Dispositif préparatoire sur mesure (Sous NDA)

L’article DORA : Application pratique et résilience TIC du SI est apparu en premier sur DNDA Formation.

 Introduction DORA, cadre réglementaire, gouvernance & enjeux

• Contexte européen et panorama réglementaire (DORA, NIS2, ISO standards…)
• Enjeux stratégiques : conformité, gouvernance, maturation, calendrier de déploiement
• Analyse détaillée des 5 piliers DORA
  • Gouvernance et gestion des risques
  • Gestion des incidents
  • Tests de résilience
  • Gestion des tiers critiques
  • Partage d’informations/sectoriel
• Présentation du fil rouge : organisation d’un projet complet DORA

Jour 2 :

  Gestion des risques numériques et planification projet

• Cadre de gestion des risques TIC : identification, cartographie, évaluation, traitement
• Méthodes d’analyse d’impact, scoring, plans de remédiation/sauvegarde
• Scénarios de défaillance, cycles d’amélioration (PDCA)
• Atelier pratique : Construire une cartographie des risques DORA pour son organisation
• Introduction à la gestion documentaire et aux attendus de l’audit

Jour 3 :

 Gestion des incidents, tests de résilience, plans de continuité

• Construction et gestion d’un Incident Response Plan DORA (IRP)
• Techniques de gestion, classification, notification des incidents (interne, autorité)
• Mise en œuvre des tests de résilience (TLPT, PRA, PCN, plans de crise)
• Atelier : Simulation d’incident et retour d’expérience (table-top)
• Documentation et preuves d’audit à constituer
• Reporting et communication de crise

Jour 4 :

  Maîtrise des tiers essentiels, contractualisation, audits

• Identifier et piloter la chaines des tiers critiques (cartographie partenaires)
• Intégrer les clauses DORA dans les contrats, plans d’actions et plans de sortie (exit plans)
• Mise en place du registre tiers, outils de contrôle, audits fournisseurs (modèles, checklists)
• Atelier : audit simulé d’un fournisseur critique, analyse de plan d’externalisation, gestion de crise fournisseur
• Surveillance continue, documentation réglementaire

Jour 5 :

Management projet, amélioration continue & certification

• Pilotage de projet DORA : phases, jalons, gestion du changement
• Suivi des indicateurs clés de performance et reporting aux parties prenantes (indicateurs DORA)
• Audits internes/externes, retours d’audit ACPR/AMF/ESMA, conformité documentaire
• Roadmap d’amélioration continue

Préparation à l’examen de certification,

• conseils méthodologiques, retour sur les QCM types
• QCM blanc, synthèse pédagogique,

Fin de session :

• Synthèse, question et réponses
• QCM d’évaluation à chaud
• Remise des supports de formation et outils pratiques

 Profil des Intervenants DNDA :

Hadrien Gravet :

• Hadrien est consultant spécialisé en Gouvernance, Risque et Conformité, certifié ISO 27005 Risk Manager et ISO 27001 Lead Implémenter .Fort de nombreuses missions en cybersécurité réglementaire (DORA, NIS2, ISO 27001), il accompagne des institutions financières et prestataires IT dans leurs projets de mise en conformité, d’audit et de gestion de crise.

Antoine Dauchelle

• Antoine est Ingénieur en cybersécurité, certifié Lead Implementer. Il  apporte une expertise technique sur les systèmes d’information, les plans de remédiation, la gestion des incidents et l’organisation de tests de résilience (TLPT). Il co-anime les ateliers avancés et partage des retours d’expérience concrets sur la mise en œuvre opérationnelle des exigences DORA

Pour aller plus loin

Poursuivez votre parcours DORA ou assurez un accompagnement complet de votre organisation avec nos autres modules et solutions sur-mesure :

Autres modules DORA disponibles :

• Sensibilisation DORA & enjeux de la résilience numérique
• Diagnostic de conformité : Cartographie & Gap Analysis DORA
• Gestion des risques numériques & incidents sous DORA
• Gestion de la relation avec les tiers essentiels sous DORA

Besoin d’une démarche complète ?

Découvrez notre accompagnement sur-mesure à la mise en conformité DORA — du diagnostic initial au pilotage opérationnel de vos plans d’action, avec audits blancs, coaching et suivi post-formation.

Contactez-nous pour bâtir ensemble un parcours personnalisé ou un projet clé en main

L’article Lead Implementer-Dora est apparu en premier sur DNDA Formation.

