Secteur financier · gestion des risques TIC & cyber (pilier 1 DORA + FINMA)
Gestion des risques TIC & cyber pour prestataires financiers, prête pour l'audit
Les banques, assureurs, maisons de titres, FinTechs et gestionnaires de fortune doivent piloter leurs risques TIC et cyber comme un risque opérationnel central. Le pilier 1 de DORA exige un cadre complet de gestion des risques TIC, et la FINMA attend une résilience opérationnelle. Nous construisons ce cadre sur une base ISO 27001, avec un registre des actifs et des risques, le BCM et un reporting destiné au conseil. Nous vérifions le champ d'application par institution.
Pilier 1 DORA · Circ. FINMA 2023/01base ISO 27001DE · FR · EN
Pour les responsables risque, TIC et conformité des banques, assureurs et FinTechs
Pilier 1 DORA
cadre risques TIC
Circ. FINMA 2023/01
résilience opérationnelle
ISO 27001
SMSI comme base
Registre actifs & risques
prêt pour l'audit
CH · EU
multilingue DE/FR/EN
Responsable de ce mandat
Philipp Staiger
M.Sc., MIT Sloan Fellow · Lead Auditor ISO 27001 (BSI)
Pilote les projets ISO 27001 et SMSI dans la santé, de l'atelier de périmètre à l'accompagnement de l'audit de stage 2, interface avec la direction, l'informatique, la protection des données et l'organisme de certification externe.
La gestion des risques TIC est devenue une obligation prudentielle
Le pilier 1 de DORA exige un cadre complet et documenté de gestion des risques TIC, et la FINMA attend que les risques TIC et cyber soient pilotés comme des risques opérationnels centraux. Ce qui s'applique directement ou indirectement dans votre cas, nous le vérifions par institution.
La circulaire FINMA 2023/01 sur les risques opérationnels et la résilience des banques est en vigueur et s'applique aux institutions surveillées par la FINMA. Elle attend que les risques TIC et cyber soient identifiés, évalués, limités et surveillés, intégrés dans une gouvernance qui remonte jusqu'au conseil d'administration. Une gestion vécue des risques TIC n'est donc plus facultative, elle fait partie des attentes prudentielles.
DORA, le règlement européen sur la résilience opérationnelle numérique, s'applique dans l'UE depuis le 17 janvier 2025 et, dans son pilier 1, exige un cadre de gestion des risques TIC sur tout le cycle de vie : gouvernance et responsabilités, identification des actifs et des risques TIC, protection et prévention, détection, réaction et rétablissement, ainsi qu'un apprentissage structuré tiré des incidents. Pour les institutions suisses, DORA s'applique généralement de manière indirecte, via des succursales ou filiales dans l'UE ou via des contrats avec des entités financières régulées dans l'UE. Que DORA s'applique directement ou indirectement, nous le clarifions par institution.
Un cadre solide ne tient pas seul. Il faut un registre des actifs et des risques TIC tenu à jour comme fondation, un lien avec la gestion de la continuité d'activité avec des délais de rétablissement définis, et un reporting qui donne au conseil une image claire de la situation des risques TIC. Ce sont précisément ces briques que nous rendons prêtes pour l'audit.
Un cadre documenté de gestion des risques TIC avec gouvernance, rôles et responsabilités selon le pilier 1 de DORA
Identification et classification des actifs et des risques TIC dans un registre tenu à jour
Mesures de protection et de prévention alignées sur la situation de risque et les attentes de la FINMA
Détection, réaction et rétablissement reliés au BCM avec des objectifs de délai de rétablissement (RTO) définis
Apprentissage structuré tiré des incidents et mise à jour régulière du cadre
Reporting des risques TIC destiné à la direction et au conseil d'administration
Comment nous construisons votre cadre de gestion des risques TIC
Nous ancrons la gestion des risques TIC sur une base ISO 27001. Cela évite un silo DORA parallèle et crée un cadre intégré qui répond aux attentes de la FINMA et au pilier 1 de DORA avec les mêmes preuves.
Nous partons d'une base ISO 27001 comme fondation commune. Un système de management de la sécurité de l'information fournit la gouvernance, la méthodologie de risque et le catalogue de mesures, sur lesquels les exigences spécifiques de DORA et de la FINMA s'arriment proprement. Lorsqu'un SMSI existe déjà, nous comblons les écarts vers le cadre de risques TIC plutôt que de repartir de zéro.
Au cœur se trouve un registre des actifs et des risques TIC. Nous recensons vos actifs TIC, les rattachons aux fonctions métier critiques et évaluons les risques avec une méthodologie cohérente. Nous en déduisons la sélection des contrôles et comblons les écarts par ordre de priorité, de la protection et de la prévention à la détection, puis à la réaction et au rétablissement. Nous tenons le registre, les risques et les mesures dans la Priverion-Plattform, le logiciel suisse de gestion de la conformité, de sorte que la preuve est toujours maintenue et exportable.
