Le constat
Le registre d’information ne tient pas dans un tableur
DORA impose aux entités financières un registre de leurs accords avec les prestataires TIC, dans un format précis, transmissible à l’autorité compétente. La plupart des équipes commencent dans Excel : noms de fournisseurs contradictoires, codes LEI manquants, clauses non vérifiées, fichier rejeté au contrôle.
DORA Toolkit reprend le modèle réglementaire et ses contrôles, importe l’existant et produit l’export au format attendu. Gouvernance, risques TIC, incidents, tests et contrats partagent le même modèle de données : une fonction critique se relit avec ses actifs, ses tiers, ses contrats et ses incidents.
L’outil couvre DORA et uniquement DORA, pour les banques, assureurs, fintechs, établissements de paiement et sociétés de gestion, et pour les consultants qui suivent plusieurs entités. L’analyse reste celle de vos équipes ; pour le fond réglementaire, nos partenaires prennent le relais.
Un format imposé
Quinze tableaux définis par les normes techniques européennes, du périmètre aux sous-traitants de rang N.
Un dépôt qui rejette
Un fichier au format attendu peut encore être refusé au dépôt : code LEI absent, classification erronée, code EBA mal sérialisé. Une incohérence suffit.
Des obligations à déduire
Chaque contrat, chaque prestataire, chaque fonction critique déclenche ses propres obligations. Suivies à la main, certaines passent inaperçues jusqu’à l’audit.
Cas d’usage
Cinq situations pour lesquelles DORA Toolkit est pensé
Audit imminent
Le superviseur demande le registre d’information.
Prise de poste RSSI
Aucun cadre TIC documenté à l’arrivée.
Budget à défendre
Justifier le budget TIC devant la direction.
Incident à qualifier
Savoir si une coupure est notifiable, et quand.
Nouvelle entité
Intégrer une acquisition dans le périmètre DORA.
Registre d’information
Les quinze tableaux réglementaires, alimentés par des formulaires guidés
- Les quinze tableaux du registre, de RT.01.01 (entité tenant le registre) à RT.99.01 (terminologie), se remplissent depuis des formulaires dédiés : fonctions critiques et importantes au sens de l’article 8, tiers, contrats, actifs. Chaque champ porte son code réglementaire, jusqu’aux valeurs codées EBA.
- Vous partez de votre registre actuel : import d’un fichier Excel, d’un CSV ou d’un paquet ZIP au format XBRL-CSV. Le format XBRL-XML n’est pas pris en charge.
- Un bandeau annonce en permanence si le registre est exportable, et compte les points bloquants qui restent : champs obligatoires, doublons de codes, incohérences. L’export produit un paquet XBRL-CSV au format de la taxonomie EBA DORA 4.0, de b_01.01 à b_99.01. Rien n’est soumis automatiquement.
- Un état des lieux ou un plan d’action en Excel ou en CSV peut aussi servir de point de départ. L’IA en tire des propositions (fonctions, prestataires, actifs, incidents, tests, actions), vous cochez celles que vous retenez. Rien n’est enregistré sans votre validation.
Données enrichies à la saisie
Recherche d’entreprise par SIREN ou par nom
Raison sociale, SIRET et code NAF, pré-remplis depuis l’API Recherche d’entreprises de l’État à la création de la fiche d’un tiers ou de l’entité.
Résolution du LEI via GLEIF
Le code LEI attendu dans le registre est recherché dans la base publique GLEIF, avec le nom légal, le pays et le statut. Un SIREN valide suffit à le retrouver. S’il n’est pas retrouvé, vous le saisissez vous-même.
Bases publiques uniquement
Les données proviennent de data.gouv et de la GLEIF. Aucune donnée personnelle ou confidentielle n’est nécessaire.
Obligations
Les obligations applicables, déduites de vos contrats
- La liste des obligations se génère à partir des tiers, des contrats et des fonctions déclarés, regroupée par article, avec le déclencheur de chacune : tel contrat, avec tel fournisseur, pour telle fonction critique.
- Pour chaque obligation, vous qualifiez la couverture (couverte, partielle, écart, non évaluée) et vous ajoutez vos notes. Le statut reste déclaratif : c’est votre évaluation, pas un contrôle automatique.
