--- title: "DORA AWS : preuves pour le risque TIC | Silamir Group" description: "DORA et AWS : AWS est prestataire critique, vos comptes restent à votre charge. Audit des accès, du chiffrement, des journaux et sauvegardes, données à Paris." url: https://audit.aws.silamir.com/fr/dora-aws lang: fr --- DORA AWS # DORA et AWS : ce que le règlement exige de vos comptes AWS AWS est désigné prestataire tiers critique au titre de DORA, mais la configuration de vos comptes AWS reste sous votre responsabilité : accès, chiffrement, journalisation, sauvegardes. L'audit Silamir évalue cette configuration et produit des éléments de preuve datés pour votre cadre de gestion du risque TIC. Il ne délivre pas de certification DORA. ## DORA en bref - Le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier (DORA) s'applique depuis le **17 janvier 2025**. - Il concerne la plupart des entités financières de l'Union : établissements de crédit, établissements de paiement et de monnaie électronique, entreprises d'investissement, entreprises d'assurance et de réassurance, sociétés de gestion, entre autres (article 2). - Il s'articule autour de cinq piliers : gestion du risque lié aux TIC, gestion et notification des incidents, tests de résilience opérationnelle numérique, risque lié aux prestataires tiers de TIC, partage d'informations. - Le règlement délégué (UE) 2024/1774 précise les outils, méthodes et politiques attendus du cadre de gestion du risque TIC. En France, le contrôle relève de l'ACPR et de l'AMF. ## AWS, prestataire tiers critique : ce qui reste à votre charge - Le **18 novembre 2025**, les autorités européennes de surveillance (ABE, AEAPP, AEMF) ont désigné Amazon Web Services EMEA SARL parmi les 19 prestataires tiers de TIC critiques. AWS est désormais supervisé directement à l'échelle européenne. - Cette supervision porte sur AWS en tant que prestataire. Elle ne vous décharge de rien : l'article 28 de DORA rappelle que l'entité financière reste pleinement responsable du respect de ses obligations quand elle recourt à un prestataire. - Dans le modèle de responsabilité partagée, AWS répond de la sécurité _du_ cloud (centres de données, matériel, services). Vous répondez de la sécurité _dans_ le cloud : identités, politiques, chiffrement, réseau, journaux, sauvegardes. - C'est cette seconde part que votre autorité de contrôle peut vous demander de démontrer, et c'est celle qu'évalue l'audit. ## Ce que DORA change pour vos comptes AWS Sur AWS, la sécurité de l'infrastructure relève d'AWS ; la configuration de vos comptes relève de vous. Or DORA vous demande de démontrer que vos systèmes sont protégés, surveillés, sauvegardés et testés. Pour vos comptes AWS, cela veut dire : - savoir quelles ressources tournent, dans quelles régions ; - prouver que les accès, le chiffrement et la segmentation réseau sont maîtrisés ; - montrer que les activités anormales sont journalisées et détectées ; - documenter les sauvegardes et la capacité de reprise ; - tester régulièrement, et suivre la correction des écarts trouvés. ## Correspondance entre DORA et l'audit Le tableau rapproche les articles de DORA des analyses de l'audit. Il indique où l'audit apporte des éléments ; l'appréciation de la conformité reste celle de votre fonction conformité. | Exigence DORA | Ce que regarde l'audit | Domaines | | --- | --- | --- | | **Art. 6 - Cadre de gestion du risque TIC, revu et audité** | Une évaluation datée et indépendante de la configuration AWS, avec constats, criticité et plan d'action. | Les dix domaines | | **Art. 8 - Identification des actifs TIC** | Inventaire des ressources par région et qualité du balisage (tags). | Inventaire | | **Art. 9 - Protection et prévention** | Contrôle des accès (IAM, MFA, moindre privilège), chiffrement (KMS, S3, EBS, RDS), secrets, segmentation réseau, conformité FSBP et CIS v5.0. | Sécurité, IAM, Réseau, Secrets et chiffrement | | **Art. 10 - Détection des activités anormales** | CloudTrail, GuardDuty, Security Hub, alarmes CIS 4.1 à 4.15, journaux de flux VPC. | Sécurité, Réseau | | **Art. 11 et 12 - Réponse, rétablissement, sauvegarde** | Plans AWS Backup, snapshots, réplication, déploiements multi-AZ, reprise multi-région, estimation des RTO et RPO. | Résilience, Well-Architected | | **Art. 24 et 25 - Tests de résilience opérationnelle numérique** | Évaluation des vulnérabilités de configuration et de la sécurité réseau ; scan DAST des endpoints publics en option. | Sécurité, Réseau, Sécurité web | | **Art. 28 - Risque lié aux prestataires tiers de TIC** | Hors périmètre : l'audit ne revoit ni les contrats