DORA : résilience opérationnelle numérique du secteur financier

• Comprendre pourquoi la résilience opérationnelle numérique est devenue une exigence réglementaire, et le lien de DORA avec NIS2 et le RGPD.
• Connaître le champ d'application : entités financières concernées, principe de proportionnalité, cas des intermédiaires d'assurance.
• Maîtriser les cinq piliers : gestion du risque informatique, gestion et notification des incidents, tests de résilience, risque lié aux prestataires tiers, partage d'informations.
• Situer la responsabilité de l'organe de direction et le rôle des fonctions de contrôle.
• Appliquer les obligations opérationnelles : classer et notifier un incident majeur dans les délais, tenir le registre d'informations, intégrer les clauses contractuelles obligatoires.
• Décider face aux situations réelles : un incident en cours, un prestataire critique, un contrat qui ne dit rien de la sortie.

La formation se déroule en trois épisodes : comprendre, se conformer, décider. Chacun suit la même construction : une ouverture sur des faits réels, les apports du formateur, une démonstration animée du mécanisme, puis une histoire vraie. Un diagnostic d'entrée et une preuve de sortie, sous forme de mises en situation, encadrent le parcours.

Épisode 1. Comprendre : le jour où tout s'arrête

• Un secteur financier devenu entièrement numérique, et dépendant d'une poignée de prestataires communs.
• De la cybersécurité à la résilience : résister, continuer, se relever.
• La genèse du texte et sa place dans l'édifice européen : NIS2, RGPD, exigences prudentielles.
• Le champ d'application : entités financières concernées, prestataires de services informatiques, proportionnalité selon la taille et le profil de risque.
• Les cinq piliers en un regard.
• Histoire vraie : la panne mondiale d'un logiciel de sécurité en juillet 2024, ou le risque de concentration rendu visible.

Épisode 2. Se conformer : les cinq piliers, les acteurs, le contrôle

• Pilier 1, la gestion du risque informatique : cadre de gestion, cartographie des actifs et des fonctions critiques, protection, détection, réponse, rétablissement, apprentissage.
• La responsabilité de l'organe de direction : approuver, superviser, se former.
• Pilier 2, les incidents : détection, classification, notification des incidents majeurs à l'autorité compétente selon les délais réglementaires, information des clients.
• Pilier 3, les tests de résilience : programme de tests, tests de pénétration fondés sur la menace pour les entités concernées.
• Pilier 4, les prestataires tiers : stratégie, registre d'informations, diligence avant contrat, clauses contractuelles obligatoires, stratégie de sortie, surveillance européenne des prestataires critiques.
• Pilier 5, le partage d'informations sur les menaces.
• Les superviseurs : ACPR, AMF, autorités européennes de surveillance, et les sanctions en cas de manquement.
• Histoire vraie : l'entité qui ne savait pas où étaient ses données, ou ce que révèle un registre d'informations incomplet.

Épisode 3. Décider : l'incident, le prestataire, le contrat

• Cas n° 1, l'incident en cours : une indisponibilité qui s'étend, un chronomètre qui tourne, une notification à qualifier.
• Cas n° 2, le prestataire critique : un fournisseur unique pour une fonction essentielle et aucune solution de repli.
• Cas n° 3, le contrat muet : un renouvellement de contrat sans clause d'audit, de localisation ni de sortie.
• Pour chaque cas, plusieurs options, un point de décision et un feedback détaillé.
• Les réflexes à retenir : connaître ses dépendances, classer vite, notifier dans les délais, contractualiser, tester.
• Synthèse des compétences et évaluation de sortie.

• QCM d'entrée (positionnement) et QCM de sortie, pour mesurer la progression.
• Évaluation des connaissances à chaque étape de la formation : quiz, exercices, cas pratiques, échanges avec le formateur.
• Questionnaire d'évaluation de la satisfaction en fin de formation.