- Le tableau de bord calcule un score global et un score par pilier : gouvernance, risques TIC, incidents, tests, tiers. L’écran le rappelle : ce score n’est pas une attestation de conformité.
- Les références légales s’affichent en mode détaillé ou simplifié, selon que le lecteur est juriste ou opérationnel. C’est un réglage d’affichage : le rattachement article par champ et le calcul du score ne bougent pas.
- Un assistant IA, encore en bêta, répond à partir de vos données (score, écarts, échéances, incidents, prestataires, contrats, tests) et d’un référentiel des articles DORA. Son quota d’usage reste visible. L’analyse reste celle du RSSI, du DPO ou du juriste.
Risques TIC
Un registre des risques TIC relié à vos référentiels
- Chaque risque porte sa catégorie, sa probabilité et son impact de 1 à 5, sa criticité, son statut et son responsable.
- Un risque se rattache aux référentiels déjà saisis : la fonction, l’actif, le tiers ou le contrat concerné. Rien n’est ressaisi.
- Une matrice probabilité et impact donne la lecture d’ensemble, celle que la direction attend en comité.
- Chaque risque reçoit son plan d’action : statut, horizon, échéance, responsable. Les actions remontent en priorité sur le tableau de bord.
- Ce registre sert le pilotage interne : il n’alimente pas le registre d’information transmis à l’autorité.
Sur le tableau de bord
Carte des dépendances
Depuis une fonction critique, vous descendez vers les actifs, les tiers, les contrats, les incidents et les écarts qui lui sont rattachés, sans reconstituer le lien à la main.
Alerte de concentration
Quand un même prestataire porte plusieurs fonctions clés, l’outil le signale. Le risque de concentration TIC est une exigence de l’article 29 : l’alerte le rend visible sans analyse manuelle.
Exposition du groupe
Les prestataires se regroupent par groupe et par chaîne de sous-traitance, à partir du registre d’information. La concentration se lit aussi au niveau consolidé.
Pilotage
Incidents, calendrier des tests et rapport pour la direction
- Chaque incident est classé majeur, significatif ou mineur (article 18) à partir de critères chiffrés : clients et transactions touchés, durée, étendue géographique, services critiques, perte de données, atteinte à la réputation.
- Les notifications initiale, intermédiaire et finale se suivent avec un compte à rebours, et une alerte email part à la moitié puis à 90 % du délai. L’outil prépare la déclaration structurée, en fichier JSON que vous déposez vous-même auprès de l’ACPR.
- Un calendrier couvre les cinq types de tests attendus (articles 24 à 27) : évaluation de vulnérabilités, test d’intrusion, test par scénario, test PCA/PRA et TLPT. Chacun porte sa fréquence, modifiable (six mois pour les vulnérabilités, un an pour l’intrusion, le scénario et le PCA/PRA, trois ans pour le TLPT par défaut), et une alerte email part 30 jours puis 7 jours avant l’échéance.
- Chaque test reçoit ses constats, classés de critique à faible, un plan de remédiation daté et ses rapports en pièces jointes. Les remédiations en retard remontent d’elles-mêmes. Un TLPT ouvre ses propres champs : acteur de la menace simulé, prestataire et son accréditation, référence TIBER-EU.
- Depuis le tableau de bord, un rapport de conformité se génère en PDF ou en présentation PowerPoint : couverture avec l’entité et le score, synthèse avec les trois priorités, analyse par pilier, points d’attention classés.
- Chaque création, modification, import ou export est consigné dans un journal que personne ne peut modifier après coup. Il se filtre, compare l’état des tiers, des contrats et des fonctions entre deux dates, et s’exporte en CSV. Il est réservé aux administrateurs et aux auditeurs, qui n’ont qu’un accès en lecture.
Avant de vous lancer
Situer votre maturité DORA en vingt questions
- Vingt questions, environ cinq minutes, sans création de compte.
- Chaque question renvoie à l’article DORA concerné : vous voyez d’où vient l’exigence, pas seulement votre score.
