Comment construire un cadre de gestion des risques ICT conforme à DORA en utilisant l'IA

Aperçu

Vous apprendrez à construire un cadre complet de gestion des risques ICT qui satisfait les Articles 6-16 de DORA en utilisant l'IA. Ce guide couvre la structure complète du cadre, de la gouvernance et l'identification des risques à la protection, la détection, la réponse, la récupération et l'amélioration continue, avec des invites ISMS Copilot spécifiques pour générer chaque composant.

À qui s'adresse ce guide

Ce guide est destiné à :

• Les RSSI et les responsables des risques IT qui construisent ou améliorent des cadres de gestion des risques ICT pour la conformité à DORA
• Les responsables de la conformité chargés de documenter les politiques et procédures de gestion des risques ICT
• Les consultants développant des cadres conformes à DORA pour des clients du secteur financier
• Les membres des comités de risque et les membres de l'organe de direction supervisant la gouvernance des risques ICT
• Les auditeurs internes évaluant l'adéquation des dispositifs de gestion des risques ICT

Avant de commencer

Vous aurez besoin de :

• Un compte ISMS Copilot (essai gratuit disponible)
• L'achèvement des étapes fondamentales dans Comment démarrer la mise en œuvre de DORA en utilisant l'IA, y compris l'évaluation du périmètre et l'analyse des écarts
• Votre documentation existante sur la gestion des risques ICT (politiques, registres des risques, inventaires des actifs) pour la comparaison des écarts
• Une compréhension de votre paysage ICT (applications, infrastructure, services cloud, topologie réseau)
• L'accès aux parties prenantes clés : RSSI, CRO, opérations IT, responsable de la continuité d'activité

Comprendre les exigences de DORA en matière de gestion des risques ICT

Analyse article par article

Le Chapitre II de DORA (Articles 5-16) établit les exigences les plus détaillées en matière de gestion des risques ICT dans la réglementation des services financiers de l'UE. Comprendre les exigences spécifiques de chaque article est essentiel avant de construire votre cadre :

Article

Titre

Exigences clés

Livrables clés

Art 5

Gouvernance et organisation

L'organe de direction définit, approuve et supervise le cadre de risque ICT

Mandat du conseil, charte de gouvernance, programme de formation

Art 6

Cadre de gestion des risques ICT

Cadre complet et documenté avec stratégies, politiques, procédures

Document du cadre, stratégie de risque ICT, processus de révision annuelle

Art 7

Systèmes, protocoles et outils ICT

Maintenance et mise à jour de systèmes ICT fiables et résilients

Normes des systèmes, politiques de mise à jour, gestion de la capacité

Art 8

Identification

Identifier, classifier et documenter tous les actifs, risques et dépendances ICT

Registre des actifs ICT, registre des risques, cartes des dépendances

Art 9

Protection et prévention

Politiques de sécurité ICT, contrôles d'accès, chiffrement, gestion des correctifs

Suite de politiques de sécurité, procédures de contrôle d'accès, normes de chiffrement

Art 10

Détection

Mécanismes pour détecter les activités anormales et les incidents ICT

Stratégie de surveillance, configuration SIEM, procédures d'alerte

Art 11

Réponse et récupération

Politique de continuité d'activité ICT, plans de reprise après sinistre, plans de communication

PCA, PRA, plan de communication de crise, stratégie de sauvegarde

Art 12

Politiques et procédures de sauvegarde

Politiques de sauvegarde et de restauration, tests des sauvegardes, sites de récupération séparés

Politique de sauvegarde, procédures de restauration, enregistrements de tests

Art 13

Apprentissage et évolution

Revues post-incident, formation obligatoire, divulgations de vulnérabilités

Processus de revue post-incident, programme de formation, registre des leçons apprises

Art 14

Communication

Plans de communication de crise, politiques de divulgation responsable

Politique de communication, procédures de divulgation, modèles de notification publique

Art 15

Harmonisation supplémentaire des outils de gestion des risques ICT

Normes techniques réglementaires spécifiant les détails du cadre

Cartographie de la conformité aux RTS, mise en œuvre technique

Art 16

Cadre simplifié de gestion des risques ICT

Exigences proportionnées pour les petites entités éligibles

Document de cadre simplifié (le cas échéant)

La structure du cadre

DORA exige que votre cadre de gestion des risques ICT suive un cycle de vie spécifique : Identifier, Protéger, Détecter, Répondre, Récupérer, Apprendre. Cela reflète les cadres de cybersécurité établis (comme le NIST CSF) mais ajoute des exigences spécifiques à DORA en matière de gouvernance, de proportionnalité et de reporting réglementaire.

