9rationnels disposent rarement, d\u00e8s les premi\u00e8res heures, d\u2019informations compl\u00e8tes. Les premiers signaux peuvent \u00eatre ambigus ou contradictoires, alors m\u00eame que des d\u00e9cisions doivent \u00eatre prises concernant la continuit\u00e9 des services, les priorit\u00e9s de r\u00e9tablissement, les obligations r\u00e9glementaires de notification, la communication avec les clients, le recours \u00e0 des experts externes et l\u2019escalade aupr\u00e8s des autorit\u00e9s de supervision. Un exercice correctement con\u00e7u doit reproduire volontairement cette incertitude. Votre organisation peut, par exemple, \u00eatre initialement confront\u00e9e \u00e0 une interruption de service apparemment limit\u00e9e, avant qu\u2019il n\u2019apparaisse que celle-ci est li\u00e9e \u00e0 un acc\u00e8s non autoris\u00e9, \u00e0 une possible manipulation de donn\u00e9es et \u00e0 la compromission d\u2019un fournisseur. Il peut ensuite \u00eatre d\u00e9couvert que le m\u00eame fournisseur soutient \u00e9galement un autre service m\u00e9tier critique, ce qui augmente consid\u00e9rablement l\u2019impact op\u00e9rationnel. En introduisant progressivement de telles \u00e9volutions, l\u2019exercice permet de v\u00e9rifier si l\u2019information est partag\u00e9e suffisamment rapidement, si les responsabilit\u00e9s sont clairement comprises, si les d\u00e9cisions sont prises au niveau appropri\u00e9 et si les obligations juridiques sont correctement identifi\u00e9es. Il permet \u00e9galement de d\u00e9terminer si les \u00e9quipes savent r\u00e9ellement quels canaux de communication alternatifs, m\u00e9canismes de r\u00e9tablissement et possibilit\u00e9s d\u2019escalade sont disponibles. La valeur de ces exercices ne r\u00e9side donc pas dans la confirmation de la connaissance des proc\u00e9dures existantes, mais dans la mise en \u00e9vidence des \u00e9carts entre les plans formels et les comportements effectifs. Votre organisation obtient ainsi des informations concr\u00e8tes sur la rapidit\u00e9 de d\u00e9cision, la qualit\u00e9 des informations, la coordination, la capacit\u00e9 de r\u00e9tablissement et les d\u00e9pendances organisationnelles qui restent souvent invisibles dans le cadre d\u2019un simple contr\u00f4le documentaire.<\/p>

Pour les entit\u00e9s financi\u00e8res, DORA peut en outre imposer \u00e0 certaines organisations, en fonction de leur nature, de leur taille et de leur profil de risque, la r\u00e9alisation de tests d\u2019intrusion plus avanc\u00e9s fond\u00e9s sur la menace. Ces tests examinent l\u2019organisation du point de vue d\u2019adversaires r\u00e9alistes et cherchent \u00e0 d\u00e9terminer si des fonctions critiques peuvent \u00eatre compromises au moyen de techniques, tactiques et proc\u00e9dures coh\u00e9rentes avec les renseignements disponibles sur les menaces. Une telle approche suppose une d\u00e9limitation rigoureuse des objectifs, des syst\u00e8mes inclus dans le p\u00e9rim\u00e8tre, des prestataires externes concern\u00e9s, des limites de s\u00e9curit\u00e9, des exigences de protection des donn\u00e9es et des modalit\u00e9s de traitement des vuln\u00e9rabilit\u00e9s d\u00e9couvertes. Les tests fond\u00e9s sur les menaces ne constituent pas une comp\u00e9tition entre \u00e9quipes d\u2019attaque et \u00e9quipes de d\u00e9fense, mais une m\u00e9thode contr\u00f4l\u00e9e destin\u00e9e \u00e0 \u00e9valuer le fonctionnement des mesures existantes lorsqu\u2019une cha\u00eene d\u2019attaque coh\u00e9rente est simul\u00e9e. Les r\u00e9sultats ne doivent donc pas \u00eatre classifi\u00e9s exclusivement sous l\u2019angle technique. Votre organisation doit d\u00e9terminer quelles vuln\u00e9rabilit\u00e9s peuvent affecter la fourniture de services critiques, quelles causes structurelles expliquent ces faiblesses et quelles mesures correctrices doivent \u00eatre trait\u00e9es en priorit\u00e9. Cette approche se rattache directement \u00e0 la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re<\/strong>, car les m\u00eames voies d\u2019acc\u00e8s num\u00e9riques susceptibles de compromettre la continuit\u00e9 op\u00e9rationnelle peuvent \u00e9galement \u00eatre utilis\u00e9es pour commettre des fraudes au paiement, d\u00e9tourner des identit\u00e9s, manipuler des donn\u00e9es, contourner des sanctions ou faciliter d\u2019autres formes de criminalit\u00e9 financi\u00e8re. La mise en relation des r\u00e9sultats techniques des tests avec les risques op\u00e9rationnels, juridiques et d\u2019int\u00e9grit\u00e9 offre ainsi une vision beaucoup plus compl\u00e8te de l\u2019exposition r\u00e9elle de votre organisation. Chaque programme de tests doit donc d\u00e9boucher sur des actions correctrices d\u00e9montrables, des responsables clairement identifi\u00e9s, des d\u00e9lais concrets, des tests de suivi p\u00e9riodiques et un reporting \u00e0 la direction permettant de d\u00e9montrer que les tests contribuent r\u00e9ellement au renforcement structurel de la r\u00e9silience num\u00e9rique.<\/p>