- Le résultat reste une première estimation. Il ne remplace ni un registre d’information complet ni un audit de conformité, et le score évolue une fois le registre rempli dans l’application.
Accès et formules
14 jours d’essai, puis la formule Standard
Essai
Gratuit, 14 jours
Registre complet avec import, obligations et score, risques TIC, incidents, tests, rapport PDF et PowerPoint. L’IA est comptée : 10 questions à l’assistant, 2 analyses de contrat, 3 imports de document. L’export XBRL-CSV vient avec l’abonnement.
Créer un compteStandard
Tarif sur demande
Tout le contenu de l’essai, l’IA sans quota, l’export XBRL-CSV du registre, le support par email sous 48 heures et les mises à jour réglementaires.
Demander un tarifÀ la création du compte, une checklist de démarrage en six étapes ouvre la marche, de la fiche de l’organisation à l’invitation d’un collègue, en passant par la première fonction critique, le premier fournisseur, le premier contrat et la première due diligence. Comptez deux heures pour la première structuration du registre, avec la liste de vos fournisseurs TIC et de vos contrats sous la main. À la fin de l’essai, le compte reste consultable en lecture seule.
Avant de commencer
Questions fréquentes
L’export XBRL est-il transmis automatiquement à l’ACPR ?
Non. DORA Toolkit génère le paquet XBRL-CSV au format attendu. Vous le relisez, puis vous le déposez vous-même sur le canal officiel, le portail OneGate de l’ACPR ou le canal de votre autorité compétente. La transmission réglementaire reste entre vos mains.
Le fichier XBRL sera-t-il accepté par le portail OneGate ?
Le paquet suit la taxonomie EBA DORA 4.0, et des contrôles bloquants portent sur les champs obligatoires avant l’export. L’acceptation reste du ressort de l’autorité : un premier dépôt sur l’environnement d’homologation de l’ACPR est recommandé avant le dépôt en production.
L’assistant IA remplace-t-il un consultant DORA ?
Non. Il répond à partir de vos propres données et d’un référentiel des articles DORA, pour éclairer une exigence ou retrouver un écart. Il ne conclut jamais à la conformité sans données pour l’étayer. Il est encore en bêta et peut se tromper : l’analyse reste celle d’un RSSI, d’un DPO ou d’un juriste.
Où sont hébergées les données ?
En France, chez OVHcloud et 3DS OUTSCALE, dans des datacenters certifiés ISO 27001 et ISO 27701 et qualifiés SecNumCloud. Les données sont chiffrées au repos et en transit, et chaque organisation dispose de son propre espace cloisonné.
Peut-on récupérer ses données en quittant l’outil ?
Oui. Le projet complet s’exporte en JSON depuis les paramètres de l’organisation, et le registre en XBRL-CSV avec l’abonnement.
Un cabinet peut-il suivre plusieurs clients ?
Oui. Un compte partenaire crée jusqu’à dix organisations clientes et passe de l’une à l’autre sans se reconnecter. Au-delà, nos équipes rattachent les suivantes.
Quelles conditions s’appliquent à l’abonnement ?
Les conditions générales d’utilisation et de vente sont publiques et consultables en ligne. Elles s’acceptent à la création du compte, et l’acceptation est horodatée avec la version en vigueur. À chaque mise à jour des conditions, une nouvelle acceptation est demandée : vous savez toujours quelle version vous engage, et à quelle date vous l’avez acceptée.
Où suivre les évolutions du produit ?
Le changelog produit est dans l’application, réservé aux comptes clients : il détaille les évolutions fonctionnelles version par version. Le changelog de l’API, lui, est public sur la page API, avec les endpoints ajoutés et les changements de quota.
Que se passe-t-il à la fin des 14 jours d’essai ?
Le compte passe en lecture seule : vos données restent consultables, la saisie et la sauvegarde sont bloquées. La formule Standard les rouvre, avec l’export XBRL-CSV du registre.
DORA Toolkit couvre-t-il NIS2, ISO 27001 ou HDS ?
Non. DORA Toolkit couvre uniquement DORA. Pour couvrir plusieurs référentiels à la fois, la plateforme GRC Make IT Safe est faite pour cela.
La suite Make IT Safe