Utilisez ISMS Copilot pour comprendre comment votre cadre existant s'aligne sur ce cycle de vie :

"Comparez le cycle de vie de la gestion des risques ICT de DORA (Identifier, Protéger, Détecter, Répondre, Récupérer, Apprendre) des Articles 6-16 avec notre cadre existant [ISO 27001 / NIST CSF / Lignes directrices de l'ABE]. Pour chaque phase du cycle de vie, identifiez : quels contrôles existants satisfont déjà DORA, où DORA ajoute des exigences spécifiques au-delà de notre cadre actuel, et quels nouveaux documents ou processus nous devons créer."

Étape 1 : Établir le document du cadre de gestion des risques ICT

Structure et gouvernance du cadre

L'Article 6 exige un cadre de gestion des risques ICT complet et documenté. Il s'agit du document principal qui relie toutes les politiques, procédures et processus tout au long du cycle de vie.

1. Ouvrez votre espace de travail DORA dans ISMS Copilot

2. Générez le document du cadre :

   "Créez un document complet de Cadre de Gestion des Risques ICT pour un [type d'entité] qui satisfait l'Article 6 de DORA. Incluez : objectif et périmètre, structure de gouvernance (liée aux responsabilités de l'organe de direction de l'Article 5), stratégie et objectifs de gestion des risques ICT, niveaux d'appétence et de tolérance au risque, composants du cadre (identification, protection, détection, réponse, récupération, apprentissage), intégration avec la gestion globale des risques de l'entreprise, rôles et responsabilités (RSSI, CRO, fonction de risque ICT, première/deuxième/troisième ligne), procédures de révision et de mise à jour (au moins annuelle, et après des incidents majeurs conformément à l'Article 6(5)), et métriques d'efficacité du cadre. Référencez des articles spécifiques de DORA pour chaque section."

3. Définissez la stratégie de risque ICT :

   "Rédigez une stratégie de risque ICT pour notre [type d'entité] comme requis par l'Article 6(8) de DORA. Incluez : objectifs stratégiques de risque ICT alignés sur la stratégie commerciale, seuils de tolérance au risque approuvés par l'organe de direction, approche de la méthodologie d'évaluation des risques ICT, stratégie d'allocation des ressources pour la sécurité ICT, indicateurs clés de risque (KRI) et fréquence de reporting, et intégration avec les initiatives de transformation numérique. Rendez-la adaptée à l'approbation par l'organe de direction."

Fonction d'audit ICT interne

L'Article 6(6) exige que le cadre de gestion des risques ICT soit audité régulièrement par des auditeurs ICT. Utilisez ISMS Copilot pour établir cette fonction :

"Définissez les exigences de la fonction d'audit ICT interne pour l'Article 6(6) de DORA. Incluez : charte d'audit ICT, exigences d'indépendance et d'objectivité, univers d'audit couvrant tous les composants du cadre de gestion des risques ICT, méthodologie de planification d'audit basée sur les risques, fréquence d'audit (au moins annuelle pour les domaines clés), reporting à l'organe de direction et au comité d'audit, et procédures de suivi des constatations d'audit. Fournissez un exemple de plan annuel d'audit ICT."

Étape 2 : Identification et classification des actifs ICT (Article 8)

Construction de votre inventaire des actifs ICT

L'Article 8 exige que vous identifiiez, classifiiez et documentiez tous les actifs, ressources et leurs interconnexions ICT. Cet inventaire constitue la base de l'évaluation des risques, de la classification des incidents et de la gestion des risques liés aux tiers.

1. Générez la structure de l'inventaire des actifs :

   "Créez un modèle d'inventaire des actifs ICT qui satisfait les exigences de l'Article 8 de DORA. Incluez des colonnes pour : identifiant de l'actif, nom et description de l'actif, catégorie de l'actif (matériel, logiciel, données, réseau, service cloud, service tiers), propriétaire de l'actif, fonction métier supportée, classification de criticité (critique, important, standard), exigences de confidentialité/intégrité/disponibilité, emplacement physique et logique, interconnexions et dépendances avec d'autres actifs, fournisseurs ICT tiers de support, objectif de temps de récupération (RTO) et objectif de point de récupération (RPO), date de la dernière revue. Fournissez des critères de classification pour chaque champ et des exemples d'entrées pour un [type d'entité]."