ni le registre d'informations. Il documente votre part du modèle de responsabilité partagée sur AWS. | - | ## Des livrables utilisables comme éléments de preuve - **Dix rapports datés**, un par domaine, qui citent chaque ressource concernée (ARN, identifiant) : la trace de l'évaluation. - Un **plan d'action Excel** priorisé P0, P1, P2 : la base de votre suivi de remédiation, à rapprocher de votre registre des écarts. - Une **synthèse exécutive** et un **deck de 17 slides** : DORA fait porter à l'organe de direction la responsabilité finale du risque TIC (article 5). - Des **scénarios d'attaque** transverses, pour illustrer les risques et justifier les priorités. Relancé après les corrections, l'audit mesure le progrès sur les mêmes contrôles. ## Vos données restent en France - Collecte, analyse, stockage et envoi des rapports ont lieu dans la région AWS `eu-west-3` (Paris). - L'IA (modèles Anthropic Claude) est invoquée via Amazon Bedrock avec des profils d'inférence européens ; vos données ne servent pas à entraîner les modèles. - L'accès se fait par un rôle IAM en lecture seule, protégé par un External ID unique et révocable à tout moment. - Les données collectées et les rapports sont supprimés automatiquement après 7 jours. Le seul sous-traitant est Amazon Web Services. - Pour ce service, Silamir Group est un prestataire tiers de TIC : à inscrire dans votre registre d'informations si votre analyse le requiert. ## Ce que l'audit ne couvre pas - Les **tests de pénétration fondés sur la menace** (TLPT, article 26), réservés à des testeurs répondant à des exigences spécifiques. - La **gestion et la notification des incidents** (articles 17 à 23), la revue des contrats et les stratégies de sortie des prestataires. - Les systèmes hors AWS, et les comptes AWS non audités : un audit porte sur un compte, à une date. - L'avis de votre fonction conformité ou de vos auditeurs, que l'audit alimente sans le remplacer. ## Questions fréquentes sur l'audit AWS et DORA **L'audit rend-il mon organisation conforme à DORA ?** Non. DORA porte sur l'ensemble de votre gestion du risque TIC : gouvernance, incidents, tests, prestataires. L'audit évalue la configuration de vos comptes AWS et fournit des éléments de preuve pour une partie de ces exigences, notamment les articles 8 à 12. **Peut-il entrer dans notre programme de tests annuel ?** Il peut l'alimenter. L'article 25 cite parmi les tests possibles les évaluations et analyses de vulnérabilités et les évaluations de la sécurité des réseaux ; l'article 24 demande de tester au moins une fois par an les systèmes qui soutiennent des fonctions critiques ou importantes. L'intégration dans votre programme, fondé sur les risques, reste votre décision. **Où sont traitées nos données ?** À Paris, dans la région AWS `eu-west-3`, y compris l'analyse par IA via des profils d'inférence Amazon Bedrock européens. Les artefacts sont supprimés après 7 jours. **Nous avons des dizaines de comptes AWS : comment faire ?** Un audit porte sur un compte. Commencez par les comptes qui hébergent des fonctions critiques ou importantes, puis étendez : chaque audit est facturé 299 USD, sans engagement. **Les rapports sont-ils en français ?** Oui. Les rapports, la synthèse et le deck sont rédigés en français. ## À lire aussi - **[10 contrôles AWS pour DORA](https://audit.aws.silamir.com/fr/ressources/10-controles-aws-dora)**: Les 10 contrôles AWS qui répondent aux articles 8 à 12 de DORA : root, MFA, chiffrement, CloudTrail, GuardDuty, sauvegardes. Références CIS v5.0 et FSBP. - **[ISO 27001 et NIS 2 sur AWS](https://audit.aws.silamir.com/fr/ressources/iso-27001-nis2-aws)**: ISO 27001 et NIS 2 sur AWS : contrôles de l'annexe A et mesures de l'article 21 vérifiables dans vos comptes, part d'AWS, limites d'un audit et preuves à produire. - **[Audit sécurité AWS](https://audit.aws.silamir.com/fr/audit-securite-aws)**: Audit de sécurité AWS en lecture seule selon FSBP et CIS AWS Foundations v5.0 : scores par standard, scénarios d'attaque, plan de remédiation P0/P1/P2. 299 USD. - **[Audit FinOps AWS](https://audit.aws.silamir.com/fr/audit-finops-aws)**: Audit FinOps AWS : Savings Plans, rightsizing, ressources inutilisées, endpoints VPC. Chaque gain est chiffré en euros par mois, avec les commandes à appliquer. ## Prêt à auditer votre compte AWS ? Souscrivez sur AWS Marketplace, déployez le rôle en lecture seule et recevez vos rapports dans l'heure. [Souscrire sur AWS Marketplace](https://aws.amazon.com/marketplace/pp/prodview-llvpm5sa4mljs) · [Voir le fonctionnement](https://audit.aws.silamir.com/fr/fonctionnement)