Nous identifions les activités qui ne peuvent pas s’arrêter, construisons les plans de continuité et de reprise qui les protègent, et les exerçons avec vos équipes jusqu’à ce qu’ils fonctionnent.
Le jour de la crise, on découvre les numéros périmés, les sauvegardes inutilisables, les dépendances oubliées et les décisions que personne n’ose prendre. Un plan écrit mais jamais joué donne une fausse assurance.
Nous partons donc de l’impact sur vos activités, construisons des plans courts et opérationnels, et les exerçons. Chaque exercice produit un retour d’expérience ; chaque enseignement améliore le plan.
Des plans proportionnés à votre taille, qui tiennent sur quelques pages et se jouent en quelques heures.
Vous obtenezUn BIA validé par la direction
Vous obtenezDes plans courts et opérationnels
Vous obtenezDes comptes rendus d’exercice datés
Vous obtenezUn plan d’amélioration suivi
Les textes ne se contentent pas d’un plan : ils demandent des sauvegardes testées, des plans exercés et des retours d’expérience.
Les entités financières mettent en place une politique de continuité des activités informatiques, maintiennent et testent périodiquement leurs plans de continuité, au moins une fois par an, et documentent leurs politiques de sauvegarde.1234
La directive range la continuité des activités, la gestion des sauvegardes, la reprise après sinistre et la gestion des crises parmi les mesures que les États membres doivent exiger des entités.5
Le ReCyF (version de travail) fixe aux entités l’objectif de sauvegardes testées au moins une fois par an, de plans de continuité et de reprise pour les entités essentielles, d’une préparation aux crises d’origine cyber et d’exercices réguliers.678
Les mesures de sécurité comprennent, selon les besoins, les moyens de rétablir la disponibilité des données personnelles et l’accès à celles-ci dans des délais appropriés en cas d’incident.9
Les textes ne s’appliquent pas à toutes les organisations : leur applicabilité dépend de votre statut, de votre secteur, de votre taille et de vos contrats. Elle est à faire confirmer par votre juriste ou un avocat spécialisé.
Vous choisissez le niveau ; le périmètre et les livrables sont fixés par contrat.
Nous vérifions à intervalles convenus que les sauvegardes se restaurent et que les plans et contacts sont à jour.
LivrablesNous conduisons le BIA, rédigeons ou revoyons les plans et concevons les exercices.
LivrablesNous animons les exercices et le suivi des améliorations avec vos équipes, sans effectuer les changements dans votre SI.
LivrablesUn questionnaire et une méthode de calcul qui permettent un premier bilan d’impact en quelques entretiens.
Rançongiciel, perte d’un prestataire, indisponibilité d’un site : des scénarios prêts à adapter, avec leurs injects.
Des modèles de plans de crise, de continuité et de reprise qui tiennent en quelques pages.
Pour une entité financière soumise à DORA, au moins une fois par an, et à chaque changement substantiel des systèmes qui soutiennent des fonctions critiques. Pour les autres, nous recommandons au moins un exercice par an et un test de restauration plus fréquent.3
Un exercice sur table, non : il se joue en salle. Les tests techniques, comme une restauration, se planifient sur un environnement et un créneau convenus par écrit.
Nous pouvons accompagner votre cellule de crise, coordonner les acteurs et tenir le journal de bord ; les décisions restent celles de votre direction.
Oui, quand ils soutiennent une activité critique : leur défaillance fait partie des scénarios. DORA le prévoit expressément pour les fonctions critiques confiées à des prestataires informatiques.2
Décrivez votre organisation et vos plans existants. Nous revenons vers vous avec une proposition de BIA ou de premier exercice.
Texte exact, dans sa langue d’origine, tiré des référentiels extraits du texte officiel.
32022R2554-a11-p1As part of the ICT risk management framework referred to in Article 6(1) and based on the identification requirements set out in Article 8, financial entities shall put in place a comprehensive ICT business continuity policy, which may be adopted as a dedicated specific policy, forming an integral part of the overall business continuity policy of the financial entity.32022R2554-a11-p4Financial entities shall put in place, maintain and periodically test appropriate ICT business continuity plans, notably with regard to critical or important functions outsourced or contracted through arrangements with ICT third-party service providers.32022R2554-a11-p6-1test the ICT business continuity plans and the ICT response and recovery plans in relation to ICT systems supporting all functions at least yearly, as well as in the event of any substantive changes to ICT systems supporting critical or important functions;32022R2554-a12-p1-1backup policies and procedures specifying the scope of the data that is subject to the backup and the minimum frequency of the backup, based on the criticality of information or the confidentiality level of the data;32022L2555-a21-p2-3business continuity, such as backup management and disaster recovery, and crisis management;recyf:obj-13Les entités [importantes ou essentielles] mettent en œuvre des mécanismes de sauvegarde et de restauration opérationnels et les testent au minimum une fois par an.
Les entités [essentielles] définissent et maintiennent à jour des plans de continuité et de reprise d’activité adaptés aux besoins de leurs activités et services.recyf:obj-14Les entités [importantes ou essentielles] mettent en œuvre une organisation, des processus et des outils adaptés pour se préparer et réagir à des crises d’origine cyber et tiennent à la disposition des autorités nationales compétentes et en particulier de l’autorité nationale de sécurité des systèmes d’information les informations relatives aux parties prenantes externes à l’entité pertinente dans la gestion de la crise.
Les [entités essentielles] mettent en œuvre des retours d’expérience permettant d’identifier les axes d’amélioration et les mesures associées à mettre en œuvre suite à un entraînement, un exercice ou une crise réelle.recyf:obj-15Les entités [importantes ou essentielles] réalisent des exercices, tests et entraînements à intervalles réguliers pour vérifier la capacité de leur organisation, de leurs processus, de leurs outils et de leur préparation à faire face aux incidents de sécurité et aux crises d’origine cyber.32016R0679-a32-p1-3the ability to restore the availability and access to personal data in a timely manner in the event of a physical or technical incident;