Nous alignons le cadre sur la gestion de la continuité d'activité. Les actifs TIC critiques reçoivent des objectifs de délai de rétablissement définis, alignés sur les exigences métier, et les processus de détection et de rétablissement s'imbriquent. Des briques opérationnelles comme les scans de vulnérabilités et les tests d'intrusion sont des prestations établies de SIDD et alimentent directement la couche de protection et de détection. La surveillance 24/7 continue et la réponse aux incidents managée, nous les coordonnons au besoin avec des partenaires spécialisés, ce qui garde nos conseils indépendants.
Le cadre se conclut par un reporting des risques TIC destiné au conseil. Nous donnons à la direction et au conseil d'administration une image claire et cohérente de la situation des risques TIC, des mesures ouvertes et du risque résiduel, dans la langue que comprend l'organe. Ainsi, l'attente prudentielle en matière de gouvernance et de responsabilité est satisfaite de façon démontrable. Nous travaillons en allemand, français et anglais.
Pourquoi SIDD pour votre gestion des risques TIC
Un cadre de risques TIC relie les exigences prudentielles à une sécurité technique vécue. Nous couvrons précisément cette combinaison auprès d'un seul partenaire, à pilotage juridique et solidement ancré sur le plan technique.
Droit et sécurité d'un seul partenaire
Le classement prudentiel de DORA et de la FINMA est piloté par des juristes titulaires d'un doctorat, le cadre TIC et les mesures techniques par une équipe technique interne dirigée par un Lead Auditor ISO 27001. Ainsi, l'interprétation réglementaire et la mise en œuvre technique concordent.
Base ISO 27001 plutôt qu'un silo DORA
Nous construisons la gestion des risques TIC sur un SMSI plutôt que de créer un dispositif DORA parallèle. Une fondation commune répond aux attentes de la FINMA, au pilier 1 de DORA et à une certification ISO ultérieure avec les mêmes preuves.
Preuves prêtes pour l'audit dans l'outil
Nous tenons le registre des actifs et des risques TIC, les contrôles, les mesures et le reporting dans la Priverion-Plattform. Si la FINMA, l'auditeur ou l'audit interne le demande, la preuve est disponible, maintenue et exportable.
BCM et RTO intégrés
Nous relions la gestion des risques TIC à la gestion de la continuité d'activité et définissons des délais de rétablissement pour les fonctions critiques. Ainsi, le cadre de risques alimente directement la résilience opérationnelle attendue par la FINMA et DORA.
Tests inclus, conseil indépendant
Les scans de vulnérabilités et les tests d'intrusion font partie de nos prestations établies et alimentent directement la couche de protection et de détection. La surveillance 24/7 continue et la réponse aux incidents managée, nous les coordonnons au besoin avec des partenaires spécialisés, et comme nous ne vendons pas de SOC propre, notre conseil reste indépendant.
Multilingue & pour le secteur financier
Nous conseillons en allemand, français et anglais, adapté aux institutions suisses et aux groupes ayant un ancrage dans l'UE. Nous portons le reporting dans la langue que comprennent la direction et le conseil d'administration et l'alignons sur l'attente prudentielle.
Deux voies vers une gestion des risques TIC prête pour l'audit
Cadre de gestion des risques TIC
Prix fixe
La mise en place ponctuelle de votre cadre de gestion des risques TIC sur une base ISO 27001, prêt pour la revue FINMA et la preuve DORA.
Cadre documenté de gestion des risques TIC selon le pilier 1 de DORA avec gouvernance et rôles
Registre des actifs et des risques TIC, mis en place et tenu dans la Priverion-Plattform
Sélection des contrôles et comblement priorisé des écarts sur une base ISO 27001
Alignement BCM avec des objectifs de délai de rétablissement (RTO) définis pour les actifs TIC critiques
Reporting des risques TIC destiné à la direction et au conseil d'administration
L'exploitation continue : quelqu'un qui tient le registre des risques TIC, produit le reporting et maintient le cadre à jour au rythme de l'autorité de surveillance.
vCISO comme interlocuteur fixe pour le risque TIC et cyber
Tenue continue du registre des actifs et des risques TIC, des contrôles et des mesures dans la Priverion-Plattform
Reporting périodique des risques TIC à la direction et au conseil d'administration
Mise à jour du cadre selon les nouvelles exigences FINMA et DORA, champ d'application vérifié au cas par cas
Coordination des scans de vulnérabilités et des tests d'intrusion et, si nécessaire, de la surveillance et de la réponse aux incidents avec des partenaires spécialisés
LexCMD
Notre outil : LexCommand
Pourquoi nous travaillons avec LexCommand, notre propre IA juridique suisse
LexCommand est notre IA juridique interne, adossée à des citations, pour le droit de la Suisse, de l'Allemagne, de l'Autriche et de l'UE. Développée et exploitée de manière souveraine en Suisse par Priverion GmbH, l'entreprise derrière SIDD. Nous ne faisons pas que prôner la souveraineté des données et la traçabilité, nous les avons intégrées dans notre propre outil, en complément de la Plateforme Priverion.