Risques li\u00e9s aux prestataires TIC, registres d\u2019externalisation et d\u00e9pendances envers les fournisseurs critiques<\/h4>

La continuit\u00e9 num\u00e9rique de votre organisation d\u00e9pend de plus en plus de parties situ\u00e9es en dehors de ses propres fronti\u00e8res juridiques et op\u00e9rationnelles. Les fournisseurs de cloud, \u00e9diteurs de logiciels, prestataires de services manag\u00e9s, centres de donn\u00e9es, processeurs de paiements, op\u00e9rateurs de t\u00e9l\u00e9communications, prestataires de cybers\u00e9curit\u00e9, fournisseurs d\u2019identit\u00e9 num\u00e9rique et fournisseurs sp\u00e9cialis\u00e9s de donn\u00e9es peuvent chacun constituer un maillon essentiel de services m\u00e9tiers critiques. Cette situation cr\u00e9e une probl\u00e9matique fondamentale de gouvernance : votre organisation peut externaliser l\u2019ex\u00e9cution technique, mais elle demeure responsable de la ma\u00eetrise des risques qui d\u00e9coulent de cette d\u00e9pendance. Une gestion efficace des risques li\u00e9s aux prestataires TIC doit donc commencer bien avant la signature du contrat. Vous devez \u00eatre en mesure de d\u00e9terminer quel service est externalis\u00e9, quelle fonction m\u00e9tier en d\u00e9pendra, quelles donn\u00e9es seront trait\u00e9es, quels sites et sous-traitants seront impliqu\u00e9s, quels risques de continuit\u00e9 existent et quelles seraient les cons\u00e9quences si le fournisseur devenait soudainement indisponible. La stabilit\u00e9 financi\u00e8re, op\u00e9rationnelle et juridique du fournisseur doit \u00e9galement \u00eatre examin\u00e9e. Un prestataire techniquement performant peut n\u00e9anmoins cr\u00e9er un risque important de continuit\u00e9 lorsque la prestation est fortement concentr\u00e9e, lorsque des connaissances critiques sont d\u00e9tenues par un nombre restreint de personnes ou lorsque des composants essentiels d\u00e9pendent eux-m\u00eames d\u2019autres prestataires. L\u2019\u00e9valuation des fournisseurs doit par cons\u00e9quent englober les d\u00e9pendances directes et indirectes et \u00eatre proportionn\u00e9e au degr\u00e9 de criticit\u00e9 du service m\u00e9tier concern\u00e9.<\/p>

