CYBERMOIS 2026
DORA : le volet humain de la résilience opérationnelle.
DORA attend que vos collaborateurs, vos dirigeants et vos prestataires soient sensibilisés, entraînés à la crise, et que vous puissiez le prouver. BlueSecure vous apporte les trois, et la preuve.
- Applicable depuis le 17 janvier 2025
- Parcours en 12 langues
- Preuves datées et exportables
DORA
- Sensibiliser
- Entraîner à la crise
- Étendre aux prestataires
- Prouver
Un règlement européen, directement applicable
DORA ne passe pas par une transposition : le règlement s’applique tel quel aux entités financières depuis le 17 janvier 2025, sous le contrôle de l’ACPR et de l’AMF.
27 décembre 2022
Publication au Journal officiel de l’Union européenne
17 janvier 2025
Application directe, sans transposition
Aujourd’hui
Contrôles sur pièces par les superviseurs
- Article 13. DORA, applicable depuis le 17 janvier 2025, impose des programmes de sensibilisation à la sécurité des TIC et des formations à la résilience opérationnelle numérique, obligatoires pour l’ensemble du personnel et les dirigeants.
- Article 5. L’organe de direction porte la responsabilité du cadre de gestion du risque TIC et ses membres suivent des formations spécifiques régulières.
- Articles 13 et 30. Les prestataires de services TIC sont inclus dans ces programmes lorsque c’est pertinent.
Les entités financières concernées
- Établissements de crédit
- Établissements de paiement et de monnaie électronique
- Entreprises d’investissement
- Sociétés de gestion
- Assureurs et réassureurs
- Mutuelles
- Institutions de retraite professionnelle
- Prestataires de services sur crypto-actifs
- Infrastructures de marché
Le règlement s’applique selon un principe de proportionnalité, en fonction de la taille et du profil de risque de chaque entité.
Pour les entités financières couvertes par DORA, c’est DORA qui s’applique en matière de gestion du risque TIC, en lieu et place de NIS 2. Un programme pensé pour DORA est donc le bon point de départ pour une banque, un assureur ou une société de gestion.
Quatre attendus humains, une seule plateforme.
BlueSecure contribue à la mise en œuvre et à la documentation du volet sensibilisation, formation et entraînement à la crise exigé par DORA.
Sensibiliser tout le monde
Un parcours DORA pour chaque collaborateur, avec des contenus adaptés aux fonctions : équipes habilitées aux paiements, équipes IT et développeurs, tout public.
Entraîner à la crise
Un jeu de gestion de crise en ligne pour tous, et un atelier de crise en salle pour le comité de direction : qualification, notification, éléments de langage, communication.
Étendre aux prestataires
Les prestataires qui accèdent à votre système d’information entrent dans le périmètre du programme, avec des contenus sur les attaques par la chaîne d’approvisionnement.
Prouver
Historique daté, attestations, score par personne, équipe et entité, rapports automatiques et exports : la documentation est prête pour le contrôle.
Un programme assemblé à partir de briques éprouvées.
Parcours DORA collaborateurs
Un module DORA en 12 langues avec quiz, puis les réflexes face à la fraude et à l’ingénierie sociale : arnaque au président, fraude à l’IBAN, gestion des incidents, gestion des accès, usage responsable de l’IA.
Parcours dirigeants
Un parcours en ligne sur la résilience numérique, une conférence de 30 à 60 minutes devant le comité de direction et un atelier de crise de 2 à 4 heures.
Entraînement à la crise
BlackOut, le jeu de gestion de crise du Game Studio, pour tous les collaborateurs : chacun incarne tour à tour le pilote de crise, le DPO, la direction, le support et la communication.
Mises en situation et prestataires
Des simulations inspirées des fraudes du secteur financier : faux président, faux IBAN, vishing, deepfake. Le signalement des messages suspects et un reciblage selon le score de risque.
Preuve et pilotage
Le BlueSecure Risk Index suit le niveau de risque par personne, équipe et entité. Les rapports Smart Report partent automatiquement vers vos instances de gouvernance.
Ce que demande DORA, ce que nous apportons
Chaque exigence du volet humain trouve sa réponse dans une brique de la plateforme.