1. Introduction aux bases juridiques du Cloud computing:
   • Définition et historique juridique du Cloud computing.
   • Importance de la régulation juridique dans le contexte du Cloud.
2. Spécificités juridiques des modèles:
   • IAAS (Infrastructure as a Service):
     • Principes juridiques.
     • Cas pratiques et retours d’expérience.
   • PAAS (Platform as a Service):
     • Enjeux juridiques spécifiques.
     • Exemples concrets de contrats PAAS.
   • SAAS (Software as a Service):
     • Défis juridiques.
     • Études de cas réels.
   • Distinctions et implications juridiques des Clouds : public, privé, mixte, et hybride.
3. Évolution et impact des traités et accords internationaux sur le Cloud computing:
   • Présentation des principaux traités internationaux liés au Cloud.
   • Incidences des accords internationaux sur la rédaction et la mise en œuvre des contrats Cloud.
   • Études de cas : Interprétation de certains traités par les tribunaux.

Section 2 :Rédaction juridique des contrats Cloud 

1. Éléments clés et spécificités juridiques des contrats Cloud:
   • Structure type d’un contrat Cloud.
   • Importance de la clarification des responsabilités entre les parties.
2. Clauses types obligatoires dans un contexte international:
   • Clauses relatives à la protection des données.
   • Clauses liées à la performance et la disponibilité du service.
   • Clauses financières : paiement, pénalités, évolutions tarifaires.
   • Juridictions compétentes et droit applicable.
3. Sécurité, garanties et autres dispositions essentielles à inclure:
   • Garanties de performance et de disponibilité.
   • Responsabilité en cas de violation de données.
   • Dispositions relatives à la fin du contrat : résiliation, migration, réversibilité.
   • Études de cas : Réponses juridiques à des incidents majeurs.
4. Études de Cas :
   • Analyse de contrats Cloud réels pour identifier les points clés et les clauses courantes.
   • Atelier de rédaction de clauses basiques d’un contrat.

Section 3 : Jurisprudence et réglementation internationale des contrats Cloud

1. Cadre juridique international des contrats Cloud computing:
   • Présentation des principales réglementations internationales.
   • Importance de la conformité dans un contexte multinational.
2. Conformité des données à caractère personnel:
   • Réglementations internationales : GDPR, CCPA, etc.
   • Rôle et recommandations des organismes comme la CNIL.
   • Clauses spécifiques pour assurer la conformité.
3. Clauses d’audit, propriété intellectuelle et résiliation:
   • Nécessité et mise en place des audits.
   • Gestion des droits de propriété intellectuelle.
   • Conditions et conséquences d’une résiliation.
4. Analyse Clause de contrat
   • Etude de cas  et Analyse Comparative :
   • Étude des différences entre IAAS, PAAS, et SAAS sur le plan juridique.

Bilan & Fin de session 

L’article Cloud Computing-Maîtriser les Risques Juridiques et Contractuels est apparu en premier sur DNDA Formation.

• Analyse des tendances actuelles des cybermenaces (Ransomwares, espionnage, déstabilisation).

• Retours d’expérience sur les attaques marquantes récentes visant les infrastructures critiques et les PME/ETI.

• Compréhension du glissement de la sécurité technique vers la responsabilité réglementaire.

2. Périmètre d’application et critères de classification NIS2

• Cartographie des secteurs d’activité impactés (Annexes 1 et 2 de la directive).
• Les seuils pivots : comment déterminer la criticité de votre structure (Critères de taille, de chiffre d’affaires et interdépendances).
• Distinction opérationnelle entre Entités Essentielles (EE) et Entités Importantes (EI).
• Analyse des cas particuliers et des critères d’inclusion automatiques (Secteurs sensibles).

3. Obligations de sécurité et gouvernance des risques

• Les piliers de la mise en conformité : de la Politique de Sécurité (PSSI) au Plan de Reprise d’Activité (PRA).
• Les règles de la « cyberhygiène » et les mesures organisationnelles requises par l’ANSSI.
• Sécurisation de la Supply Chain : la gestion des risques liés à vos sous-traitants et tiers connectés.
• Le protocole d’alerte : obligations et délais stricts de notification des incidents majeurs à l’autorité de contrôle.