2. Cartographiez les dépendances des actifs ICT :

   "Créez une méthodologie de cartographie des dépendances ICT pour l'Article 8(1) de DORA. Nos fonctions métier critiques incluent [liste des fonctions]. Pour chaque fonction, aidez-nous à identifier : les systèmes et applications ICT qui la supportent, les composants d'infrastructure (serveurs, réseaux, stockage), les flux de données et les référentiels de données, les services et fournisseurs ICT tiers, les points uniques de défaillance et les risques de concentration. Fournissez un modèle pour documenter ces dépendances visuellement et sous forme tabulaire."

3. Classez les actifs ICT par criticité :

   "Définissez des critères de classification des actifs ICT pour la conformité à DORA. Créez un schéma de classification avec des niveaux (Critique, Important, Standard) basé sur : l'impact sur la fourniture de services financiers en cas de perturbation, les obligations de reporting réglementaire déclenchées, le nombre de clients/contreparties affectés, la sensibilité des données, les exigences de temps de récupération, et l'interconnexion avec d'autres actifs critiques. Fournissez des arbres de décision et des exemples pour un [type d'entité]."

Identification et évaluation des risques ICT

Avec votre inventaire des actifs complet, effectuez une évaluation systématique des risques pour les actifs ICT identifiés :

"Créez une méthodologie et un modèle d'évaluation des risques ICT alignés sur l'Article 8 de DORA. Pour chaque actif ICT critique et important, évaluez : les scénarios de menace (cyberattaques, défaillances de système, catastrophes naturelles, erreurs humaines, défaillances de tiers), les vulnérabilités (techniques, procédurales, organisationnelles), les contrôles existants et leur efficacité, la probabilité d'occurrence (échelle de 1 à 5 avec critères), l'impact sur les fonctions métier, les clients et la conformité réglementaire (échelle de 1 à 5 avec critères), le score de risque résiduel et le niveau de risque, le propriétaire du risque et la décision de traitement (atténuer, accepter, transférer, éviter), les actions de traitement et le calendrier. Incluez les points d'intégration avec notre registre des risques d'entreprise."

Étape 3 : Mesures de protection et de prévention (Article 9)

Développement des politiques de sécurité ICT

L'Article 9 impose aux entités financières de développer et de documenter des politiques de sécurité ICT couvrant la gestion des accès, le chiffrement, la sécurité réseau et la gestion des changements. Ces politiques doivent être proportionnées à votre profil de risque.

1. Générez la suite de politiques de sécurité ICT :

   "Créez une politique de sécurité ICT complète pour un [type d'entité] satisfaisant l'Article 9 de DORA. Structurez la politique pour couvrir : la gouvernance et les objectifs de la sécurité de l'information, le contrôle d'accès et la gestion des identités (y compris l'accès privilégié, l'authentification multifactorielle et le principe du moindre privilège), la sécurité réseau (segmentation, protection périmétrique, prévention des intrusions), le chiffrement et les contrôles cryptographiques (données au repos, en transit, gestion des clés), la gestion des changements ICT (tests, approbation, procédures de retour arrière), les délais de correction des vulnérabilités et de gestion des correctifs, la sécurité physique et environnementale des actifs ICT, les exigences du cycle de vie de développement sécurisé, la protection des terminaux et la gestion des appareils mobiles, et les mesures de prévention des fuites de données. Pour chaque domaine, référencez l'article spécifique de DORA et fournissez des conseils de mise en œuvre proportionnés à une organisation de [taille d'entité]."

2. Créez des procédures de contrôle d'accès :

   "Développez des procédures détaillées de contrôle d'accès pour l'Article 9(4) de DORA. Incluez : les workflows de provisionnement et de déprovisionnement des utilisateurs, la conception du contrôle d'accès basé sur les rôles (RBAC), les exigences de gestion des accès privilégiés (PAM), les procédures de revue des accès (fréquence, périmètre, documentation), les normes d'authentification (exigences MFA, politiques de mots de passe), les contrôles de sécurité pour l'accès à distance, la gestion des comptes de service, et les exigences de journalisation et de surveillance des accès. Fournissez des modèles de procédures avec des instructions étape par étape."

3. Établissez des procédures de gestion des correctifs :

   "Créez une politique et une procédure de gestion des correctifs ICT pour la conformité à DORA. Incluez : la fréquence de balayage des vulnérabilités, la classification des correctifs (critique, élevé, moyen, faible) avec les délais de correction correspondants, les procédures de test avant déploiement, le processus de correction d'urgence pour les vulnérabilités zero-day, le suivi des correctifs et le reporting de conformité, la gestion des exceptions pour les systèmes qui ne peuvent pas être corrigés, et l'intégration avec votre processus de gestion des changements. Fournissez des KPI pour le reporting de conformité des correctifs à l'organe de direction."

