Réponse aux incidents DORA : exercice de simulation pour le conseil

1. Testez les décisions, pas la capacité à réciter la législation

La décision difficile du conseil lors d’un incident technologique grave n’est guère « devons-nous le prendre au sérieux ? ». Il s’agit plutôt de décider d’arrêter un service, fonctionner avec des contrôles réduits, financer une alternative d’urgence ou communiquer alors que les faits sont incomplets. Un exercice de simulation anticipe ces tensions avant un véritable incident.

DORA Articles 17–19 décrit la gestion des incidents, leur classification et leur signalement. L’article 17 prévoit une escalade vers la direction concernée et une information de l’organe de gestion sur les incidents majeurs, leur impact, la réponse apportée et les mesures complémentaires. Cela ne fait pas du conseil d’administration le commandant opérationnel d’incident. L’exercice doit tester le bon alignement des responsabilités et de l’escalade.

Fixez trois résultats pratiques : une décision claire avec un responsable, une tâche de rapport avec une personne redevable et un compte-rendu expliquant les faits connus à ce moment-là. N’accordez pas la réussite simplement parce que tout le monde a assisté. Le résultat utile peut être de découvrir que personne ne peut accéder au portail de rapport en cas de panne du système d’identité.

L’exercice ci-dessous est un matériel de formation fictif. Il ne remplace pas les tests techniques de récupération, un programme complet de test de résilience ou des tests de pénétration menés selon les menaces. La durée de 90 minutes est un format suggéré, non un minimum réglementaire.

2. Séparez la classification, l’urgence et l’escalade au conseil

Un incident peut nécessiter l’attention de la direction avant que sa qualification réglementaire ne soit tranchée. À l’inverse, un incident majeur nécessitant un signalement peut exiger une notification rapide alors que la reprise progresse déjà. Aucune de ces décisions ne doit dépendre de la disponibilité du président pour valider un communiqué de presse.

Les règles de classification détaillées se trouvent dans Règlement délégué (UE) 2024/1772. L’article 8 combine les services critiques concernés et des conditions de matérialité spécifiques ; il ne s’agit pas d’une règle selon laquelle toute panne technique est automatiquement un incident majeur. Les règles traitent aussi les incidents récurrents. Utilisez une fiche de classification approuvée qui applique réellement les critères et seuils, plutôt qu’une notation improvisée de type « feux tricolores » en réunion.

Pour l’exercice, confiez à un participant conformité ou risque la responsabilité de la recommandation de classification et des faits justificatifs. Confiez au chef d’incident la priorité opérationnelle. Confiez à un responsable autorisé la préparation et la soumission de la notification concernée. Votre répartition réelle des responsabilités peut différer ; consignez-la par écrit avant la première simulation.

• Qu’est-ce qui est connu sur les services, clients, transactions et données affectés ?
• Quelle est l’estimation, sur quoi s’appuie-t-elle et quand sera-t-elle actualisée ?
• Quels critères de classification sont remplis, non remplis ou restent incertains ?
• Qui peut décider et agir si la personne habituellement responsable est indisponible ?

Consigner séparément l’horaire réel de la prise de conscience et l’horaire de classification. Un briefing exécutif ultérieur ne redémarre pas le compteur initial. De même, identifier un incident et conclure qu’il s’agit d’un incident majeur sont deux événements bien distincts à placer dans la chronologie.

3. Entraînez-vous aux horaires de reporting avec un exemple concret

Le résumé suivant concerne le signalement des incidents majeurs liés aux TIC selon Article 5 du Règlement délégué (UE) 2025/301. Utilisez le texte légal en vigueur et le processus de déclaration de votre autorité compétente pour signaler un incident.

Dans notre exemple fictif, la prise de conscience intervient mardi à 09h00 et la classification majeure à 10h00. Le délai ordinaire pour la notification initiale est fixé à 14h00 mardi, sous réserve de l'obligation de notifier dès que possible. Si la soumission a lieu à 11h30 mardi, la date limite du rapport intermédiaire à 72h court jusqu'à 11h30 vendredi. Un rapport intermédiaire ultérieur décale le point de départ du délai d’un mois pour le rapport final. Un mois ne signifie pas forcément 30 jours.