4. Responsabilité des dirigeants, gouvernance et sanctions

• Le rôle central des instances dirigeantes (Comex / Codir) dans la validation et le suivi de la stratégie cyber.
• Analyse des risques financiers et des sanctions administratives en cas de non-conformité.
• Le volet de la responsabilité personnelle et juridique des dirigeants face aux nouvelles exigences européennes.

5. Étude de cas pratiques et feuille de route opérationnelle

• Analyse d’un scénario réel de mise en conformité d’une structure intermédiaire.
• Atelier d’évaluation rapide : premiers jalons pour auditer votre niveau de maturité actuel.
• Échanges ouverts et réponses aux problématiques spécifiques des participants.

 Bilan & Fin de session 

• • NIS2 Lead Implementer : Maîtriser et DéPLOYER la Directive Cyber (5 jours)
  • Cloud Computing : Maîtriser les Risques Juridiques et Contractuels (2 jours)
  • RGPD : Fondamentaux et Mise en Conformité Opérationnelle (1 jour)

L’article Directive NIS2 : Briefing Décideurs & Enjeux de Conformité est apparu en premier sur DNDA Formation.

Propos liminaires sur le Règlement Européen (RGPD) 

Exercice pratique : quiz de démarrage

1. Le contexte du droit français et du droit européen des données à caractère personnel : les principaux textes applicables
2. Quel bilan de la Directive de 1995 ? Pourquoi avoir fait le choix d’un texte plus contraignant et d’application directe ?
3. Les différentes étapes de l’élaboration du Règlement européen
4. Le processus d’incorporation en droit interne et l’articulation avec les textes préexistants (Loi Informatique et Libertés, Loi pour une République numérique)

Les apports majeurs du Règlement Européen (RGPD)

1. Les nouvelles définitions et leurs conséquences
2. Les nouveaux principes consacrés : accountability, transparence, minimisation, etc.
3. Les apports en termes de condition de fond et de droits des personnes

Exercice pratique :

1. rédaction d’une mention d’information version Règlement selon un cas donné de nouvelles obligations et responsabilités pour les entreprises françaises
2. Apport des correctifs

Les impacts sur les responsables de traitement

1. Les incidences du principe de transparence
2. L’analyse d’impact ou PIA et consultation des autorités
3. La notification de faille de sécurité

Les impacts sur les sous-traitants

1. La relation avec les responsables de traitement
2. La tenue du registre d’activité
3. L’intérêt des certifications et code de conduite

Du CIL au DPO

1. Comment désigner le DPO ?
2.  Les rôles et missions du DPO
3. La responsabilité du DPO
4. Quel avenir pour le CIL ?

 Exercices pratiques :

• Rédaction d’une clause « Données personnelles » entre un responsable et un sous-traitant, en application du Règlement et identification des dispositions contractuelles à anticiper côté client et côté prestataire (sous-traitant)
• Apport des correctifs

Le rôle et les pouvoirs des autorités compétentes

1. Le rôle et la nouvelle coopération entre les autorités
2. Les conséquences du remplacement du G29 par le Comité européen de la protection des données (CEPD)
3. Les apports du guichet unique pour les entreprises
4. Les sanctions prévues au Règlement

Fin de session 

• Évaluation des connaissances :
  • Validation des acquis en fin de parcours via un QCM d’évaluation (remise d’une attestation de fin de formation).
  • Un support de cour format dématérialisé est remis au stagiaire en début de session ainsi qu’un cahier d’exercices.

Profil de l’intervenant

 Experts de la gouvernance des données et de la sécurité des systèmes d’information.

• Expertise Terrain : DPO (Data Protection Officer) certifié ou consultant juridique senior, disposant d’une expérience minimale de 10 ans dans l’accompagnement des entreprises et la gestion des risques de non-conformité.
• Double Compétence : Parfaite maîtrise du cadre juridique européen (RGPD, CNIL) alliée à une solide culture des enjeux de cybersécurité (normes ISO, directives NIS2), garantissant une approche globale et réaliste de la sécurité de vos actifs numériques.

Autres formations en conformité RGPD disponible :

• Devenir DPO / Pratique du Métier
• Certification DPO : Devenir Data Protection Officer
• Données de Santé, Hébergement (HDS) et Vie Privée

L’article RGPD Fondamentaux et Mise en Conformité Opérationnelle est apparu en premier sur DNDA Formation.