Normes et résilience des systèmes ICT (Article 7)

L'Article 7 exige que les systèmes ICT soient résilients, fiables et disposent d'une capacité suffisante. Utilisez ISMS Copilot pour développer les normes de support :

"Créez des normes et exigences pour les systèmes ICT conformément à l'Article 7 de DORA. Incluez : les cibles de fiabilité et de disponibilité des systèmes pour les fonctions critiques, les procédures de gestion de la capacité (surveillance, planification, mise à l'échelle), les politiques de mise à jour et de maintenance des systèmes, la gestion de l'obsolescence technologique, les normes de gestion de la configuration, la séparation des environnements (production, test, développement), et les exigences pour les systèmes supportant des fonctions critiques ou importantes. Fournissez un format de liste de contrôle de conformité."

Étape 4 : Capacités de détection (Article 10)

Construction de votre stratégie de détection et de surveillance

L'Article 10 exige des mécanismes pour détecter rapidement les activités anormales, y compris les problèmes de performance du réseau ICT et les incidents ICT. Vos capacités de détection doivent être proportionnées à l'importance des actifs ICT surveillés.

1. Concevez la stratégie de détection :

   "Créez une stratégie complète de détection et de surveillance ICT pour un [type d'entité] satisfaisant l'Article 10 de DORA. Incluez : l'architecture de surveillance (composants SIEM, EDR, NDR, UEBA), les sources de données à surveiller (trafic réseau, journaux système, journaux d'application, événements d'authentification, activité des bases de données, journaux des services cloud), les cas d'utilisation de détection priorisés par risque (accès non autorisé, exfiltration de données, malware, DDoS, menaces internes, anomalies des tiers), la classification et les niveaux de gravité des alertes, les règles de corrélation et les bases de référence comportementales, les exigences de couverture de surveillance 24/7, et l'intégration avec la classification des incidents selon l'Article 17 de DORA. Fournissez des priorités de mise en œuvre pour une organisation de [taille]."

2. Définissez les procédures de détection des anomalies :

   "Développez des procédures opérationnelles pour la détection des anomalies ICT selon l'Article 10 de DORA. Incluez : comment les anomalies sont identifiées (alertes automatisées, revue manuelle, flux de renseignements sur les menaces), le processus de tri initial (qui examine, cibles de temps de réponse, critères d'escalade), la gestion des faux positifs, les exigences de documentation pour les anomalies détectées, les procédures de transfert à l'équipe de réponse aux incidents, et le réglage continu des règles de détection en fonction des changements du paysage des menaces. Fournissez un modèle de procédure avec les rôles et responsabilités."

Étape 5 : Procédures de réponse et de récupération (Articles 11-12)

Gestion de la continuité d'activité ICT

Les Articles 11 et 12 établissent des exigences détaillées pour la continuité d'activité, la reprise après sinistre et la gestion des sauvegardes. Celles-ci doivent couvrir des scénarios incluant des perturbations ICT sévères, des cyberattaques et des défaillances des fournisseurs tiers.

1. Créez la politique de continuité d'activité ICT :

   "Développez une Politique de Continuité d'Activité ICT pour un [type d'entité] satisfaisant l'Article 11 de DORA. Incluez : les objectifs et le périmètre de la politique, la gouvernance (exigence d'approbation par l'organe de direction), la méthodologie d'analyse d'impact sur les activités (BIA) pour les services ICT, les stratégies de continuité pour chaque fonction métier critique, les objectifs de temps de récupération (RTO) et les objectifs de point de récupération (RPO) par fonction, les plans de continuité pour les scénarios : cyberattaque, défaillance de système, panne de centre de données, défaillance d'un fournisseur tiers critique, catastrophe naturelle, pandémie, les plans de communication (interne, clients, autorités compétentes, public), les rôles et responsabilités lors d'un événement de continuité, les critères d'activation du plan et les procédures d'escalade, les exigences de test (fréquence, périmètre, types de tests), le cycle de maintenance et de révision du plan (au moins annuel). Référencez les exigences de l'Article 11 de DORA tout au long."

