À qui s’adresse Complass

Pour la finance et l’assurance : DORA maîtrisé, prestataires sous contrôle

DORA exige une gestion des risques liés aux TIC, des notifications, des tests de résilience et le pilotage de vos prestataires. Complass vous guide à travers chaque volet.

Essayer gratuitement Demander une démo

Registre des risques avec évaluation, responsables et traitement dans Complass (projet exemple)

Le défi

De nombreux prestataires, un seul registre

Chaque service TIC doit figurer dans le registre d’informations, avec le contrat, la fonction et les sous-traitants. L’autorité de surveillance demande ce registre chaque année.

Classer rapidement les incidents

Des critères fixes déterminent si un incident lié aux TIC est majeur et à notifier. La notification initiale doit intervenir dans un délai de quelques heures.

Responsabilité de l’organe de direction

L’organe de direction est responsable du cadre de gestion des risques liés aux TIC et doit l’approuver, le superviser et le réexaminer régulièrement.

Ce qui s’applique à votre entreprise

DORA s’applique directement dans toute l’UE. Pour les petites entreprises et celles qui ne sont pas interconnectées, un cadre simplifié existe ; pour la plupart des autres, ces obligations s’appliquent :

Référentiels: DORA · ISO 27001 · RGPD · NIS2

Cadre de gestion des risques TIC avec stratégie, politiques, protection, détection, réaction et restauration, approuvé et supervisé par l’organe de direction Art. 5 DORA Art. 6 DORA
Enregistrer les incidents liés aux TIC, les classer selon des critères fixes et notifier les incidents majeurs en trois étapes : notification initiale, rapport intermédiaire et rapport final Art. 17 DORA Art. 18 DORA Art. 19 DORA
Tester régulièrement la résilience opérationnelle numérique ; pour certaines entités, en plus par des tests d’intrusion fondés sur la menace Art. 24 DORA Art. 26 DORA
Piloter le risque lié aux prestataires tiers de services TIC : stratégie, registre d’informations de tous les services TIC et stratégies de sortie Art. 28 DORA
Les contrats avec les prestataires de services TIC doivent comporter certains contenus, par exemple la description des services, les lieux de traitement des données, la coopération en cas d’incident, les droits d’audit et les droits de résiliation Art. 30 DORA
Les obligations de gestion des risques, de notification et de la direction prévues par la loi BSI ne s’appliquent pas aux entités financières relevant de DORA ; DORA prévaut dans cette mesure § 28, al. 6, BSIG

Vous ne savez pas quels référentiels s’appliquent à vous ? Lancer « Suis-je concerné ? »
Coûts, effort et délai : consultant sans Complass, consultant avec Complass ou mise en œuvre interne avec Complass ? Ouvrir le calculateur des coûts de conformité

Information générale, pas de conseil juridique. Cette page résume la situation juridique de manière simplifiée et ne remplace pas l’examen de votre cas particulier. Seul le texte des lois et des normes fait foi.

Entreprises types

Banques et caisses d’épargne Domaine prioritaire

Établissements de crédit avec IT propre ou externalisée, avec registre d’informations et tests de résilience.

Assureurs

Entreprises d’assurance et de réassurance, à l’exception des très petits assureurs ; les intermédiaires uniquement s’ils dépassent la taille d’une entreprise moyenne (art. 2, par. 3, DORA).

Établissements de paiement et de monnaie électronique

Services de paiement soumis à des exigences élevées de disponibilité et de notification des incidents.

Entreprises d’investissement et sociétés de gestion de portefeuille

Selon la taille, avec un cadre de gestion des risques TIC complet ou simplifié ; les petits gestionnaires enregistrés de fonds d’investissement alternatifs sont exclus.

Comment Complass vous aide

Mettre en œuvre DORA de manière guidée

Phases allant de l’applicabilité au réexamen du cadre, avec des modèles pour la stratégie, les politiques, le programme de tests ainsi que le plan de notification et de classification.

En savoir plus sur la fonction

Registre d’informations et contrats

Modèle de travail pour le registre d’informations, examen des contrats selon l’art. 30 et plan de sortie pour chaque service TIC.

Risques TIC et gestion de la continuité d’activité

Registre des risques avec appétence au risque et plan de traitement, ainsi qu’analyse d’impact sur l’activité (BIA) et plans d’urgence pour les fonctions critiques.