Exercice pratique : quiz de démarrage

• Le contexte du droit français et du droit européen des données à caractère personnel :
• Les principaux textes applicables

Les apports majeurs du Règlement Européen (RGPD)

• Les nouvelles définitions et leurs conséquences
• Les nouveaux principes consacrés : accountability, transparence, minimisation, etc.
• Les apports en termes de condition de fond et de droits des personnes

Exercice pratique : rédaction d’une mention d’information version Règlement selon un cas donné

2 Le rôle et les pouvoirs des autorités compétentes

La CNIL rôle et mission

3 Délégué à la Protection des Données

• Les rôles et missions du DPO
• La responsabilité du DPO
• Les items de la RGPD
  • Le droit des personnes
  • Le Registre des traitements
  • Les Durées de conservation des données
  • L’analyse d’impact
  • La gestion des réclamations
  • Le transfert de données

4 Focus et Exercices pratique, élaboration d’un plan d’action de mise en conformité au Règlement sur la base d’un cas donné

• Droit des personnes
• Registre des traitements
• Durées de conservation des données
• L’analyse d’impact
• La gestion des réclamations
• Le transfert de données

Fin de session 

• Évaluation des connaissances :
  • Validation des acquis en fin de parcours via un QCM d’évaluation (remise d’une attestation de fin de formation).
  • Un support de cours format dématérialisé est remis au stagiaire en début de session

Profil de l’intervenant

 Experts de la gouvernance des données et de la sécurité des systèmes d’information.

• Expertise Terrain : DPO (Data Protection Officer) certifié ou consultant juridique senior, disposant d’une expérience minimale de 10 ans dans l’accompagnement des entreprises et la gestion des risques de non-conformité.
• Double Compétence : Parfaite maîtrise du cadre juridique européen (RGPD, CNIL) alliée à une solide culture des enjeux de cybersécurité (normes ISO, directives NIS2), garantissant une approche globale et réaliste de la sécurité de vos actifs numériques.

Autres formations en conformité RGPD disponibles :

• RGPD : Fondamentaux et Mise en Conformité Opérationnelle (1 jour)
• Certification DPO : Devenir Data Protection Officer (5 jours)
• Données de Santé : Réglementation, Hébergement (HDS) et Vie Privée (3 jours)

L’article DPO / Délégué à la Protection des Données-Pratique du Métier est apparu en premier sur DNDA Formation.

• -Cadre légal et normatif
• Notions fondamentales
• Données de santé, dossier médical partagé, systèmes d’information, etc.
• Principaux acteurs
  • Patient, Professionnel de santé et médico-social, Établissements de santé, Hébergeur, ASIP-santé, CNIL, etc.

Droits des patients et secret

•  Droits des patients
  • Confidentialité de leurs données de santé, information et accès aux données, droit de rectification et d’opposition, etc.
• Secret
  Secret professionnel, secret médical, secret partagé

 Gestion des données personnelles de santé

• Licéité des traitements de données personnelles
• Recueil des données de santé
• Formalités préalables, PIA
• Élaboration et tenue du registre des activités de traitement
• Conservation, suppression, anonymisation et archivage des données
• Transferts internationaux de données
• Gestion des droits des personnes concernées

 Sécurité du système d’information de santé

• Obligations légales de sécurité de données et systèmes d’information de santé
• Enjeux de la sécurité du SI-S : Confidentialité, Intégrité, Disponibilité, Traçabilité et imputabilité
• PGSSI-S

Interopérabilité du système d’information de santé

• Obligation légale d’interopérabilité
• Présentation du cadre d’interopérabilité des systèmes d’information de santé

Hébergement des données de santé

• Exigences légales en matière d’hébergement
• Certification HDS
• Passage de l’agrément à la certification
• Médecin de l’hébergeur de la procédure d’agrément à la certification

 SMSI

• Présentation de la norme ISO 27001
• Organisation de la sécurité
  • Rôles et responsabilités, Politique de sécurité, SMSI
  • Médecin hébergeur
  • Responsabilités vis-à-vis du CSP
  • Gestion des risques
    Appréciation des risques
    Plan de traitement des risques
    Déclaration d’applicabilité étendue
    ISO27018
    Exigences HDS
    – Processus de certification
    – Mesures de sécurité opérationnelles
    Gestion des accès, identification, authentification
    Classification et chiffrement
    Architecture réseau et applicative
    Sécurité des échanges
    Durcissement des systèmes
    Objets connectés et accès distants
    Cycle de vie et obsolescence des systèmes
    Sauvegarde et archivage
    Auditabilité (Traçabilité, Imputabilité)
    – Gestion des incidents dans les contextes des données de santé
    Notifications aux autorités
    – Gestion de la continuité d’activité