La ma\u00eetrise contractuelle rev\u00eat dans ce domaine une importance particuli\u00e8re. Un contrat de services d\u00e9taill\u00e9 offre une protection limit\u00e9e si votre organisation ne peut pas obtenir rapidement les informations n\u00e9cessaires lors d\u2019un incident, ne dispose pas de droits d\u2019audit efficaces ou n\u2019a pas les moyens contractuels suffisants pour imposer des mesures correctrices. Les clauses contractuelles doivent donc \u00eatre directement align\u00e9es sur les risques op\u00e9rationnels et r\u00e9glementaires concern\u00e9s. Les domaines pertinents incluent notamment les obligations d\u2019information, les exigences en mati\u00e8re de cybers\u00e9curit\u00e9, la notification des incidents, les droits d\u2019audit et d\u2019acc\u00e8s, la localisation des donn\u00e9es, le recours \u00e0 la sous-traitance, les mesures de continuit\u00e9, les objectifs de r\u00e9tablissement, les obligations de test, la protection des donn\u00e9es, les droits de r\u00e9siliation et le soutien \u00e0 la sortie. Pour les fonctions critiques ou importantes, ces dispositions doivent \u00eatre suffisamment pr\u00e9cises pour rester v\u00e9ritablement utilisables pendant une crise. Votre organisation doit, par exemple, pouvoir d\u00e9terminer dans quel d\u00e9lai un fournisseur doit signaler un incident grave, quelles informations minimales doivent \u00eatre communiqu\u00e9es, comment une investigation peut \u00eatre men\u00e9e et quel soutien doit \u00eatre fourni dans le cadre du r\u00e9tablissement. Les changements intervenant pendant la relation contractuelle doivent eux aussi \u00eatre ma\u00eetris\u00e9s. Un fournisseur peut introduire de nouveaux sous-traitants, migrer son infrastructure ou remplacer certains composants techniques. Lorsque ces \u00e9volutions ne sont pas d\u00e9tect\u00e9es suffisamment t\u00f4t, le profil de risque de la prestation peut changer de mani\u00e8re significative sans que votre organisation ait proc\u00e9d\u00e9 \u00e0 une nouvelle \u00e9valuation. La gestion contractuelle doit donc \u00eatre directement int\u00e9gr\u00e9e \u00e0 la gestion des risques et ne pas \u00eatre trait\u00e9e uniquement comme une fonction commerciale de gestion des fournisseurs.<\/p>

Les registres des accords contractuels conclus avec des prestataires TIC acqui\u00e8rent une importance particuli\u00e8re sous DORA, car ils doivent permettre de comprendre l\u2019ampleur et la nature des d\u00e9pendances \u00e0 l\u2019\u00e9gard de fournisseurs externes. Un tel registre ne pr\u00e9sente toutefois une v\u00e9ritable valeur de gouvernance que si les informations qu\u2019il contient sont exactes, compl\u00e8tes, actualis\u00e9es et susceptibles d\u2019\u00eatre reli\u00e9es \u00e0 des fonctions critiques, des entit\u00e9s juridiques, des localisations, des cat\u00e9gories de donn\u00e9es et des sous-traitants. Votre organisation doit pouvoir utiliser cet aper\u00e7u pour identifier si plusieurs services m\u00e9tiers critiques d\u00e9pendent du m\u00eame prestataire, du m\u00eame environnement cloud, du m\u00eame composant logiciel ou de la m\u00eame infrastructure g\u00e9ographique. Ces risques de concentration peuvent multiplier l\u2019impact d\u2019un incident. Une diversification apparente peut \u00e9galement \u00eatre trompeuse lorsque diff\u00e9rents cocontractants utilisent en r\u00e9alit\u00e9 le m\u00eame hyperscaler, le m\u00eame op\u00e9rateur de centre de donn\u00e9es ou le m\u00eame fournisseur de technologie. Le risque de concentration doit donc \u00eatre analys\u00e9 au-del\u00e0 des seules fronti\u00e8res contractuelles. La m\u00eame m\u00e9thodologie peut \u00eatre mobilis\u00e9e dans le cadre de la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re<\/strong> afin d\u2019identifier si certains tiers ont acc\u00e8s \u00e0 des donn\u00e9es financi\u00e8res sensibles, des flux de transactions, des identit\u00e9s de clients ou des m\u00e9canismes de contr\u00f4le pertinents pour la pr\u00e9vention et la d\u00e9tection de la criminalit\u00e9 financi\u00e8re. Le risque fournisseur devient ainsi une composante int\u00e9gr\u00e9e de la r\u00e9silience num\u00e9rique, de la continuit\u00e9 op\u00e9rationnelle et de la gestion des risques d\u2019int\u00e9grit\u00e9. Un dispositif de gestion des prestataires bien structur\u00e9 vous permet de savoir avant un incident quels fournisseurs sont mat\u00e9riels, d\u2019exercer vos droits contractuels de mani\u00e8re cibl\u00e9e pendant l\u2019incident et de d\u00e9montrer apr\u00e8s l\u2019\u00e9v\u00e9nement quelles mesures de ma\u00eetrise avaient \u00e9t\u00e9 mises en place.<\/p>

Responsabilit\u00e9 des organes de direction, app\u00e9tence au risque TIC et surveillance par la direction g\u00e9n\u00e9rale<\/h4>