En savoir plus sur la fonction

Évaluer les prestataires

Classer les prestataires de services TIC, demander et examiner des auto-déclarations et des preuves.

En savoir plus sur la fonction

Évaluation d’un risque avec probabilité d’occurrence, impact et risque résiduel dans Complass (projet exemple) — Évaluer et traiter les risques TIC

Ce qu’il vous faut au minimum en tant que une entité financière

Si DORA s’applique à votre entité financière, cette sélection couvre les obligations dans Complass. Le contrôle d’applicabilité gratuit vous le dit.

Sélection minimale une entité financière

Forfait Start, taille S, avec Gestion de la continuité d’activité

278 € HT par mois

DORA: Gestion des risques TIC, notification des incidents TIC majeurs et tests ; les obligations centrales de la loi BSI ne s’appliquent alors pas. (Art. 5 s., 17 s., 24 s. DORA ; § 28, al. 6, n° 1 BSIG (s’ouvre dans un nouvel onglet))
Cockpit de direction: Justifier que l’organe de direction définit, approuve et surveille la gestion des risques TIC. (Art. 5 DORA (s’ouvre dans un nouvel onglet))
Gestion de la continuité d’activité (BCM): Continuité d’activité des TIC : analyse d’impact sur l’activité, plans d’urgence et exercices, ISO 22301 incluse. (Art. 11 DORA (s’ouvre dans un nouvel onglet))+ 79 €
Gestion des incidents
Également inclus : RGPD, Règlement sur l’IA et Protection des lanceurs d'alerte (HinSchG) (protection de base)

Essai gratuit de 14 jours Commander

Recommandé

Business

590 € HT par mois

Plus d’effet avec Gestion des actifs et zones et Supplier Management, de la place pour 10 utilisateurs et 2 référentiels.

Essayer Business

Autres forfaits adaptés

Vous pouvez utiliser dès aujourd’hui le référentiel DORA. Pour les prestataires de services TIC du secteur financier, nous préparons le modèle sectoriel « DORA pour prestataires de services TIC ».

Prix pour les entreprises, HT, en paiement annuel avec une durée minimale de 12 mois. Paiement mensuel avec une majoration de 15 %. État au 06/11/2026. Les forfaits « bientôt disponibles » ne peuvent pas encore être réservés. Enterprise et groupes d’entreprises sur demande. Tous les forfaits dans l’aperçu des tarifs

Vous pouvez aussi remplir les obligations sans Complass. Complass aide à la mise en œuvre et à la preuve et ne remplace pas un conseil juridique. Mentions juridiques

Questions fréquentes

En tant que banque, devons-nous aussi mettre en œuvre NIS2 ?

Pour la gestion des risques, les notifications et les obligations de la direction, DORA prévaut ; les dispositions correspondantes de la loi BSI ne s’appliquent pas aux entités financières relevant du champ d’application de DORA (§ 28, al. 6, BSIG). D’autres dispositions, par exemple sur l’enregistrement, ne sont pas citées dans cette exception. Examinez ces points au cas par cas.

DORA s’applique-t-il aussi aux petits établissements ?

Oui, mais de manière proportionnée. Les petites entreprises d’investissement non interconnectées et quelques autres entités appliquent un cadre simplifié de gestion des risques TIC (art. 16 DORA). En Allemagne, la loi sur le secteur du crédit (KWG) étend en outre DORA à d’autres établissements.

Complass aide-t-il pour le registre d’informations ?

Oui. Le référentiel DORA contient un modèle de travail pour le registre d’informations conforme aux normes techniques d’exécution. Le dépôt auprès de l’autorité de surveillance se fait par sa voie de notification.

Livres blancs: DORA: digital operational resilience for financial entities and their ICT providers The management body is liable: what § 38 BSIG requires from managing directors

Autres secteurs et rôles: Prestataires IT et MSP Cloud, hébergement et centres de données KRITIS Tous les publics en un coup d’œil

Testez Complass avec vos propres données

Créez vous-même votre accès d'essai, avec un projet d'exemple par référentiel si vous le souhaitez. Si vous préférez d'abord voir Complass, demandez une démo.

Essayer gratuitement Demander une démo