Fin de session 

• Évaluation des connaissances :
  • Validation des acquis en fin de parcours via un QCM d’évaluation (remise d’une attestation de fin de formation).
  • Un support de cours format dématérialisé est remis au stagiaire en début de session

Profil de l’intervenant

 Experts de la gouvernance des données et de la sécurité des systèmes d’information.

• Expertise Terrain : DPO (Data Protection Officer) certifié ou consultant juridique senior, disposant d’une expérience minimale de 10 ans dans l’accompagnement des entreprises et la gestion des risques de non-conformité.
• Double Compétence : Parfaite maîtrise du cadre juridique européen (RGPD, CNIL) alliée à une solide culture des enjeux de cybersécurité (normes ISO, directives NIS2), garantissant une approche globale et réaliste de la sécurité de vos actifs numériques.

Autres formations en conformité RGPD disponibles :

• 1. RGPD : Fondamentaux et Mise en Conformité Opérationnelle (1 jour)
  •  Le socle indispensable, car l’hébergement de données de santé (HDS) s’appuie obligatoirement sur les bases générales du RGPD.
• 2. DPO / Délégué à la Protection des Données : Pratique du Métier (2 jours)
  •  Idéal pour les professionnels de santé ou directeurs d’hôpitaux nommés « Référents RGPD » qui ont besoin d’outils opérationnels.
• 3. Certification DPO : Devenir Data Protection Officer (5 jours)
  •  Pour les RSSI ou juristes du secteur médical qui souhaitent faire de la protection des données leur métier à plein temps et obtenir une certification d’expertise.

L’article Formation Hébergement des données de santé et vie privée est apparu en premier sur DNDA Formation.

Vision globale : les principes de la protection des données à caractère personnel

Les sources

• Histoire, évolution et mise en perspective du droit de la protection des données personnelles ;
  Directive « Police » et données relatives aux condamnations pénales et aux infractions ;
• Lignes directrices du G29, avis, lignes directrices et recommandations du comité européen de protection des données ;
• Jurisprudence française et européenne ;
• Changement de paradigme :
• du contrôle a priori au contrôle a posteriori ;
• exception : la survivance de formalités préalables dans le domaine de la santé, dans certains cas.

Les définitions essentielles

• Définitions et notions :
  • donnée à caractère personnel ;
    traitement ;
    fichier ;
• personne concernées, responsable de traitement, sous-traitant, destinataire, tiers ;
  catégories particulières de données ;
  • profilage et prise de décision automatisée.
• Champs d’application du RGPD et organismes concernés.

Les grands principes L’architecture complexe du RGPD ;

• Les principes essentiels du RGPD :
• finalités du traitement ;
  • principe de minimisation des données ;
  • notion d’exactitude des données ;
  • notion de conservation limitée des données ;
  • notion de base légale du traitement ;
  • notion de consentement ;
  • notion de catégories particulières de données à caractère personnel.
  • L’accountability et la traçabilité : le changement de paradigme ;
  • La sécurité.

Les droits des personnes concernées

• Droits et limites ;
  • Transparence et information ;
  • Accès, rectification et effacement (droit à l’oubli) ;
  • Limitation du traitement ;
  • Décisions individuelles automatisées et profilage ;
  • Opposition ;
  • Portabilité.

Les acteurs DPO :

• Du CIL au DPO ;
  • Désignation et fin de mission ;
  • Qualités professionnelles, connaissances spécialisées, capacité à accomplir ses missions, profil ;
  • Qualités personnelles, travail en équipe, management, communication, pédagogie ;
  • Fonction du DPO (moyens, ressources, positionnement, indépendance, confidentialité, absence de conflit d’intérêts, formation) ;
  • Missions du DPO et rôle du DPO en matière d’audits ;
  • Relations du DPO avec les personnes concernées, l’autorité de contrôle et les collaborateurs.
    Autorités de contrôle :
    • La CNIL ;
      • Statut ,Fonctionnement,Missions ,Pouvoirs ,Régime de sanction.
      • Comité européen de protection des données (CEPD) ;
      • Organismes de certification ;
      • Recours juridictionnels.

