HodeiShield®

DORA exige de savoir quels fournisseurs TIC soutiennent votre activité.

Pour un établissement de paiement, une société de gestion, un assureur ou un intermédiaire sans l’ingénierie tiers d’une grande banque : registre des fournisseurs TIC, classificateur d’incidents et indicateurs DORA dans la même boucle de risque, de concentration et de rayon d’impact.

Demander une démoLire la documentation (s’ouvre dans un nouvel onglet)
  • Fourchette FAIR toujours présentée comme simulée et non calibrée
  • Données dans l’UE (OVH, Gravelines) ; Cloudflare (États-Unis) sur le chemin de la requête

Ce qu’exige DORA, en bref

DORA unifie dans un seul règlement les exigences de résilience numérique des entités financières, selon le principe de proportionnalité.

Résumé informatif, pas de conseil juridique. Le périmètre et la proportionnalité applicables à votre entité dépendent du texte en vigueur et de votre superviseur.

Registre d’informations
Les entités tiennent un registre de tous leurs accords contractuels avec des fournisseurs TIC (article 28, paragraphe 3).
Clauses contractuelles clés
Les contrats comprennent, entre autres, des stratégies de sortie et des droits d’accès, d’inspection et d’audit (article 30).
Classer et notifier les incidents
Les incidents TIC sont classés selon des critères communs et les incidents majeurs sont notifiés au superviseur (articles 17 à 19).
Concentration et dépendance
Avant de contracter, le risque de concentration des fournisseurs TIC est évalué (article 29).

Les cinq piliers de DORA et la place de HodeiShield

Nous ne couvrons pas tout. Voici la partie du règlement sur laquelle la plateforme travaille, et celle sur laquelle elle ne travaille pas.

  1. II

    Gestion du risque TIC

    Exposition en euros par fournisseur et registre des risques.

    Partiel

  2. III

    Gestion, classification et notification des incidents

    Classificateur avec les critères de DORA et indicateur d’incidents majeurs.

    Partiel

  3. IV

    Tests de résilience opérationnelle

    N’inclut ni tests de résilience ni tests d’intrusion fondés sur la menace.

    Non couvert

  4. V

    Risque lié aux tiers TIC

    Registre des fournisseurs, plans de sortie, droit d’audit et concentration.

    Direct

  5. VI

    Partage d’informations

    Radar de menaces par secteur comme source ; ce n’est pas un accord de partage entre entités.

    Non couvert

De chaque obligation de DORA à une capacité de HodeiShield

Avec la phase du cycle et le périmètre. Uniquement ce que la plateforme étaye.

Direct : la plateforme le fait. Partiel : elle apporte des preuves ou une partie, le reste vous incombe. Non couvert : hors du périmètre de HodeiShield.

  • Obligation:

    Registre d’informations sur les accords avec les fournisseurs TIC

    Art. 28(3)

    Ce que fait HodeiShield:

    Registre des fournisseurs TIC avec criticité, plans de sortie et droit d’audit. La transmission du registre au superviseur suit les formats et canaux officiels ; HodeiShield ne la fait pas à votre place.

    Démo · vue DORA
    PhaseSENSE
    PérimètrePartiel
  • Obligation:

    Stratégie de sortie et droits d’audit dans les contrats

    Art. 30

    Ce que fait HodeiShield:

    Indique par fournisseur s’il existe un plan de sortie et un droit d’audit et calcule la couverture sur le total. Négocier les clauses vous revient.

    Docs · Conformité (s’ouvre dans un nouvel onglet)
    PhaseSENSEPREDICT
    PérimètreDirect
  • Obligation:

    Évaluer le risque de concentration des fournisseurs TIC

    Art. 29

    Ce que fait HodeiShield:

    Concentration HHI et rayon d’impact à 3 sauts sur le graphe des dépendances déclarées.

    Docs · Concepts de base (s’ouvre dans un nouvel onglet)
    PhasePREDICT
    PérimètreDirect
  • Obligation:

    Classer les incidents TIC et repérer les incidents majeurs

    Art. 18

    Ce que fait HodeiShield:

    Classificateur avec les critères de DORA : utilisateurs affectés, durée, perte de données, fonctions critiques, impact sur la réputation et impact économique.

