Réponse aux incidents DORA : exercice de simulation pour le conseil

1. Testez les décisions, pas la capacité à réciter le règlement

Lors d’un incident technologique grave, la question difficile pour le conseil est rarement : « Faut-il prendre cela au sérieux ? ». Il s’agit plutôt de suspendre un service, de fonctionner avec des contrôles réduits, de financer une solution d’urgence ou de communiquer avec les clients alors que les faits restent incomplets. Un exercice de simulation fait apparaître ces tensions avant un incident réel.

Les articles 17 à 19 de DORA portent sur la gestion, la classification et la notification des incidents. L’article 17 prévoit une remontée vers les dirigeants concernés et l’information de l’organe de direction sur les incidents majeurs, leurs effets, la réponse apportée et les contrôles supplémentaires. Cela ne confie pas au conseil la conduite opérationnelle de l’incident. L’exercice doit vérifier que les responsabilités et les circuits d’escalade fonctionnent ensemble.

Fixez trois résultats concrets : une décision claire avec un responsable, une tâche de notification attribuée à une personne et une trace des faits disponibles au moment de décider. Ne considérez pas l’exercice comme réussi au seul motif que tout le monde était présent. Découvrir que personne ne peut accéder au portail de notification en cas de panne du système de gestion des identités est déjà un résultat utile.

L’exercice ci-dessous utilise un scénario fictif. Il ne remplace ni les tests techniques de reprise, ni le programme complet de tests de résilience, ni les tests de pénétration fondés sur la menace. Les 90 minutes constituent un format proposé, pas un minimum réglementaire.

2. Distinguez la classification, l’urgence et la remontée au conseil

Un incident peut nécessiter l’attention de la direction avant que sa qualification réglementaire ne soit tranchée. À l’inverse, un incident majeur nécessitant un signalement peut exiger une notification rapide alors que la reprise progresse déjà. Aucune de ces décisions ne doit dépendre de la disponibilité du président pour valider un communiqué de presse.

Les règles de classification détaillées se trouvent dans le règlement délégué (UE) 2024/1772. L’article 8 associe l’atteinte à des services critiques à des conditions précises de gravité ; toute panne technique n’est donc pas automatiquement un incident majeur. Les règles traitent aussi les incidents récurrents. Utilisez une fiche de classification approuvée qui applique les critères et seuils prévus, plutôt que d’improviser un classement par couleurs en réunion.

Pour l’exercice, confiez à un participant chargé de la conformité ou des risques la responsabilité de la recommandation de classification et des faits qui l’étayent. Confiez au responsable de l’incident la responsabilité des priorités opérationnelles. Confiez à un responsable habilité à effectuer les notifications la préparation et l’envoi de la notification concernée. Votre répartition réelle des pouvoirs peut différer ; consignez-la avant l’introduction du premier événement de l’exercice.

• Qu’est-ce qui est connu sur les services, clients, transactions et données affectés ?
• Quelles informations sont des estimations, sur quoi reposent-elles et quand seront-elles actualisées ?
• Quels critères de classification sont remplis, non remplis ou restent incertains ?
• Qui peut décider et agir si la personne habituellement responsable est indisponible ?

Consignez séparément le moment où l’entité a connaissance de l’incident et celui où elle le classe comme majeur. Informer les dirigeants plus tard ne fait pas repartir le premier délai. La détection de l’incident et sa classification sont deux événements distincts à situer précisément dans la chronologie.

3. Exercez-vous à appliquer les délais de notification à l’aide d’un exemple détaillé

Le résumé suivant concerne le signalement des incidents majeurs liés aux TIC selon l’article 5 du règlement délégué (UE) 2025/301. Utilisez le texte légal en vigueur et le processus de déclaration de votre autorité compétente pour signaler un incident.

Dans notre exemple fictif, l’incident est porté à la connaissance de l’entité mardi à 09:00 et classé comme majeur à 10:00. L’échéance ordinaire de la notification initiale est mardi à 14:00, sous réserve de l’obligation de notifier dès que possible. Si la notification est transmise mardi à 11:30, le délai de 72 heures pour le rapport intermédiaire expire vendredi à 11:30. Une mise à jour ultérieure du rapport intermédiaire modifie le point de référence du délai d’un mois pour le rapport final. Un mois n’est pas synonyme de 30 jours.