Les transferts de données :

• Les traitements transfrontaliers ;
• Les transferts de données hors UE :
• Décision d’adéquation ;
• Garanties appropriées ;
• Règles d’entreprise contraignantes ;
• Dérogations ;
• Autorisation de l’autorité de contrôle ;
• Suspension temporaire ;
• Clauses contractuelles.

Vision opérationnelle : mettre en œuvre la conformité

Nommer un DPO dans l’entreprise

• Mettre en place une organisation de gestion de projet :
• Constituer un comité de pilotage ;
• Nommer un chef de projet (le DPO ou non) ;
• Planifier des workshops avec les Services ;
• Désigner un sponsor dans l’organisation.
• Gérer et faire évoluer les organisations existantes ;
• Lui confier ou non la tenue des registres de traitement.

Mettre en place et/ou gérer la Gouvernance de protection des données

• Etre nommé DPO ;
• Faire un état des lieux de la situation.

Recenser parallèlement les outils et livrables de gouvernance

• Recenser les outils d’aide à la conformité déjà disponibles
• Prendre note des mises à jour et modifications éventuellement nécessaires
• Constituer ou mettre à jour un dossier des outils d’aide à la conformité
• Modèles de document, formulaire, outil PIA, référentiels, guides, forum, etc.
• Établir une liste des livrables attendus
• S’informer : mettre en place des outils et une méthodologie de veille (CEPD, lignes-directrices, actualités de la CNIL, etc.) ;
• établir des relations avec d’autres professionnels du domaine (associations de DPO, AFCDP,etc.)
• Recenser les codes de conduite, labels et certifications obtenus par l’entreprise ou intéressants, ainsi que les formations en place et les compétences déjà acquises dans la société

Connaître son environnement et son écosystème

• État des lieux plus poussé des livrables passés
• Études d’impact précédentes, conformité avec les formalités CNIL pré-RGPD, etc.
• Cartographier les données avec l’aide du RSSI et des Services
• Cartographier les systèmes d’informations (repérer les DACP), établir une matrice des flux, cartographier les acteurs (lister les contrats)
• Eclaircir les imprécisions sur les conséquences juridiques du fonctionnement des systèmes d’information (flux de données non connus, lieu d’hébergement des données et des back up)
• Etablir le registre des activités de traitement (responsable de traitement) et registre des catégories d’activités de traitement (sous-traitant)

Prioriser les actions sur la base de l’état des lieux

• Tirer les conséquences des qualifications juridiques établies
• apprécier l’impact des éventuelles modifications de fondement juridique des traitements ;
• apprécier la qualification donnée par les opérationnels des données traitées / collectées.
  Clarifier la situation contractuelle de l’entreprise
• renégocier les contrats ;
• entrer en contact avec les prestataires, les clients, etc. ;
• mettre à jour les documents et mentions d’information ;
• sensibiliser / informer les personnels.

Réaliser les analyses d’impact relatives à la protection des données (AIPD)

• Piloter les traitements par le risque :
• identifier les traitements les plus à risque ;
• identifier les traitements imposant la réalisation d’une étude d’impact.
• Réaliser les analyses de risque sur la sécurité des données ;
• Anticiper les violations de données à caractère personnel, la notification des violations et la communication avec les personnes concernées :
• mettre en place des mécanismes de remontées d’alertes, des référentiels de quantification des risques, des procédures de notification des violations de données ;
• coordonner cette notification avec les autres mécanismes de notification des incidents de sécurité ;
• prendre des mesures en vue de rétablir la disponibilité des données et l’accès aux données en cas d’incident physique ou technique.

Constituer son dossier de conformité (Accountability) et déployer une culture de « Protection des données » dans l’organisation

• Constituer son dossier de conformité (Accountability) :
  • lancer la création d’un SI /dossier dédié à la conformité pour la documentation ;
    mettre en place de processus d’alimentation de ce dossier.
  • Prendre des mesures techniques et organisationnelles pour la sécurité des données au regard des risques :
  • mettre en place la protection des données dès la conception (Privacy by design) et par défaut (Privacy by default) ;
  • garantir la confidentialité, l’intégrité et la résilience des systèmes et des services de traitement.
  • Déployer une culture de « Protection des données » dans l’entreprise :
    sensibiliser le personnel ;
  • créer un processus de réponse aux réclamations ;
  • organiser des exercices pour anticiper d’éventuelles violations de sécurité.