2. Développez les procédures de reprise après sinistre :

   "Créez des Plans de Reprise après Sinistre ICT pour notre [type d'entité] couvrant [liste des systèmes critiques]. Pour chaque système critique, documentez : la description du système et les fonctions métier supportées, l'équipe de récupération et les coordonnées, les procédures de récupération (étape par étape), les mécanismes de basculement et les sites de traitement alternatifs, les procédures de restauration des données à partir des sauvegardes, la vérification de l'intégrité après restauration, les exigences de communication pendant la récupération, les critères pour déclarer la récupération terminée, et les procédures de revue post-récupération. Alignez les RTO et RPO avec notre politique de continuité d'activité."

3. Établissez les politiques et procédures de sauvegarde (Article 12) :

   "Créez des politiques et procédures complètes de sauvegarde et de restauration pour l'Article 12 de DORA. Incluez : le périmètre des sauvegardes (toutes les données, configurations, logiciels nécessaires pour restaurer les opérations), la fréquence des sauvegardes par classification des données et RPO, les méthodes de sauvegarde (complète, incrémentielle, différentielle), les exigences de stockage sécurisé (site secondaire géographiquement séparé conformément à l'Article 12(1)), le chiffrement des données de sauvegarde, les procédures et la fréquence de test de l'intégrité des sauvegardes, les procédures de test de restauration (au moins annuel conformément à l'Article 12(2)), la surveillance et l'alerte des sauvegardes, les exigences de documentation et de journalisation, et les procédures de sauvegarde des systèmes hébergés par des fournisseurs tiers. Spécifiez les exigences pour le site de sauvegarde physiquement et logiquement séparé."

Communication de crise (Article 14)

L'Article 14 exige des plans de communication de crise dédiés. Générez ceux-ci en utilisant ISMS Copilot :

"Développez un plan de communication de crise ICT pour l'Article 14 de DORA. Incluez : la gouvernance de la communication (qui autorise les communications externes), la matrice de communication des parties prenantes (organe de direction, employés, clients, contreparties, autorités compétentes, médias, public), les modèles de communication pour différents niveaux de gravité des incidents, la politique de divulgation responsable des vulnérabilités ICT, les procédures de coordination avec les autorités compétentes pendant les incidents, les protocoles de relations publiques et de médias sociaux, le porte-parole désigné et son remplaçant, et la journalisation et l'archivage des communications. Fournissez des modèles de messages pour les scénarios d'incidents ICT majeurs."

Étape 6 : Apprentissage et évolution (Article 13)

Processus de revue post-incident

L'Article 13 exige que les entités financières tirent des leçons des incidents ICT, des résultats des tests et des vulnérabilités. Cela crée un cycle d'amélioration continue qui renforce votre cadre au fil du temps.

1. Établissez le processus de revue post-incident :

   "Créez une procédure de revue post-incident pour l'Article 13 de DORA. Incluez : les critères de déclenchement (quels incidents nécessitent une revue formelle), le calendrier de la revue (dans les [X] semaines suivant la clôture de l'incident), les participants à la revue (répondants à l'incident, gestion des risques, zones métier affectées, direction), le modèle de revue couvrant : la chronologie de l'incident, l'analyse des causes racines (techniques et organisationnelles), l'évaluation de l'efficacité des contrôles, les lacunes dans la détection ou la réponse, l'impact sur les clients et les fonctions métier, la précision du reporting réglementaire, les leçons apprises et les actions d'amélioration, le suivi des actions (responsable, délai, priorité), les exigences de reporting à l'organe de direction, et l'intégration des leçons dans les mises à jour du cadre de gestion des risques ICT. Fournissez un modèle de rapport de revue post-incident."

2. Construisez le programme d'amélioration continue :

   "Concevez un programme d'amélioration continue pour le cadre de gestion des risques ICT selon l'Article 13 de DORA. Incluez : les entrées du cycle d'amélioration (revues post-incident, résultats des tests, constatations d'audit, orientations réglementaires, renseignements sur les menaces, changements technologiques), la gouvernance des actions d'amélioration (comment les actions sont priorisées, approuvées, suivies), les métriques d'efficacité du cadre (tendances des incidents, temps de détection, temps de récupération, maturité des contrôles), le processus de revue annuelle du cadre pour l'organe de direction, et l'intégration avec les programmes de formation et de sensibilisation selon l'Article 13(6). Fournissez un modèle pour le rapport de revue annuelle du cadre."