Les délais ne sont pas automatiquement suspendus le week-end. Lorsqu’il s’applique, l’article 5, paragraphe 4, permet un envoi avant midi le jour ouvrable suivant si l’échéance tombe un week-end ou un jour férié dans l’État membre de l’entité déclarante. Le paragraphe 5 exclut de cet aménagement les notifications initiales et rapports intermédiaires des établissements de crédit, contreparties centrales, opérateurs de plateformes de négociation et autres entités financières identifiées comme essentielles ou importantes au titre de NIS2. Selon le paragraphe 6, les autorités peuvent également en exclure d’autres entités significatives ou systémiques après les en avoir informées ; la décision concerne les incidents déclarés après cette information. Vérifiez que l’aménagement vous est applicable avant de l’utiliser.

Si vous ne pouvez pas respecter une échéance, informez l’autorité compétente sans retard injustifié et au plus tard à l’échéance concernée, en expliquant les raisons. Cela ne constitue pas une prolongation automatique.

4. Préparez la salle et les règles du jeu

Invitez la personne qui préside ou le dirigeant délégué habilité à décider, un responsable de service métier, le responsable de l’incident, des représentants des fonctions risques ou conformité, juridique et communication, ainsi qu’une personne chargée de prendre des notes. Incluez un représentant de la gestion des fournisseurs si le service dépend d’une plateforme externe. Dans une petite organisation, une même personne peut assumer plusieurs rôles, mais précisez clairement les responsabilités.

Envoyez un bref dossier de préparation : le service métier concerné, la carte d’escalade, les objectifs de reprise, le circuit de signalement, la liste de contacts actuelle et un journal de décisions vierge. Demandez aux participants d’utiliser les procédures réelles de l’organisation. L’animateur contrôle les faits fictifs et le déroulement de l’exercice. Le rapporteur consigne les décisions, et non la retranscription complète de chaque échange.

Distinguez le temps de l’exercice du temps du scénario. Une discussion de cinq minutes peut représenter une heure dans l’incident fictif, mais l’animateur doit annoncer cette avance dans le temps. Indiquez « EXERCICE » sur chaque message et chaque brouillon. N’envoyez pas de notifications d’entraînement à une autorité de régulation, un client ou un fournisseur, sauf si leur participation a été organisée. Utilisez un canal de soumission simulé et sûr.

Notre entité fictive propose un service de paiement client via une plateforme de traitement externe. À 09h00 mardi, l’exploitation constate l’échec du traitement des paiements. La cause reste indéterminée. Pour cet exercice, l’organisation a évalué la fonction prise en charge comme critique ou importante. Les participants doivent malgré tout appliquer les critères de classification des incidents majeurs ; le simple fait que la fonction soit qualifiée ainsi ne suffit pas à décider du résultat.

5. Suivez cet ordre du jour de 90 minutes

Ce déroulé privilégie les décisions plutôt que les présentations. L’animateur doit interrompre les longues spéculations techniques et demander une décision, une information à obtenir ou une action attribuée à quelqu’un. Ne résolvez pas toutes les incertitudes à la place des participants : déterminer les preuves nécessaires fait partie de l’exercice.

Si une décision est reportée, la personne chargée du compte rendu doit consigner qui reviendra avec quelles preuves et pour quelle date. « Nous ferions appel au service juridique » n’est pas une action accomplie si personne n’identifie le contact juridique, la question à laquelle il faut répondre ou le délai disponible. La même exigence s’applique à « appeler le prestataire » et à « activer le plan de reprise ».

6. Utilisez trois événements introduits dans l’exercice qui imposent un véritable arbitrage

Événement 1 : le service fonctionne mal, mais la cause est incertaine

À 09:15 dans le scénario, les échecs de paiement se multiplient. Le fournisseur reconnaît un problème sur la plateforme, mais ne donne aucune estimation du délai de rétablissement. Certains clients réessaient, ce qui pourrait créer un problème de rapprochement. L’équipe des opérations peut restreindre temporairement le traitement, mais cela interrompra le service pour des clients qui ne sont peut-être pas touchés à ce stade.

Demandez : quel préjudice pour les clients cherche-t-on à limiter et quel nouveau préjudice la restriction pourrait-elle créer ? Qui est habilité à modifier le service ? Quels sont les faits indispensables à ce stade ? Comment l’équipe distinguera-t-elle une transaction retardée d’une transaction à relancer ? Le résultat attendu est une décision opérationnelle au périmètre défini, un responsable désigné et un moment fixé pour le réexamen, et non une supposition sur la cause technique.

Événement 2 : la classification est confirmée et la personne habituellement chargée de la notification est indisponible

À 10:00 dans le scénario, l’animateur fournit une évaluation montrant que la condition relative aux services critiques touchés et les seuils d’importance applicables sont remplis. Pour l’exercice, l’équipe habilitée classe l’incident comme majeur à 10:00. Le responsable habituel des notifications est indisponible. Son suppléant n’a jamais utilisé le portail de transmission et ne sait pas si son accès fonctionne.