• En présentiel : feuilles d'émargement signées par demi-journée par les participants et le formateur.
• En distanciel : relevés de connexion Zoom (heures de connexion et de déconnexion de chaque participant), certifiés par le formateur.
• En e-learning : relevé d'activité individuel issu de la plateforme Okto (activités réalisées, durée estimée, résultats des évaluations).
• Certificat de réalisation établi pour chaque participant.
• Attestation de fin de formation mentionnant les objectifs, la nature et la durée de l'action et les résultats de l'évaluation des acquis.

Modalités pédagogiques

• Diagnostic d'entrée et preuve de sortie par mises en situation : le participant mesure son niveau réel, puis constate sa progression compétence par compétence.
• Apports du formateur et animations pour expliquer les mécanismes : cinq piliers, cycle de gestion d'un incident, chaîne de sous-traitance.
• Apprentissage par les affaires réelles, tirées des incidents majeurs récents et des publications des superviseurs.
• Mises en situation avec points de décision et feedback argumenté pour chaque option.
• En présentiel et en distanciel : travail en sous-groupes sur les cas, échanges entre fonctions, questions au formateur.

Éléments matériels

• En présentiel : mise à disposition de tout le matériel pédagogique nécessaire ; support de cours projeté sur écran et transmis au participant par e-mail à la fin de la formation.
• En distanciel : classe virtuelle Zoom (partage d'écran, échanges oraux et écrits) ; support de cours transmis par e-mail à la fin de la formation.
• En e-learning : accès individuel à la plateforme Okto ; vidéos, quiz et ressources consultables pendant toute la durée d'accès.

Référent pédagogique et formateur

Chaque formation est placée sous la responsabilité du directeur pédagogique de La Fakto ; le bon déroulement est assuré par le formateur désigné par La Fakto. Intervenant : Marc Lafin, formateur La Fakto.

Assistance technique et pédagogique

contact@lafakto.com, du lundi au vendredi de 9 h à 18 h. En distanciel et en e-learning, l'assistance accompagne le participant pendant toute la durée de la formation (article D.6313-3-1 du Code du travail).

Prérequis

Aucune connaissance préalable n'est nécessaire. Le participant doit disposer d'une connexion internet stable et, pour les sessions en présentiel ou en distanciel, de quoi prendre des notes.

Présentiel

• Durée : 2 h 30.
• Modalités : formation intra-entreprise, en groupe, de 1 à 12 participants.
• Lieu : dans les locaux du client, ou dans un lieu défini avec lui.
• Dates et horaires : à définir avec le client.
• Formateur : Marc Lafin.
• Tarif : 1 800 € HT (TVA 20 %).

Distanciel

• Durée : 2 h 30.
• Modalités : formation collective à distance, en classe virtuelle Zoom, de 1 à 12 participants.
• Matériel requis : ordinateur connecté à internet, micro et caméra.
• Lieu : à distance ; le lien de connexion est envoyé avec la convocation.
• Dates et horaires : à définir avec le client.
• Formateur : Marc Lafin.
• Tarif : 1 300 € HT (TVA 20 %).

E-learning

• Durée : 1 heure.
• Contenu : vidéos de formation animées par les formateurs de La Fakto, QCM d'entrée et QCM de sortie.
• Lieu : formation ouverte et à distance, accessible 7 j/7 et 24 h/24 depuis la plateforme Okto (ordinateur, tablette ou smartphone).
• Dates ou période : voir la convention de formation conclue avec le client.
• Assistance pédagogique et technique : du lundi au vendredi, de 9 h à 18 h.
• Tarif : 45 € HT (TVA 20 %).

Accessibilité

Formation accessible aux personnes en situation de handicap. Nous mettons tout en œuvre pour accueillir ou réorienter les personnes en situation de handicap : contactez notre référent handicap, Enzo Spitaleri, à contact@lafakto.com.

Indicateurs de résultats

Taux de satisfaction et taux de réussite à l'évaluation de sortie, calculés sur l'ensemble des participants de l'année écoulée et publiés à l'issue des premières sessions.