- Sensibiliser tout le personnelParcours DORA en 12 langues, quiz et attestationLearning Academy
- Adapter aux fonctionsContenus pour les fonctions de paiement, les équipes IT et développeurs, tout publicLearning Academy, CyberGames
- Former les dirigeantsParcours dirigeants, conférence et atelier de criseLearning Academy, Workshop
- Entraîner à la crise et à la communicationBlackOut en ligne pour tous, atelier de crise en salle pour le comitéCyberGames, Workshop
- Détecter et signaler viteSimulations de fraude, signalement des messages suspects, reciblagePhishing 360
- Inclure les prestatairesPrestataires intégrés au périmètre, contenus sur la chaîne d’approvisionnementLearning Academy
- Prouver au superviseurHistorique daté, attestations, scores, rapports et exportsRisk Index, Smart Report
- Piloter plusieurs entités réguléesDonnées cloisonnées, administration déléguée, reporting consolidéMulti-tenant
Du premier état des lieux au bilan documenté.
État initial
Une première campagne de mise en situation mesure le point de départ.
Parcours DORA à tous
Chaque collaborateur suit son parcours, prestataires compris.
Temps fort dirigeants
Conférence et atelier de crise avec le comité de direction.
Campagnes ciblées
Les scénarios suivent le score de risque des équipes.
Bilan documenté
Un dossier daté, prêt à présenter lors d’un contrôle.
Une documentation prête pour le contrôle.
Les superviseurs contrôlent sur pièces. Chaque action laisse une trace datée, consultable et exportable.
- Historique daté
- Attestations
- Score par personne, équipe et entité
- Rapports PDF automatiques
- Exports Excel et API
Un prestataire qui s’inscrit lui-même dans votre gestion du risque tiers.
La plateforme est hébergée en France, par un hébergeur français certifié ISO 27001. Vos données ne relèvent d’aucune juridiction extra-européenne et ne sont pas soumises aux lois extraterritoriales comme le CLOUD Act américain.
Ce que le programme ne couvre pas
DORA va bien au-delà du facteur humain. Nous préférons le dire d’emblée.
- Le cadre de gestion du risque TIC
- La continuité d’activité et les sauvegardes
- Les tests de pénétration
- Le registre des prestataires et la rédaction des contrats
- La déclaration formelle des incidents
L’atelier de crise ne remplace pas le test annuel formel de votre plan de continuité. Le parcours dirigeants contribue à l’obligation de l’article 5 et en produit la trace.
Questions fréquentes
- Mon organisation est-elle concernée par DORA ?
- DORA vise les entités financières : banques, établissements de paiement et de monnaie électronique, entreprises d’investissement, sociétés de gestion, assureurs, mutuelles, institutions de retraite professionnelle, prestataires de crypto-actifs et infrastructures de marché. Votre fonction conformité reste la mieux placée pour confirmer votre statut.
- Le programme rend-il conforme à DORA ?
- Non, aucun outil ne le peut seul. BlueSecure contribue à la mise en œuvre et à la documentation du volet sensibilisation, formation et entraînement à la crise exigé par DORA. Le reste du règlement relève de votre cadre de gestion du risque TIC.
- Faut-il un programme NIS 2 en plus ?
- Pour les entités financières couvertes par DORA, c’est DORA qui s’applique en matière de gestion du risque TIC. Le programme DORA est donc le cadre de référence.
- L’atelier de crise remplace-t-il le test annuel du plan de continuité ?
- Non. Il entraîne le comité de direction à décider et à communiquer sous pression. Le test formel de votre plan de continuité reste une obligation distincte.
- Comment inclure nos prestataires ?
- Les prestataires qui accèdent à votre système d’information peuvent être intégrés au périmètre de la plateforme. Ils suivent les parcours adaptés et apparaissent dans vos indicateurs.
- Nous sommes un groupe avec plusieurs entités régulées. Comment piloter ?
- Le mode multi-tenant cloisonne les données de chaque entité, délègue l’administration localement et consolide le reporting au niveau du groupe.
Construisons votre programme DORA.
Un premier échange pour faire le point sur vos publics, vos prestataires et la preuve attendue lors d’un contrôle.