La r\u00e9silience op\u00e9rationnelle num\u00e9rique exige une responsabilit\u00e9 de gouvernance qui d\u00e9passe largement l\u2019approbation formelle de politiques. Votre conseil d\u2019administration, vos organes de direction et votre direction g\u00e9n\u00e9rale doivent \u00eatre capables de comprendre quelles d\u00e9pendances num\u00e9riques sont mat\u00e9rielles pour la continuit\u00e9 de l\u2019organisation, quels risques sont consciemment accept\u00e9s, quelles d\u00e9ficiences n\u00e9cessitent une intervention imm\u00e9diate et quels investissements sont n\u00e9cessaires pour prot\u00e9ger durablement les services m\u00e9tiers critiques. Cela suppose une app\u00e9tence au risque TIC clairement d\u00e9finie et traduite en seuils concrets et en crit\u00e8res de d\u00e9cision. Des d\u00e9clarations g\u00e9n\u00e9rales indiquant que votre organisation pr\u00e9sente une faible tol\u00e9rance au risque cyber offrent peu de valeur op\u00e9rationnelle. Il est beaucoup plus pertinent de d\u00e9terminer combien de temps d\u2019indisponibilit\u00e9 non planifi\u00e9e d\u2019un service critique peut \u00eatre accept\u00e9, quels d\u00e9lais maximaux de r\u00e9tablissement sont admissibles, combien de vuln\u00e9rabilit\u00e9s critiques non corrig\u00e9es peuvent \u00eatre tol\u00e9r\u00e9es, quels niveaux de concentration fournisseurs d\u00e9passent les limites acceptables et dans quelles circonstances les investissements destin\u00e9s \u00e0 r\u00e9duire les risques doivent obligatoirement \u00eatre soumis \u00e0 une d\u00e9cision de niveau sup\u00e9rieur. Un dispositif efficace distingue ainsi les risques pouvant \u00eatre g\u00e9r\u00e9s dans le cadre du fonctionnement ordinaire des situations n\u00e9cessitant une d\u00e9cision explicite de la direction. Cela emp\u00eache que des d\u00e9rogations techniques deviennent progressivement des risques structurels de gouvernance sans challenge ni supervision appropri\u00e9s.<\/p>

La qualit\u00e9 de la surveillance exerc\u00e9e par les organes de direction d\u00e9pend largement de la qualit\u00e9 des informations sur lesquelles reposent les d\u00e9cisions. De nombreuses organisations disposent de tableaux de bord tr\u00e8s d\u00e9taill\u00e9s comprenant de multiples indicateurs techniques, mais tous les indicateurs n\u2019ont pas la m\u00eame pertinence pour la gouvernance. Votre organe de direction a principalement besoin d\u2019informations permettant d\u2019identifier quelles vuln\u00e9rabilit\u00e9s peuvent affecter la continuit\u00e9 des services critiques, combien de temps le r\u00e9tablissement est susceptible de prendre, quelles d\u00e9pendances restent insuffisamment ma\u00eetris\u00e9es et quelles actions correctrices accusent un retard. Les indicateurs pertinents peuvent notamment porter sur la proportion de services critiques pour lesquels les proc\u00e9dures de reprise ont effectivement \u00e9t\u00e9 test\u00e9es, l\u2019anciennet\u00e9 des constats d\u2019audit majeurs, la disponibilit\u00e9 de fournisseurs alternatifs, le degr\u00e9 de concentration de fonctions critiques aupr\u00e8s d\u2019un m\u00eame prestataire, le d\u00e9lai moyen entre la d\u00e9tection d\u2019un incident et son escalade, la fiabilit\u00e9 de la restauration des sauvegardes et le nombre de d\u00e9rogations significatives aux politiques de s\u00e9curit\u00e9. L\u2019analyse des tendances est tout aussi importante. Un \u00e9cart isol\u00e9 peut \u00e9ventuellement \u00eatre acceptable, tandis qu\u2019une d\u00e9t\u00e9rioration continue du m\u00eame indicateur peut r\u00e9v\u00e9ler une faiblesse plus profonde du dispositif de ma\u00eetrise. Les informations de gestion doivent donc fournir un contexte et ne pas se limiter \u00e0 pr\u00e9senter des donn\u00e9es chiffr\u00e9es. Votre direction doit \u00eatre en mesure d\u2019identifier quels risques augmentent, quelles causes les expliquent, quelles mesures ont \u00e9t\u00e9 prises et quelles incertitudes r\u00e9siduelles subsistent.<\/p>