Demandez aux participants d’identifier le circuit de notification et de remplir une notification initiale fictive avec les informations disponibles. Consignez honnêtement les éléments inconnus et désignez les personnes chargées de leur suivi. Quel est le délai de notification initiale ? Qui transmet la notification ? Qui en confirme la réception ? L’organisation peut-elle agir sans attendre une autre réunion prévue du conseil ? Utilisez le règlement d’exécution (UE) 2025/302 pour les modèles et procédures de notification ; le journal des décisions de l’exercice ne remplace pas le formulaire réglementaire.

Événement 3 : le prestataire annonce le rétablissement du service, mais la confiance n’est pas totale

À 11:15 dans le scénario, le fournisseur annonce que le traitement est rétabli. Le rapprochement interne n’a pas encore confirmé que les tentatives en double ont été traitées correctement. Un client important demande que l’organisation affirme publiquement qu’aucun enregistrement n’a été touché. Le responsable du service propose de le rouvrir immédiatement ; le responsable de l’incident souhaite une validation supplémentaire.

Demandez quels éléments de preuve justifient la reprise du service et qui peut accepter les éventuels risques opérationnels résiduels. Le service peut-il reprendre par étapes ? Que peut-on communiquer avec exactitude à ce stade ? Quelle mise à jour faut-il transmettre à l’autorité compétente ? Fixez les conditions du retour à la normale, désignez un responsable pour une validation supplémentaire et prévoyez un prochain point de situation précis. Ne valorisez pas la reprise la plus rapide si les participants ne peuvent pas expliquer comment les dossiers clients seront vérifiés.

7. Tenez un journal des décisions qui retrace la logique

Un bon journal permet de reconstituer pourquoi une décision raisonnable a été prise avec des informations incomplètes. Il doit distinguer une décision d’une hypothèse et préciser qui peut la modifier. L’exemple suivant est fictif et illustre une méthode de consignation, et non une réponse recommandée pour tous les incidents de paiement.

Conservez dans la chronologie de l’incident, en complément du journal, les horodatages de prise de connaissance, de classification et de soumission. Utilisez toujours le même fuseau horaire. Conservez la source des faits importants et les estimations antérieures lorsqu’elles changent. Un chiffre corrigé concernant l’impact sur les clients ne doit pas remplacer sans indication celui sur lequel reposait la décision initiale.

8. Transformez les observations en un tableau de suivi des actions fondé sur des éléments probants

Commencez le débriefing par des observations : quelle décision a été retardée, quel fait n’a pas pu être obtenu et quel processus n’a pas pu être démontré ? Évitez les conclusions générales telles que « la communication était mauvaise » sans exemple concret. Demandez aux participants quelles décisions auraient changé si l’incident avait commencé en dehors des horaires habituels ou touché leurs outils de collaboration habituels.

Conservez la version du scénario, la présence et le rôle des participants, les décisions clés, la fiche de classification, les notifications simulées, les écarts observés et les décisions de suivi. Protégez le dossier selon sa sensibilité. L’objectif est d’apporter un apprentissage organisationnel utile, et non de diffuser inutilement des informations réelles de clients ou des secrets de fournisseurs.

Ces échéances sont des exemples de choix de gestion, pas des délais légaux. Désignez une personne chargée de vérifier la clôture et gardez la trace des risques résiduels non résolus. Intégrez les constats importants dans le tableau de bord destiné au conseil. Si l’exercice révèle une dépendance externe sans alternative crédible, utilisez le guide du risque tiers pour relier le constat aux contrats, à la concentration et à la planification de sortie.

9. Reliez la formation des dirigeants au prochain test de vérification

Le suivi le plus utile est un exercice plus court qui vérifie qu’une faiblesse a été corrigée. Si la première séance a révélé un problème d’accès au portail de notification, faites démontrer le parcours du suppléant. Si les conditions de reprise du service étaient incertaines, testez à nouveau leur application. Répéter la même présentation avec les mêmes lacunes non résolues apporte peu de garanties supplémentaires.

Utilisez le guide des exigences DORA pour la formation du conseil pour relier l’exercice à la formation continue de l’organe de direction. Le programme de BlueTeam Academy «Formation à la cybersécurité pour les conseils d’administration et les dirigeants dans le cadre de DORA» présente les principes de gouvernance aux équipes dirigeantes des entités financières relevant de DORA. Terminer un cours ou disposer d’une attestation de présence ne prouve pas la conformité de l’organisation. Complétez cette base par le contexte de vos services, les décisions observées et des améliorations vérifiées.