Sensibilisation et formation à la sécurité ICT

L'Article 13(6) exige des programmes obligatoires de sensibilisation à la sécurité ICT et de formation à la résilience opérationnelle numérique. Développez ceux-ci avec ISMS Copilot :

"Créez un programme de sensibilisation et de formation à la sécurité ICT pour l'Article 13(6) de DORA. Incluez : l'analyse des besoins de formation par rôle (organe de direction, personnel ICT, tous les employés, sous-traitants tiers), les sujets de formation (sensibilisation aux risques ICT, obligations de déclaration des incidents, politiques de sécurité, ingénierie sociale, exigences spécifiques à DORA), les méthodes et la fréquence de livraison, le programme de formation aux risques ICT pour l'organe de direction (conformément à l'Article 5(4)), l'évaluation de l'efficacité de la formation, le suivi et l'archivage de la conformité, et le plan de formation annuel. Différenciez la sensibilisation générale et la formation technique spécifique aux rôles."

Étape 7 : Intégrer et valider le cadre complet

Référencement croisé des composants du cadre

Une fois que vous avez développé tous les composants du cadre, utilisez ISMS Copilot pour valider l'exhaustivité et la cohérence :

"Passez en revue les composants suivants du cadre de gestion des risques ICT pour l'exhaustivité de la conformité à DORA : [listez ou téléchargez votre document de cadre, politiques, procédures, modèles]. Pour chaque Article 5-16 de DORA, confirmez : si l'exigence est traitée, quel document la traite, si le traitement est adéquat pour un [type d'entité] de notre taille, les éventuelles lacunes ou incohérences entre les documents, et les exigences des Normes Techniques Réglementaires (RTS) en vertu de l'Article 15 qui ne sont pas encore traitées. Fournissez une matrice de conformité."

Préparation à l'examen réglementaire

Les autorités compétentes examineront votre cadre de gestion des risques ICT comme un domaine d'intérêt principal. Préparez votre dossier de preuves :

"Créez une liste de contrôle de préparation à l'examen de la gestion des risques ICT de DORA pour un [type d'entité]. Pour chaque Article 5-16, listez : les questions réglementaires attendues, les documents de preuve à préparer, les métriques et KPI clés à présenter, les constatations de déficiences courantes et comment les éviter, et les exigences de démonstration pour l'organe de direction (enregistrements de formation, procès-verbaux de réunions, preuves d'approbation). Priorisez en fonction de la probabilité de focus d'examen."

Prochaines étapes

Vous disposez maintenant d'un cadre complet de gestion des risques ICT couvrant toutes les exigences des Articles 6-16 de DORA :

• Document de cadre avec structure de gouvernance et stratégie de risque ICT
• Inventaire des actifs ICT avec classification et cartographie des dépendances
• Mesures de protection et de prévention avec une suite de politiques de sécurité
• Capacités de détection avec stratégie et procédures de surveillance
• Procédures de réponse et de récupération avec PCA, PRA et politiques de sauvegarde
• Programme d'apprentissage et d'évolution avec revue post-incident et formation

Poursuivez avec les prochains guides de cette série DORA :

• Comment mettre en œuvre le reporting des incidents DORA en utilisant l'IA -- Construisez sur vos capacités de détection et de réponse avec les exigences spécifiques de classification et de reporting des incidents de DORA
• Comment planifier les tests de résilience DORA en utilisant l'IA -- Concevez votre programme de tests pour valider les contrôles et procédures que vous avez établis dans ce cadre
• Comment gérer le risque ICT des tiers DORA en utilisant l'IA -- Étendez votre cadre de gestion des risques pour couvrir les fournisseurs ICT tiers identifiés dans votre inventaire des actifs

Pour des invites prêtes à l'emploi couvrant tous les aspects de la gestion des risques ICT, consultez la Bibliothèque d'invites pour la conformité DORA. Pour un aperçu réglementaire complet, reportez-vous au Guide de conformité DORA pour les entités financières.

Obtenir de l'aide

Pour un soutien supplémentaire dans la construction de votre cadre de gestion des risques ICT :

• Demandez à ISMS Copilot : Utilisez votre espace de travail DORA pour le développement et la révision itératifs des politiques
• Téléchargez les politiques existantes : Obtenez une analyse ciblée des écarts en téléchargeant la documentation actuelle sur les risques ICT pour comparaison avec les exigences de DORA
• Référencement croisé des cadres : Mappez les contrôles existants de l'ISO 27001 ou des Lignes directrices de l'ABE aux Articles 6-16 de DORA pour tirer parti des travaux antérieurs
• Validez les sorties : Passez en revue les documents de cadre générés par l'IA par rapport au texte du règlement DORA et aux Normes Techniques Réglementaires pertinentes avant l'approbation par l'organe de direction