La responsabilit\u00e9 de la direction se manifeste \u00e9galement dans la mani\u00e8re dont sont arbitr\u00e9s des int\u00e9r\u00eats concurrents. Les investissements dans la r\u00e9silience num\u00e9rique sont souvent en concurrence avec les priorit\u00e9s commerciales, les programmes de r\u00e9duction des co\u00fbts, les projets d\u2019innovation et d\u2019autres objectifs strat\u00e9giques. La d\u00e9cision de conserver un syst\u00e8me ancien, de reporter une migration ou de maintenir une relation avec un fournisseur peut \u00eatre \u00e9conomiquement compr\u00e9hensible tout en augmentant sensiblement l\u2019exposition op\u00e9rationnelle et juridique. Votre organisation doit donc rendre ces arbitrages explicites et v\u00e9rifiables. Les risques pertinents, les alternatives disponibles, les cons\u00e9quences financi\u00e8res et les mesures compensatoires doivent \u00eatre document\u00e9s avant que la d\u00e9cision ne soit prise. La direction g\u00e9n\u00e9rale doit \u00e9galement b\u00e9n\u00e9ficier d\u2019un challenge suffisamment ind\u00e9pendant de la part des fonctions de gestion des risques, de conformit\u00e9, juridique, de s\u00e9curit\u00e9 de l\u2019information et d\u2019audit interne. Le lien avec la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re<\/strong> est ici particuli\u00e8rement important. Une faiblesse dans les contr\u00f4les num\u00e9riques peut compromettre non seulement la continuit\u00e9 op\u00e9rationnelle, mais \u00e9galement la surveillance des transactions, le filtrage des sanctions, la connaissance du client ou la d\u00e9tection des fraudes. Les risques op\u00e9rationnels et les risques de criminalit\u00e9 financi\u00e8re peuvent par cons\u00e9quent se renforcer mutuellement. Le reporting \u00e0 la direction doit rendre cette interaction visible afin que les d\u00e9cisions relatives aux risques ne soient pas prises isol\u00e9ment dans des fonctions distinctes. Une gouvernance efficace signifie, dans ce contexte, que votre organisation peut d\u00e9montrer quels risques num\u00e9riques elle supporte, pourquoi certains risques sont accept\u00e9s et comment elle veille \u00e0 ce que cette acceptation reste compatible avec les exigences juridiques, r\u00e9glementaires et soci\u00e9tales.<\/p>

Enqu\u00eates de supervision, exposition aux mesures d\u2019ex\u00e9cution et d\u00e9fense proc\u00e9durale<\/h4>

La supervision de la r\u00e9silience op\u00e9rationnelle num\u00e9rique \u00e9volue d\u2019une approche principalement centr\u00e9e sur les politiques vers une appr\u00e9ciation beaucoup plus factuelle de l\u2019efficacit\u00e9 d\u00e9montrable des dispositifs de ma\u00eetrise. Lorsqu\u2019une autorit\u00e9 de supervision soul\u00e8ve des questions concernant la conformit\u00e9 \u00e0 NIS2, \u00e0 la loi sur la cybers\u00e9curit\u00e9, \u00e0 DORA ou \u00e0 des obligations sectorielles connexes, son examen ne se limite donc g\u00e9n\u00e9ralement pas aux politiques \u00e9crites. Il peut s\u2019\u00e9tendre aux configurations techniques, registres d\u2019incidents, d\u00e9cisions de la direction, contrats fournisseurs, r\u00e9sultats de tests, constats d\u2019audit, plans de r\u00e9tablissement, acceptations de risques et modalit\u00e9s selon lesquelles les d\u00e9ficiences connues ont \u00e9t\u00e9 corrig\u00e9es. Pour votre organisation, il est donc essentiel de traiter d\u00e8s le premier contact une enqu\u00eate de supervision comme un processus \u00e0 la fois juridique et factuel. Quelles informations sont demand\u00e9es, sur quel fondement juridique, pour quelle p\u00e9riode, concernant quelle entit\u00e9 juridique et dans quel objectif de supervision ? Une communication trop large ou insuffisamment contr\u00f4l\u00e9e peut involontairement ouvrir de nouveaux axes d\u2019investigation ou fusionner des probl\u00e9matiques factuelles distinctes. \u00c0 l\u2019inverse, une posture excessivement d\u00e9fensive peut d\u00e9t\u00e9riorer la relation avec le superviseur et donner l\u2019impression que certaines informations sont retenues. L\u2019approche la plus solide combine une coop\u00e9ration transparente avec un contr\u00f4le rigoureux des faits, une d\u00e9limitation juridique pr\u00e9cise et une communication coh\u00e9rente.<\/p>