Il n’existe pas de suspension générale le week-end. Lorsque cela s’applique, l’article 5(4) autorise la soumission avant midi du jour ouvrable suivant si l’échéance tombe un week-end ou un jour férié dans l’État membre de l’entité déclarante. Le paragraphe 5 exclut les soumissions initiales et intermédiaires par les établissements de crédit, contreparties centrales, opérateurs de plates-formes de négociation et autres entités financières reconnues comme essentielles ou importantes selon la NIS2. Selon le paragraphe 6, les autorités peuvent également exclure d'autres entités significatives ou systémiques après leur notification ; cette décision s’applique aux incidents signalés postérieurement à la notification. Confirmez l’applicabilité avant de vous reposer sur cette dérogation.

En cas d’impossibilité de respecter une échéance, informer l’autorité compétente sans délai excessif et au plus tard à l’échéance concernée, en expliquant les raisons. Ce n’est pas une extension automatique.

4. Préparez la salle et les règles du jeu

Invitez la présidence ou le décideur exécutif délégué, un responsable de service métier, le responsable d’incident, les fonctions risques ou conformité, juridique, communication et un secrétaire. Ajoutez un représentant du management fournisseur si le service dépend d’une plateforme externe. Dans une petite organisation, une même personne peut jouer plusieurs rôles, mais il faut expliciter les responsabilités.

Envoyez un bref dossier de préparation : le service métier concerné, la carte d’escalade, les objectifs de reprise, le circuit de signalement, la liste de contacts actuelle et un journal de décisions vierge. Demandez aux participants d’utiliser les procédures réelles de l’organisation. L’animateur contrôle les faits fictifs et le déroulement de l’exercice. Le rapporteur consigne les décisions, et non la retranscription complète de chaque échange.

Séparez le temps d’exercice du temps de scénario. Une discussion de cinq minutes peut représenter une heure dans l’incident fictif, mais le facilitateur doit l’annoncer. Étiquetez chaque message et brouillon « EXERCICE ». N’envoyez pas de notifications d’entraînement à un régulateur, un client ou un fournisseur sans leur participation prévue. Utilisez une fausse voie de soumission sécurisée.

Notre entité fictive propose un service de paiement client via une plateforme de traitement externe. À 09h00 mardi, l’exploitation constate l’échec du traitement des paiements. La cause reste indéterminée. Pour cet exercice, l’organisation a évalué la fonction prise en charge comme critique ou importante. Les participants doivent malgré tout appliquer les critères de classification des incidents majeurs ; le simple fait que la fonction soit qualifiée ainsi ne suffit pas à décider du résultat.

5. Suivez cet agenda de 90 minutes

Cet ordre du jour privilégie la prise de décision à la présentation de diapositives. L’animateur doit interrompre toute spéculation technique excessive et demander une décision, un besoin d’information ou un suivi nommé. Ne cherchez pas à résoudre toutes les incertitudes : déterminer les preuves nécessaires fait partie de l’exercice.

Si une décision est reportée, le rédacteur doit consigner qui reviendra avec quelles preuves et pour quand. « Impliquer le service juridique » n'est pas une action accomplie si personne n'identifie le contact juridique, la question à poser ou le délai disponible. La même exigence s'applique à « contacter le prestataire » et « activer le plan de reprise ».

6. Utilisez trois injections qui imposent un véritable arbitrage

Inject 1 : le service tombe en panne, mais la cause est incertaine

À l'heure du scénario 09:15, les échecs de paiements augmentent. Le fournisseur reconnaît un problème de plateforme mais ne donne aucune estimation de rétablissement. Certains clients réessaient, ce qui crée un possible problème de rapprochement. L'équipe des opérations peut restreindre temporairement le traitement, mais cela interrompra les clients qui pourraient actuellement ne pas être concernés.

Demandez : quel préjudice client est limité et quel nouveau risque la restriction pourrait créer ? Qui est habilité à modifier le service ? Quels faits minimaux sont requis à présent ? Comment l’équipe distinguera-t-elle une opération simplement retardée de celle qui doit être relancée ? En sortie, attendez une décision opérationnelle bornée, un responsable nommé et un délai de revue, pas une supposition sur la cause technique.

Inject 2 : classification confirmée et rapporteur habituel indisponible

À l'heure du scénario 10:00, l'animateur fournit une évaluation montrant que la condition de services critiques affectés et les seuils de matérialité applicables sont atteints. Pour l'exercice, l'équipe autorisée classe l'incident comme majeur à 10:00. Le responsable habituel du reporting est indisponible. Le suppléant n’a jamais utilisé le portail de soumission et ne sait pas si son accès fonctionne.