    Démo · registre des incidents
    PhaseHors du cycle
    PérimètrePartiel
  • Obligation:

    Notifier les incidents majeurs au superviseur

    Art. 19

    Ce que fait HodeiShield:

    Le même registre unique qui alimente NIS2 et le RGPD. Le contenu et l’envoi de la notification, c’est vous qui les préparez et les faites.

    Démo · registre des incidents
    PhaseHors du cycle
    PérimètrePartiel
  • Obligation:

    Cadre de gestion du risque TIC

    Art. 6 et 8

    Ce que fait HodeiShield:

    ALE FAIR en euros avec fourchette d’incertitude simulée (non calibrée), simulateur déterministe de 7 scénarios et alertes acheminées vers 9 destinations.

    Docs · Moteur de risque (s’ouvre dans un nouvel onglet)
    PhasePREDICTACT
    PérimètrePartiel
  • Obligation:

    Suivi des fournisseurs TIC

    Art. 28

    Ce que fait HodeiShield:

    Questionnaires par jeton avec relances, analyse externe périodique, CVE quotidiennes et SBOM des fournisseurs.

    Docs · Moteur de risque (s’ouvre dans un nouvel onglet)
    PhaseSENSE
    PérimètrePartiel
  • Obligation:

    Indicateurs et preuves pour la direction et le superviseur

    Art. 5

    Ce que fait HodeiShield:

    Six indicateurs DORA (fournisseurs, critiques, plans de sortie, droits d’audit, incidents et incidents majeurs), tableau de bord exécutif et attestation ATTEST par bande de référentiel.

    Démo · vue DORA
    PhaseATTEST
    PérimètrePartiel
  • Obligation:

    Tests de résilience opérationnelle numérique

    Chap. IV

    Ce que fait HodeiShield:

    Hors de HodeiShield.

    PhaseHors du cycle
    PérimètreNon couvert

Ce que HodeiShield ne fait pas avec DORA

Ce qui reste en dehors, dit avant la démo.

  • Il ne transmet pas le registre au superviseur

    Il tient le registre des fournisseurs et leurs indicateurs. L’envoi, avec le format et le canal officiels, n’est pas une fonction que nous revendiquons.

  • Il ne réalise pas de tests de résilience

    Ni tests de scénarios ni TLPT. C’est un pilier à part entière de DORA qui reste en dehors.

  • Le FAIR n’est pas une probabilité de brèche

    C’est une estimation ponctuelle paramétrique en euros avec une fourchette d’incertitude simulée (non calibrée), avec des paramètres sectoriels du modèle.

  • Ce n’est pas du temps réel

    L’agent remonte ses données par cycle, les analyses de fournisseurs sont périodiques et la synchronisation des CVE est quotidienne.

Questions sur DORA

Des réponses avec le périmètre exact.

HodeiShield génère-t-il le registre d’informations transmis au superviseur ?

Il tient le registre de vos fournisseurs TIC avec criticité, plans de sortie et droit d’audit, et calcule les indicateurs. Nous ne revendiquons pas la transmission du registre avec le format et le canal officiels : cette partie reste la vôtre.

Quelles entités et depuis quand ?

DORA, le règlement (UE) 2022/2554, s’applique depuis le 17 janvier 2025 aux entités financières que son article 2 énumère. La proportionnalité et les régimes simplifiés dépendent de chaque entité.

Comment le FAIR est-il calculé ?

Comme une estimation ponctuelle paramétrique en euros, toujours accompagnée d’une fourchette d’incertitude simulée (non calibrée) et avec des paramètres sectoriels du modèle. Il n’est pas présenté comme calibré ni validé.

Est-ce en temps réel ?

Non. L’agent remonte ses données par cycle, les analyses de fournisseurs sont périodiques et la synchronisation des CVE est quotidienne.

Couvre-t-il les tests de résilience ?

Non. HodeiShield travaille sur le risque lié aux tiers, les incidents et les indicateurs. Les tests de résilience opérationnelle restent en dehors.

Solutions associées

Autres cas d’usage

Parcourez votre registre TIC avec un fournisseur critique sous les yeux

Lors de la démo, nous voyons un cas de fournisseur critique et de concentration : du registre à l’indicateur et aux preuves pour le superviseur.

Sans engagement. Données d’exemple.

Demander une démoLire la documentation (s’ouvre dans un nouvel onglet)