La reconstitution des \u00e9v\u00e9nements devient particuli\u00e8rement importante lorsqu\u2019une enqu\u00eate de supervision intervient \u00e0 la suite d\u2019un incident concret. Un cyberincident grave ne signifie pas automatiquement que votre organisation a manqu\u00e9 \u00e0 ses obligations l\u00e9gales de diligence. Des syst\u00e8mes num\u00e9riques peuvent \u00eatre touch\u00e9s par des attaques sophistiqu\u00e9es, des vuln\u00e9rabilit\u00e9s jusque-l\u00e0 inconnues, des d\u00e9faillances fournisseurs ou une combinaison exceptionnelle de circonstances, malgr\u00e9 l\u2019existence de mesures de s\u00e9curit\u00e9 appropri\u00e9es. L\u2019analyse juridique doit donc porter sur les mesures en place avant l\u2019incident, les risques raisonnablement pr\u00e9visibles, les signaux d\u2019alerte disponibles, la rapidit\u00e9 de la r\u00e9ponse et les am\u00e9liorations mises en \u0153uvre apr\u00e8s l\u2019\u00e9v\u00e9nement. \u00c0 l\u2019inverse, l\u2019absence d\u2019incidents ant\u00e9rieurs ne d\u00e9montre pas que le dispositif de ma\u00eetrise \u00e9tait efficace. Votre organisation doit pouvoir montrer comment les d\u00e9cisions ont \u00e9t\u00e9 prises et quelles informations \u00e9taient disponibles \u00e0 chaque moment pertinent. Les chronologies, journaux d\u2019incidents, proc\u00e8s-verbaux des organes de direction, analyses de risques, r\u00e9sultats de tests et d\u00e9cisions de rem\u00e9diation peuvent devenir d\u00e9terminants. Il convient notamment de distinguer soigneusement les informations disponibles au moment de la d\u00e9cision de celles qui n\u2019ont \u00e9t\u00e9 connues qu\u2019ult\u00e9rieurement. Sans cette distinction, l\u2019analyse du superviseur peut \u00eatre influenc\u00e9e par un biais r\u00e9trospectif donnant l\u2019impression qu\u2019un risque \u00e9tait beaucoup plus pr\u00e9visible avant l\u2019incident qu\u2019il ne l\u2019\u00e9tait r\u00e9ellement. Une d\u00e9fense proc\u00e9durale robuste doit donc montrer quels faits \u00e9taient connus \u00e0 chaque \u00e9tape d\u00e9cisionnelle, quelles incertitudes subsistaient et pourquoi certaines d\u00e9cisions \u00e9taient raisonnablement d\u00e9fendables dans ces circonstances.<\/p>

Lorsqu\u2019une autorit\u00e9 envisage des mesures d\u2019ex\u00e9cution, les questions de proportionnalit\u00e9, d\u2019imputabilit\u00e9, de preuve, de causalit\u00e9 et d\u2019\u00e9quit\u00e9 proc\u00e9durale deviennent centrales. Votre organisation doit \u00eatre capable de distinguer une violation pr\u00e9cise d\u2019une obligation l\u00e9gale, une am\u00e9lioration de contr\u00f4le qui aurait pu \u00eatre souhaitable sans \u00eatre juridiquement obligatoire, une d\u00e9faillance op\u00e9rationnelle isol\u00e9e et une insuffisance structurelle relevant de sa sph\u00e8re de contr\u00f4le. Le r\u00f4le des prestataires externes peut \u00e9galement \u00eatre pertinent. Si l\u2019externalisation n\u2019\u00e9limine pas la responsabilit\u00e9 de votre organisation, la cause concr\u00e8te d\u2019un incident peut n\u00e9anmoins influer sur l\u2019appr\u00e9ciation du degr\u00e9 de reproche et sur la proportionnalit\u00e9 des \u00e9ventuelles mesures. Les enqu\u00eates internes doivent donc \u00eatre organis\u00e9es avec rigueur, au moyen de questions d\u2019enqu\u00eate clairement d\u00e9finies, d\u2019une constatation contr\u00f4l\u00e9e des faits, d\u2019une protection appropri\u00e9e des communications juridiquement sensibles et d\u2019une distinction nette entre analyse technique, analyse juridique et responsabilit\u00e9 de gouvernance. La m\u00eame logique s\u2019applique lorsqu\u2019un incident pr\u00e9sente des liens avec la fraude, la manipulation de donn\u00e9es, l\u2019abus de moyens de paiement ou d\u2019autres formes de criminalit\u00e9 financi\u00e8re. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re<\/strong> peut alors contribuer \u00e0 relier les cyberincidents, les contr\u00f4les internes, les risques transactionnels et les sch\u00e9mas potentiels d\u2019abus au sein d\u2019un m\u00eame ensemble factuel. Votre organisation peut ainsi non seulement r\u00e9pondre aux interrogations du superviseur, mais \u00e9galement d\u00e9montrer que les mesures correctrices ont \u00e9t\u00e9 int\u00e9gr\u00e9es de mani\u00e8re structurelle et que les risques sous-jacents ont r\u00e9ellement \u00e9t\u00e9 r\u00e9duits.<\/p>

