Le rapport existe, mais la décision reste à reconstruire
Le rapport du scanner est disponible, mais préparer la revue demande encore plusieurs échanges : quel traitement a été décidé pour ce service, par qui et sur quelle preuve ? La référence éditeur est dans un courriel, la fenêtre de maintenance dans un planning et l'acceptation temporaire du risque dans un compte rendu. Les équipes passent du temps à reconstituer une décision déjà prise.
Le maintien en conditions de sécurité relie ces informations dans un même dossier : constat, systèmes concernés, qualification, décision, action et vérification. La production sait ce qu'elle doit préparer. Les responsables risques TIC et conformité retrouvent le raisonnement et les pièces nécessaires à leurs revues.
Commencer par le cadre réellement applicable à l'entité
DORA couvre notamment la gestion du risque TIC, les incidents, les tests de résilience et le risque lié aux prestataires. Pour les entités financières concernées, il constitue un texte sectoriel dans l'articulation prévue avec NIS2. Le suivi doit donc être défini à partir du régime de l'entité, plutôt qu'en additionnant deux listes d'exigences supposées identiques.
Dans son champ d'application, l'article 10 du règlement délégué 2024/1774 prévoit des procédures documentées de gestion des vulnérabilités et des correctifs. Il relie ressources fiables, priorisation, suivi et vérification du traitement. Un registre tenu à jour peut alimenter ces procédures, parmi les autres composantes du dispositif DORA de l'établissement.
Sources : DORA, règlement (UE) 2022/2554, articles 1, 5 et 28, Règlement délégué (UE) 2024/1774, article 10 : vulnérabilités et correctifs, Commission, lignes directrices sur l'articulation sectorielle de NIS2, annexe DORA, ACPR, ressources DORA et documents propres au secteur bancaire
Cas fictif : une correction attend une fenêtre de maintenance
La banque Rivage exploite un service de consultation sur trois serveurs. Deux utilisent module-échange 4.2 ; le troisième emploie une autre branche. L'avis DEMO-BANQUE-01 concerne la première branche, pour laquelle une correction existe. Son installation exige une validation applicative puis une fenêtre de maintenance. Les noms, versions et avis de cet exemple sont fictifs.
L'équipe de production prépare les essais et le retour arrière. Le responsable du service valide la fenêtre ; le décideur compétent arbitre la mesure temporaire et son réexamen. Le dossier conserve les versions installées, la source et la justification d'applicabilité. La situation du troisième serveur reste à établir : la correction des deux premiers ne permettra pas de clôturer son occurrence.
| Pièce | Ce qu'elle doit permettre de comprendre |
|---|---|
| Qualification datée | Versions couvertes, source, justification et inconnues |
| Décision temporaire | Propriétaire, conditions retenues et réexamen |
| Action de production | Responsable, fenêtre, essais et retour arrière |
| Preuve de traitement | Version réellement déployée et vérification prévue |
Organiser un suivi que les équipes peuvent reprendre
Commencez par un service dont les actifs, versions et propriétaires sont identifiés. Rapprochez les résultats des outils avec les avis pertinents, en gardant les contradictions visibles. Séparez ensuite la sévérité technique de la priorité de traitement : les fonctions soutenues, l'exposition et les contraintes de production peuvent conduire à des décisions différentes pour une même dépendance.
Distinguez les actions en cours, les blocages et les exceptions acceptées. Une échéance dépassée appelle un arbitrage ou une escalade identifiable. Précisez qui recherche les sources, qui décide, qui exécute et qui fournit la preuve. Une nouvelle information fournisseur doit pouvoir rouvrir la qualification tout en conservant l'historique.
Mesurer le temps consacré aux revues et au suivi
Suivez le temps de préparation des revues, les dossiers reconstruits faute de justification et l'âge des actions bloquées. Comparez ces mesures sur un périmètre stable. Des heures réaffectées constituent une capacité disponible ; une dépense n'est évitée que si un coût cesse effectivement d'être supporté.
Confiez à CyberLifeCycle la veille, la qualification et le suivi des vulnérabilités de votre périmètre. À partir de vos inventaires et SBOM, nous préparons les priorités, les alertes et les dossiers nécessaires aux revues. L'établissement conserve les décisions et la responsabilité de son dispositif ; ses équipes habilitées ou son prestataire exécutent les corrections.
Sources : DORA, règlement (UE) 2022/2554, articles 1, 5 et 28
Sources consultées
- DORA, règlement (UE) 2022/2554, articles 1, 5 et 28Consulté le 30 octobre 2026.
- Règlement délégué (UE) 2024/1774, article 10 : vulnérabilités et correctifsConsulté le 30 octobre 2026.
- ACPR, ressources DORA et documents propres au secteur bancaireConsulté le 30 octobre 2026.
- Commission, lignes directrices sur l'articulation sectorielle de NIS2, annexe DORAConsulté le 30 octobre 2026.