Gouvernance
Sylvain Bizouard (AXA France) : « Dans l’heure qui suit l’attaque, on est déjà tous mobilisés »
Par Laurent Delattre, publié le 24 juillet 2026
Refonte des dispositifs, cahier de reconstruction, registre des tiers, exercices de crise étendus aux métiers : chez AXA France, DORA n’a pas été traité comme un dossier de conformité de plus, mais comme le levier d’une refondation complète de la résilience. Dans ce deuxième témoignage de la Matinale IT for Business du 11 juin 2026, Sylvain Bizouard, Chief Security Officer et Data Privacy Officer d’AXA France, raconte comment la réglementation a servi de déclencheur, puis d’accélérateur, pour sortir la résilience de ses silos et mettre toute l’entreprise en mouvement.. Morceaux choisis, en attendant le replay.
Après le cadrage de Walter Peretti (ESILV) en ouverture de la Matinale IT for Business du 11 juin 2026, intitulée « NIS2, DORA : comment préparer vos équipes à la résilience ? », place à un autre retour d’expérience.
Thomas Pagbe recevait Sylvain Bizouard, Chief Security Officer et Data Privacy Officer d’AXA France. Son témoignage raconte, de l’intérieur, ce que DORA change vraiment dans une grande maison d’assurance.
Une longueur d’avance sur le texte
La réflexion démarre tôt. Très tôt. Dès le début 2022, les équipes d’AXA épluchent les premières épures du régulateur européen, plusieurs mois avant la publication officielle du règlement, fin 2022. Le diagnostic tombe vite : « On s’est rendu compte que le texte était extrêmement copieux et qu’il allait falloir franchir une marche très haute. On s’est dit qu’il fallait qu’on se lance avant même d’attendre la sortie officielle des textes. »
L’assureur n’attend donc pas le législateur : « Dès le mois de juillet 2022, on a lancé une étude de cadrage pour commencer à regarder concrètement ce qu’il allait falloir faire, de façon à être en départ lancé lorsque le texte sortirait à la fin de l’année. » Pari tenu : quand DORA paraît au Journal officiel de l’Union européenne, AXA France a déjà sa feuille de route.
Sortir la résilience de ses silos
Le chantier révèle d’abord un héritage. « Avant DORA — je parle pour AXA, évidemment — on avait une approche extrêmement silotée de la résilience, avec des équipes qui travaillaient de manière un petit peu indépendante les unes des autres, chacune sur un petit bout ou un aspect du sujet. » D’un côté, l’IT et son plan de secours informatique, le bon vieux PRA, vision essentiellement technologique. De l’autre, une équipe dédiée au plan de continuité d’activité, plus proche des besoins métiers. Ailleurs encore, la gestion des risques, la sécurité, les directions juridiques. Des approches « qui se parlaient, mais qui n’étaient pas totalement synchrones entre elles ». Verdict sans fard : « Tout ça ne marchait pas très bien. »
L’arrivée du texte force la mise en cohérence. « La grosse valeur ajoutée du chantier DORA, ça a été de mettre tout le monde autour de la table, avec les métiers, avec l’IT […] et de mettre en mouvement l’entreprise pour refonder complètement notre dispositif de résilience. » Le tout porté au plus haut niveau, direction générale et gestion des risques en tête.
Faut-il pour autant créditer le régulateur de cette refondation ? Sylvain Bizouard assume : DORA a été « à la fois un accélérateur et un déclencheur. Ça a peut-être d’abord été un déclencheur, et ensuite un accélérateur ».
Arrivé à son poste en 2020, il constate alors que les dispositifs maison ne sont « plus adaptés à l’évolution des risques, notamment le risque cyber » : « On n’était pas préparé à une crise d’ampleur, et on voyait bien que la crise d’ampleur devenait de plus en plus probable. » L’aiguillon réglementaire débloque la situation : « On tournait en rond depuis un an ou deux, et on a quelque part utilisé la réglementation pour passer à l’action. »
L’effet accélérateur, lui, tient à la supervision : « Quand il y a un régulateur comme l’ACPR qui suit nos travaux, forcément, ça facilite la mobilisation de l’entreprise. De ce point de vue-là, DORA a été une aide conséquente, sans laquelle je ne pense pas qu’on aurait fait tout ce qu’on a fait. »
Un « cahier de reconstruction » contre l’effet de sidération
Concrètement, que sait faire l’AXA résilient de 2026 que l’AXA d’avant ne savait pas faire ? Encaisser le pire scénario, le scénario cyber. « Avant, on était capable de reconstruire assez rapidement une application, une petite partie de notre système d’information, mais on n’était pas capable de reconstruire la totalité dans des délais raisonnables. »
DORA a servi de fil conducteur : recartographier l’ensemble des processus métiers, identifier les plus critiques, puis les actifs informatiques qui les portent, et « documenter ce qu’on appelle un cahier de reconstruction, qui n’existait pas auparavant, pour savoir dans quel ordre commencer les choses ».