Gouvernance int\u00e9gr\u00e9e de la r\u00e9silience num\u00e9rique, rem\u00e9diation et continuit\u00e9 institutionnelle<\/h4>

La r\u00e9silience op\u00e9rationnelle num\u00e9rique atteint son niveau d\u2019efficacit\u00e9 le plus \u00e9lev\u00e9 lorsque la cybers\u00e9curit\u00e9, la gestion de la continuit\u00e9, la gestion des risques TIC, la gestion des fournisseurs, la conformit\u00e9 juridique, la protection des donn\u00e9es, la ma\u00eetrise de la criminalit\u00e9 financi\u00e8re et la gestion de crise ne fonctionnent pas comme des disciplines isol\u00e9es mais sont reli\u00e9es au sein d\u2019un dispositif coh\u00e9rent de gouvernance. Cela ne signifie pas que l\u2019ensemble des r\u00e9gimes juridiques ou des fonctions sp\u00e9cialis\u00e9es doivent \u00eatre fusionn\u00e9s en une seule proc\u00e9dure uniforme. NIS2, la loi sur la cybers\u00e9curit\u00e9, DORA, le droit de la protection des donn\u00e9es, les exigences sectorielles de supervision et les obligations contractuelles disposent chacun de leur propre champ d\u2019application et de leurs propres exigences juridiques. Le d\u00e9fi de gouvernance consiste \u00e0 respecter ces diff\u00e9rences tout en cr\u00e9ant une vision unique et fiable des services critiques, des d\u00e9pendances mat\u00e9rielles, des risques significatifs, des incidents, des actions correctrices et des responsables identifi\u00e9s. Votre organisation doit ainsi pouvoir d\u00e9terminer, au moyen d\u2019un dispositif int\u00e9gr\u00e9 de gouvernance, quels risques sont pertinents \u00e0 l\u2019\u00e9chelle de l\u2019entreprise puis, pour chaque r\u00e9gime juridique, quelles obligations pr\u00e9cises s\u2019appliquent. Cette approche permet d\u2019\u00e9viter \u00e0 la fois la fragmentation et une simplification juridique excessive.<\/p>

La gouvernance de la rem\u00e9diation constitue un \u00e9l\u00e9ment essentiel de ce dispositif. Les constats d\u2019audit, analyses post-incident, r\u00e9sultats de tests, observations des superviseurs, \u00e9valuations de fournisseurs et analyses internes de risques g\u00e9n\u00e8rent continuellement des actions d\u2019am\u00e9lioration. Lorsque ces constats sont g\u00e9r\u00e9s au moyen de syst\u00e8mes, comit\u00e9s et fonctions distincts, la visibilit\u00e9 globale peut dispara\u00eetre et des d\u00e9ficiences similaires peuvent \u00eatre enregistr\u00e9es plusieurs fois sans que leur cause fondamentale soit v\u00e9ritablement trait\u00e9e. Votre organisation doit donc disposer d\u2019un processus int\u00e9gr\u00e9 de rem\u00e9diation dans lequel les constats sont classifi\u00e9s selon leur gravit\u00e9, le service m\u00e9tier critique affect\u00e9, leur pertinence juridique, leur cause racine et leurs liens avec d\u2019autres probl\u00e8mes. Des responsables, d\u00e9lais, d\u00e9pendances et crit\u00e8res d\u2019acceptation doivent ensuite \u00eatre d\u00e9finis. Une mesure correctrice ne doit \u00eatre consid\u00e9r\u00e9e comme achev\u00e9e que lorsqu\u2019il a \u00e9t\u00e9 \u00e9tabli non seulement qu\u2019un changement a \u00e9t\u00e9 administrativement mis en \u0153uvre, mais \u00e9galement que ce changement fonctionne effectivement. Une validation ind\u00e9pendante peut \u00eatre appropri\u00e9e pour les d\u00e9ficiences critiques. Les mesures compensatoires temporaires doivent \u00e9galement faire l\u2019objet d\u2019un suivi explicite afin d\u2019\u00e9viter que des solutions d\u2019urgence deviennent silencieusement permanentes. Une gouvernance centralis\u00e9e de la rem\u00e9diation fournit en outre \u00e0 la direction une meilleure compr\u00e9hension des tendances structurelles, des causes r\u00e9currentes et des domaines dans lesquels la r\u00e9duction des risques progresse trop lentement.<\/p>