Se préparer à un contrôle de la CNIL et intégrer les risques juridiques

• Se préparer à un contrôle de la CNIL ;
• Intégrer les risques juridiques (voies de recours, moyens de défense, sanctions).

Fin de session 

• Évaluation des connaissances :
  • Validation des acquis en fin de parcours via un QCM d’évaluation (remise d’une attestation de fin de formation).
  • Un support de cour format dématérialisé est remis au stagiaire en début de session .

Profil de l’intervenant

 Experts de la gouvernance des données et de la sécurité des systèmes d’information.

• Expertise Terrain : DPO (Data Protection Officer) certifié ou consultant juridique senior, disposant d’une expérience minimale de 10 ans dans l’accompagnement des entreprises et la gestion des risques de non-conformité.
• Double Compétence : Parfaite maîtrise du cadre juridique européen (RGPD, CNIL) alliée à une solide culture des enjeux de cybersécurité (normes ISO, directives NIS2), garantissant une approche globale et réaliste de la sécurité de vos actifs numériques

Autres formations en conformité RGPD disponibles :

• RGPD : Fondamentaux et Mise en Conformité Opérationnelle (1 jour)
• DPO / Délégué à la Protection des Données : Pratique du Métier (2 jours)
• Données de Santé : Réglementation, Hébergement (HDS) et Vie Privée (3 jours)

L’article Certification DPO-Devenir Data Protection Officer est apparu en premier sur DNDA Formation.

• Présentation des enjeux DORA sur les tiers critiques

2 Cadre réglementaire et responsabilités

• Définition DORA des prestataires tiers TIC (fonctions critiques, importance systémique)
• Rôles et responsabilités : entité financière/tiers/prestations externalisées
• Périmètre, obligations et typologies de tiers selon DORA

 3 Cartographie, sélection et évaluation des tiers essentiels

• Méthodologie de cartographie : identification, classification, scoring de criticité
• Évaluation des risques liés aux fournisseurs : analyse de dépendance, risques de concentration, risques de sous-traitance

4 Exercices pratiques sur une cartographie sectorielle type

 5 Clauses contractuelles et dispositif organisationnel

• Les clauses DORA obligatoires à intégrer aux contrats
  • Description des services TIC/fonctions, localisation, sécurité, confidentialité, accès aux données, mesures en cas d’incident
  • Clauses de résiliation, continuité, auditabilité, reporting et notifications contractuelles

 6 Suivi, surveillance et audits des tiers

• Mise en place du registre DORA des prestataires tiers essentiels
• Indicateurs de performance (SLA/KPI), gestion du cycle de vie fournisseur
• Contrôles internes : audits programmés, planification, documentation des preuves

 7 Gestion des incidents & obligations de reporting

• Processus de détection, communication et notification des incidents fournisseurs
• Obligations de signalement externe
• Coordination entre fournisseur et entité financière en cas de crise

 8 Plan de sortie et résilience opérationnelle

• Stratégies d’exit plan : planification de la migration, prévisions de substitution
• Obligations contractuelles en cas de défaillance ou rupture du tiers

9 Fin de session :

• Synthèse, question et réponses
• QCM d’évaluation à chaud
• Remise des supports de formation et outils pratiques

 Profil Intervenant DNDA :

Hadrien Gravet :

• Hadrien Gravet est  spécialisé en Gouvernance, Risque et Conformité, certifié ISO 27005 Risk Manager et ISO 27001 Lead Implémenter .Fort de nombreuses missions en cybersécurité réglementaire (DORA, NIS2, ISO 27001), il accompagne des institutions financières et prestataires IT dans leurs projets de mise en conformité, d’audit et de gestion de crise.

Pour aller plus loin

Poursuivez votre parcours DORA ou assurez un accompagnement complet de votre organisation avec nos autres modules et solutions sur-mesure :

Autres modules DORA disponibles :

• Sensibilisation DORA & Enjeux de la Résilience Numérique
• Gestion des risques numériques & incidents sous DORA
• DORA : Application pratique et résilience TIC du SI

Besoin d’une démarche complète ?

Découvrez notre accompagnement sur-mesure à la mise en conformité DORA — du diagnostic initial au pilotage opérationnel de vos plans d’action, avec audits blancs, coaching et suivi post-formation.