01
Souverain en Suisse
L'IA fonctionne en auto-hébergement sur une infrastructure suisse, sans LLM cloud externes. En tant qu'entreprise suisse indépendante sans société mère étrangère, nous traitons vos documents dans un environnement que nous maîtrisons.
02
Pas de citation, pas d'affirmation
Chaque affirmation juridique renvoie à une source primaire consultable, sinon elle n'apparaît pas. Nos recommandations deviennent ainsi vérifiables et auditables, au lieu de seulement paraître plausibles.
03
De l'effort au jugement
LexCommand prend en charge la recherche, le recoupement et le sourcing. Cela réduit les délais et libère nos conseillers seniors pour le jugement et l'échange avec le client, sans rien céder sur la rigueur.
04
Trois disciplines, une seule vue
Nous examinons la protection des données, la sécurité de l'information et la sécurité de l'IA sur une base de sources partagée avec un crosswalk de référentiels. Vous voyez ainsi les obligations qui se recoupent dans une vue consolidée, au lieu de trois analyses isolées.
Concrètement pour votre cadre de gestion des risques TIC : LexCommand remplit les politiques, le registre des risques et les preuves de contrôle sous forme de modèles Word suivis au contenu sourcé, et fait correspondre vos contrôles à DORA, à la circulaire FINMA 2023/01 et à ISO 27001 à la fois, afin que les exigences qui se recoupent apparaissent ensemble.
Déterministe dans le temps (à la date du jour ou à toute date de référence), avec cloisonnement des juridictions (CH/DE/AT/EU) et un vérificateur de citations à la fin de chaque réponse.
Questions fréquentes
DORA s'applique-t-il à nous en tant qu'institution suisse ?
DORA s'applique dans l'UE depuis le 17 janvier 2025. Pour les institutions suisses, il s'applique généralement de manière indirecte, par exemple via une succursale ou filiale dans l'UE ou via des contrats avec des entités financières régulées dans l'UE qui répercutent contractuellement les exigences DORA. Que DORA touche votre institution directement ou indirectement, nous le vérifions au cas par cas et alignons le cadre en conséquence.
Avons-nous besoin d'ISO 27001 pour répondre à DORA et à la FINMA ?
Une certification ISO 27001 n'est pas obligatoire, mais un SMSI selon ISO 27001 est la base la plus économique. Il fournit la gouvernance, la méthodologie de risque et un catalogue de mesures sur lesquels le pilier 1 de DORA et les attentes de la FINMA s'arriment proprement, plutôt que de construire un silo parallèle. Nous mettons en place le cadre sur cette base et préparons une certification si vous la visez. Le certificat lui-même est émis par un organisme de certification accrédité, nous conseillons et préparons.
Qu'est-ce qui distingue le registre des actifs et des risques TIC d'une simple liste d'inventaire ?
Une liste d'inventaire indique ce que vous avez. Le registre des actifs et des risques TIC relie chaque actif aux fonctions métier critiques qu'il soutient, évalue les risques associés avec une méthodologie cohérente et les rattache aux contrôles, aux mesures et aux délais de rétablissement. Cela transforme une liste en un instrument de pilotage qui sert directement le reporting et les revues. Nous le tenons dans la Priverion-Plattform.
Prenez-vous aussi en charge la surveillance continue et la réponse aux incidents ?
Nous construisons le cadre, le registre des actifs et des risques TIC, les processus de détection et de rétablissement ainsi que la logique de détection, et nous réalisons des scans de vulnérabilités et des tests d'intrusion en tant que prestations établies. Nous n'exploitons pas nous-mêmes une surveillance 24/7 continue ni une réponse aux incidents managée pilotée en direct. Ces briques opérationnelles, nous les coordonnons au besoin avec des partenaires spécialisés, ce qui garde nos conseils indépendants.
Quel est le lien entre la gestion des risques TIC et la déclaration des cyberincidents à la FINMA ?
Le cadre fournit la base pour détecter et classer les incidents tôt. Selon sa pratique de surveillance, la FINMA attend que les cyberattaques soient déclarées dans un délai d'environ 24 heures après leur constatation. Pour que cela tienne en cas réel, la détection, la classification et les canaux de déclaration doivent être préparés. Nous approfondissons ce processus de déclaration sur une page dédiée, et la gestion des risques TIC en pose les fondations.
Travaillez-vous en français et en anglais ?
Oui. Nous construisons le cadre et produisons le reporting en allemand, français et anglais, pertinent pour les institutions de Suisse alémanique, de Suisse romande et les groupes ayant un ancrage dans l'UE.
Étapes suivantes adaptées
La gestion des risques TIC est étroitement liée à la base ISO 27001 et à l'exploitation continue de la gouvernance :
Prêt pour une gestion des risques TIC prête pour l'audit ?
Nous construisons votre cadre de gestion des risques TIC sur une base ISO 27001 : registre des actifs et des risques, alignement BCM et reporting destiné au conseil, prêt pour l'audit FINMA et DORA. Nous vérifions le champ d'application par institution.