La continuit\u00e9 institutionnelle va enfin bien au-del\u00e0 de la restauration d\u2019un syst\u00e8me ou d\u2019un processus isol\u00e9. Votre organisation doit pouvoir r\u00e9sister \u00e0 des situations dans lesquelles la technologie, les fournisseurs, le personnel, les sites physiques et la capacit\u00e9 de prise de d\u00e9cision sont simultan\u00e9ment sous pression. Cela exige une redondance suffisante en mati\u00e8re de connaissances, de pouvoirs, de donn\u00e9es, de canaux de communication et de capacit\u00e9 d\u00e9cisionnelle critique. Les fonctions cl\u00e9s doivent pouvoir \u00eatre remplac\u00e9es, les informations essentielles doivent rester accessibles pendant une perturbation grave et les d\u00e9cisions de crise doivent pouvoir \u00eatre prises m\u00eame lorsque les syst\u00e8mes habituels ou les lieux de travail ordinaires ne sont plus disponibles. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re<\/strong> doit \u00eatre pleinement int\u00e9gr\u00e9e \u00e0 cette conception de la continuit\u00e9. L\u2019indisponibilit\u00e9 de la surveillance des transactions, de la connaissance du client, du filtrage des sanctions, des contr\u00f4les de paiement ou de la d\u00e9tection des fraudes peut g\u00e9n\u00e9rer des risques suppl\u00e9mentaires de criminalit\u00e9 financi\u00e8re pr\u00e9cis\u00e9ment lorsque l\u2019attention op\u00e9rationnelle est mobilis\u00e9e par d\u2019autres priorit\u00e9s. Les plans de continuit\u00e9 doivent donc d\u00e9terminer explicitement quels contr\u00f4les d\u2019int\u00e9grit\u00e9 doivent rester disponibles \u00e0 un niveau minimal et quelles mesures de surveillance renforc\u00e9es doivent \u00eatre appliqu\u00e9es lorsque les contr\u00f4les ordinaires sont temporairement d\u00e9grad\u00e9s. L\u2019objectif final est que votre organisation ne soit pas seulement capable de r\u00e9sister \u00e0 une perturbation num\u00e9rique, mais qu\u2019elle puisse d\u00e9montrer qu\u2019elle conserve, sous pression, la ma\u00eetrise de ses services critiques, de ses obligations juridiques, de son int\u00e9grit\u00e9 financi\u00e8re et de sa prise de d\u00e9cision. La r\u00e9silience op\u00e9rationnelle num\u00e9rique devient ainsi une comp\u00e9tence institutionnelle permanente : non seulement destin\u00e9e \u00e0 pr\u00e9venir les incidents, mais \u00e9galement \u00e0 prot\u00e9ger la continuit\u00e9, la s\u00e9curit\u00e9 juridique, la confiance et la fiabilit\u00e9 institutionnelle lorsque l\u2019environnement num\u00e9rique est profond\u00e9ment perturb\u00e9.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"

La r\u00e9silience op\u00e9rationnelle num\u00e9rique ne constitue plus, pour votre organisation, une simple probl\u00e9matique technique portant sur la cybers\u00e9curit\u00e9, la disponibilit\u00e9 des r\u00e9seaux, les sauvegardes, les contr\u00f4les d\u2019acc\u00e8s ou la restauration des syst\u00e8mes d\u2019information et de communication. La question centrale de gouvernance consiste d\u00e9sormais \u00e0 d\u00e9terminer si votre organisation demeure capable, dans des circonstances de perturbation num\u00e9rique grave, de prot\u00e9ger, maintenir et r\u00e9tablir ses fonctions essentielles ou importantes de mani\u00e8re ma\u00eetris\u00e9e, v\u00e9rifiable et juridiquement d\u00e9fendable, tout en \u00e9tant en mesure de rendre compte des d\u00e9cisions prises avant, pendant et apr\u00e8s l\u2019incident. Ce d\u00e9placement du centre de gravit\u00e9 est fondamental. Une organisation<\/p>\n","protected":false},"author":1,"featured_media":36549,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[479],"tags":[],"class_list":["post-36567","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-ia-resilience-numerique"],"acf":[],"_links":{"self":[{"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/posts\/36567","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/comments?post=36567"}],"version-history":[{"count":7,"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/posts\/36567\/revisions"}],"predecessor-version":[{"id":36574,"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/posts\/36567\/revisions\/36574"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/media\/36549"}],"wp:attachment":[{"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/media?parent=36567"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/categories?post=36567"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/tags?post=36567"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}