Derrière ce document, une conviction que le panorama 2025 de l’ANSSI illustrait récemment par l’exemple : « Quand il y a une crise, il y a un effet de sidération. Si on reste paralysé par cet effet de sidération, si on ne sait pas par quel bout commencer, si on ne se met pas en action, c’est catastrophique. Ce qui est important, c’est d’être suffisamment préparé pour pouvoir passer immédiatement à l’action. »
Combien de temps pour reconstruire le système d’information ? Le CSO refuse de s’avancer, tout dépendra du périmètre touché. Il garantit autre chose : « Ce dont je suis sûr, c’est que dans l’heure qui suit l’attaque, on est déjà tous mobilisés en action. »
Le registre des tiers, « un truc qui donne de la peine à tout le monde »
Parmi les cinq piliers du règlement, celui des prestataires tiers aura été l’un des plus rugueux. La cartographie des actifs a progressé, celle de la chaîne de sous-traitance encore davantage : « On a considérablement amélioré notre compréhension, notre connaissance de toute notre chaîne de sous-traitance, ce qui n’était pas le cas avant. »
Reste le morceau de bravoure : « Dans DORA, il y a un truc qui donne de la peine à tout le monde : ce fameux registre d’informations des sous-traitants, où on nous demande de consolider énormément d’informations qui, jusqu’alors, étaient un petit peu partout dans la maison. » Aux achats, aux risques, dans les équipes sécurité… Un travail « très conséquent, qui n’est pas complètement terminé, pour tout dire — et je le dis d’autant plus aisément que le régulateur est au courant ».
Le retour sur investissement, lui, se mesure déjà : « Auparavant, quand il y avait un incident cyber qui touchait un acteur sur le marché, la première question qu’on se posait, c’était : est-ce qu’on est touché ? Et on mettait du temps à répondre à cette question-là. Aujourd’hui, la réponse est quasi immédiate. » Dans la foulée, chacun sait quelles mesures prendre et qui contacter.
Et les plus petits ? La question n’a rien de théorique pour AXA France, entourée de filiales de 200 à 300 personnes, « avec des équipes informatiques, des équipes risque extrêmement limitées, qui ne se seraient jamais sorties toutes seules de cette réglementation si on ne les avait pas aidées ». Le conseil de Sylvain Bizouard aux structures modestes tient en un mot, l’accompagnement : « Une réglementation comme DORA, qui est pléthorique, ce n’est déjà pas simple à digérer pour un grand groupe. Pour une petite structure, c’est extrêmement compliqué. […] On ne peut pas avoir toutes les expertises nécessaires, et la profondeur d’expertise nécessaire, pour adresser toutes les dimensions de DORA. »
« La résilience, clairement, c’est l’affaire de tous »
Dernier enseignement, et non des moindres : DORA n’est pas un examen de passage, plutôt un régime permanent. « Ce que nous oblige à mettre en place DORA, c’est un dispositif d’amélioration continue », avec des obligations annuelles et un principe de proportionnalité pour « ajuster l’effort en fonction de la criticité de la fonction ou des activités sous-jacentes ». AXA France a ainsi concentré la mise en conformité initiale sur ses activités les plus critiques – quasiment bouclée à l’échéance du 17 janvier 2025, « et ça n’a pas été simple » – avant d’étendre progressivement la démarche, avec pour objectif de couvrir à terme l’ensemble des fonctions de l’entreprise.
Restent les femmes et les hommes. « La résilience, clairement, c’est l’affaire de tous », pose Sylvain Bizouard, en écho direct au leitmotiv de Walter Peretti en ouverture : ne pas laisser le DSI seul. DORA consacre d’ailleurs un pilier entier à l’entraînement, « à la fois du management et des équipes », via des exercices de crise « considérablement renforcés » chez l’assureur.
Coûteux ? Oui. Nécessaires ? Plus encore : « Tant qu’on n’est pas mis dans une situation de crise, on ne se rend pas vraiment compte de ce que c’est qu’une crise. On comprend seulement à ce moment-là l’importance d’avoir fait des choses qui, a priori, ont été conçues pour ne jamais servir – sauf que, quand ça arrive, heureusement qu’elles sont là. »
Avant DORA, ces exercices restaient l’apanage d’équipes resserrées, autour de la cellule de crise nationale. Depuis, ils descendent dans les métiers pour embarquer un maximum de collaborateurs. Avec un basculement culturel à la clé : « Avant, on voyait bien que c’était un exercice obligé. Ils nous écoutaient gentiment. Ils validaient sans trop discuter les solutions qu’on leur proposait. Ils discutaient quand même au moment où on parlait budget, mais ça s’arrêtait là. » Et aujourd’hui ? « Ils sont vraiment devenus acteurs, ils sont complètement impliqués […] on a des solutions qui viennent d’eux, parce que ce sont les mieux placés pour les identifier, pour les construire – auxquelles on n’aurait jamais pensé tout seuls dans notre coin si on avait continué comme avant. »
Un second témoignage qui confirme le fil rouge de cette Matinale : la résilience ne se décrète pas, elle s’organise et elle s’entretient. Nous reviendrons dans les prochaines semaines sur les avis d’experts et les tables rondes qui ont prolongé ces retours d’expérience.
À LIRE AUSSI :
À LIRE AUSSI :