Contactez-nous pour bâtir ensemble un parcours personnalisé ou un projet clé en main

L’article Gestion de la relation avec les tiers essentiels sous DORA est apparu en premier sur DNDA Formation.

Module 1 : Écosystème réglementaire et menaces du secteur financier

• Panorama actualisé de la cybermenace et typologie des attaques ciblant les entités financières.
• Articulation des textes européens : convergences et exigences croisées entre NIS 2, CER et ISO 27001/27002.
• Pourquoi DORA ? Objectifs stratégiques, calendrier d’application, rôles des autorités européennes (ESMA, EBA, EIOPA) et périmètre des sanctions.

Module 2 : Pilier 1 – Gouvernance, Cadre de gestion des risques TIC et Auto-diagnostic

• Responsabilisation juridique et opérationnelle des instances dirigeantes (COMEX / Conseil d’administration).
• Identification, classification et cartographie complète des actifs informatiques et des fonctions commerciales critiques (FBE).
• Atelier Pratique : Lancement de la démarche de Gap Analysis. Utilisation de la grille d’auto-diagnostic DND Agency basée sur les exigences clés du Pilier 1. Identification des premiers quick wins.

 Jour 2 : Gestion des Risques TIC & Industrialisation du Processus Incidents

Module 3 : Piliers 2 & 3 – Tests de résilience et socle de détection

• Stratégie de tests de résilience opérationnelle : des revues de vulnérabilités aux exercices de simulation (Table-Top).
• Introduction aux exigences de tests avancés : le cadre du TLPT (Threat-Led Penetration Testing).
• Mise en place des capacités de détection précoce et surveillance continue (articulation avec le SOC et le SIEM).

Module 4 : Le processus DORA de gestion et de classification des incidents

• Enregistrement systématique des dysfonctionnements et application des critères de classification réglementaires des incidents majeurs.
• Procédure, livrables et délais stricts pour la notification des incidents auprès des autorités (ACPR / AMF).
• Atelier Pratique : Simulation de crise cyber. Analyse collective d’un incident de sécurité fictif, qualification selon les critères DORA et rédaction du rapport de notification initial.

 Jour 3 : Risque Tiers, Gestion de Crise & Plan de Remédiation Opérationnel

Module 5 : Piliers 4 & 5 – Maîtrise des tiers critiques et Coopération

• Gérer la relation avec les tiers essentiels : stratégie d’approvisionnement TIC et tenue du registre des prestataires.
• Introduction aux clauses contractuelles obligatoires et principes du droit d’audit.
• Mécanismes d’échange d’informations sur les cybermenaces (Cyber Threat Intelligence).

Module 6 : Outillage, Plans de remédiation et Clôture

• Conception de la feuille de route de conformité : priorisation des chantiers lourds (court, moyen, long terme).
• Définition de la matrice RACI du projet et des indicateurs de pilotage (KPI/KRI) pour le reporting de la direction.
• Atelier Pratique : Consolidation du plan d’action opérationnel sur la base des diagnostics réalisés aux Jours 1 et 2.
• Évaluation & Fin de session : QCM de validation des acquis à chaud, session de questions/réponses et remise de la boîte à outils DND Agency (Checklist des exigences, trames de plan de remédiation).

 Votre Expert Intervenant DND Agency

Hadrien Gravet

Spécialiste en Gouvernance, Risque et Conformité (GRC), Hadrien est certifié ISO 27005 Risk Manager et ISO 27001 Lead Implementer. Fort d’une solide expérience terrain dans le déploiement de projets cyber réglementaires (DORA, NIS 2), il accompagne au quotidien les institutions financières et leurs prestataires informatiques dans la structuration de leur conformité, la conduite d’audits et la gestion opérationnelle des crises.

Poursuivre votre parcours de conformité

Découvrez nos autres modules complémentaires disponibles pour compléter la trajectoire de résilience de votre organisation :

• Sensibilisation DORA & Enjeux de la Résilience Numérique
• Gestion des risques numériques & incidents sous DORA
• Gestion de la relation avec les tiers essentiels sous DORA
• DORA : Application pratique et résilience TIC du SI

Contactez-nous pour bâtir ensemble un parcours personnalisé ou un projet clé en main

L’article Piloter la mise en conformité opérationnelle DORA est apparu en premier sur DNDA Formation.