Demandez aux participants d’identifier la voie de notification et de compléter une première déclaration fictive avec les informations disponibles. Mentionnez honnêtement les inconnues et assignez leur suivi. Quel est le délai initial ? Qui soumet ? Qui confirme la réception ? L’organisation peut-elle avancer sans attendre une prochaine réunion du conseil ? Utilisez Règlement d’exécution (UE) 2025/302 pour les modèles et procédures de reporting ; un journal de décisions d’exercice ne remplace pas le formulaire réglementaire.

Inject 3 : le prestataire annonce le retour du service, mais la confiance n’est pas totale

À l'heure du scénario 11:15, le fournisseur annonce que le traitement est rétabli. Le rapprochement interne n’a pas encore confirmé que les tentatives en double ont été traitées correctement. Un client majeur demande une assurance publique qu’aucun enregistrement n’a été affecté. Le propriétaire du service propose de rouvrir immédiatement ; le responsable de l’incident souhaite une validation supplémentaire.

Demandez quelles preuves justifient la réouverture et qui peut accepter le risque opérationnel résiduel. La reprise peut-elle s’effectuer par étapes ? Que peuvent annoncer précisément les communications maintenant ? Quelle mise à jour pour l’autorité compétente ? Fixez les conditions de retour à la normale, un valideur dédié et un prochain point d’avancement. Ne privilégiez pas la reprise la plus rapide si les participants ne savent pas expliquer comment seront contrôlés les dossiers clients.

7. Tenez un journal des décisions qui retrace la logique

Un bon journal permet de reconstituer le raisonnement d’une décision prise avec des informations incomplètes. Il doit différencier une décision et une hypothèse, et identifier qui peut la modifier. L’exemple suivant est fictif et illustre une méthode de consignation, pas une réponse type à chaque incident de paiement.

Conservez les horodatages de sensibilisation, de classification et de soumission dans la chronologie de l’incident à côté du journal. Utilisez un fuseau horaire cohérent. Gardez la source des faits importants et conservez les premières estimations lorsqu’elles évoluent. Un nombre d’impacts clients corrigé ne doit jamais écraser le chiffre qui a fondé la décision initiale.

8. Transformer les observations en un suivi d’actions fondées sur des preuves

Commencez le debrief par des observations : quelle décision a été retardée, quel fait n’a pas pu être obtenu, quel processus n’a pas pu être démontré ? Évitez les conclusions générales telles que « la communication était mauvaise » sans exemple concret. Demandez aux participants quelles décisions auraient changé si l’incident avait commencé hors horaires ou impacté leurs outils habituels de collaboration.

Conservez la version du scénario, la présence et le rôle des participants, les décisions clés, la fiche de classification, les notifications simulées, les écarts observés et les décisions de suivi. Protégez le dossier selon sa sensibilité. L’objectif est d’apporter un apprentissage organisationnel utile, et non de diffuser inutilement des informations réelles de clients ou des secrets de fournisseurs.

Ces objectifs sont des choix de gestion illustratifs, non des échéances réglementaires. Désignez un réviseur pour la clôture et retenez les risques résiduels non résolus. Intégrez les constats importants dans le tableau de bord de reporting au conseil. Si l’exercice révèle une dépendance externe sans alternative crédible, utilisez le guide du risque tiers pour relier le constat aux contrats, à la concentration et à la planification de sortie.

9. Relier l’apprentissage exécutif au prochain nouveau test

Le suivi le plus utile est un exercice plus court prouvant la correction d’une faiblesse. Si la première session a mis en lumière un problème d’accès aux rapports, démontrez la route du suppléant. Si elle révélait une incertitude sur la réouverture d’un service, refaites le test des conditions de décision. Répéter la même présentation avec les mêmes lacunes non résolues n’apporte pas d’assurance nouvelle.

Utilisez le Guide des exigences de formation DORA pour conseils pour relier l’exercice à l’apprentissage continu des instances dirigeantes. BlueTeam Academy DORA Formation pour Dirigeants & Conseil d’Administration introduit les concepts de gouvernance à destination des équipes de direction des entités financières relevant du champ d’application DORA. L’achèvement du cours ou une attestation de présence ne constituent pas une conformité organisationnelle. Complétez cette base par votre propre contexte de service, les décisions observées et des améliorations vérifiées.