La décision que ce guide vous aide à prendre
Un programme TLPT complet relie la sélection de l’autorité, le périmètre des fonctions critiques, des prestataires qualifiés, des tests contrôlés sur des systèmes en production et la clôture. Utilisez les exigences ci-dessous pour désigner les responsables des décisions et des preuves ; un test d’intrusion classique ne suffit pas à achever ce processus.
Ce qu’exige le TLPT DORA
Le test d’intrusion fondé sur les menaces prévu par DORA est un exercice supervisé par l’autorité pour certaines entités financières. Il associe du renseignement sur les menaces ciblé, des tests contrôlés de systèmes de production en service, des enseignements défensifs et une remédiation encadrée. Commander un test d’intrusion conventionnel ne suffit pas à satisfaire au processus TLPT.
Ce guide présente les principales exigences des articles 26 et 27 de DORA et du règlement délégué (UE) 2025/1190 de la Commission, les normes techniques de réglementation (RTS) relatives au TLPT. Pour préparer une mission, découvrez nos services TLPT DORA. Les suggestions de préparation ci-dessous sont des moyens pratiques d’organiser les travaux ; elles sont distinguées des exigences réglementaires qu’elles étayent.
| Question | Exigence à prendre en compte |
|---|---|
| Qui doit réaliser un TLPT ? | Entités financières identifiées par l’autorité compétente selon les critères de sélection applicables ; cela ne concerne pas toutes les organisations soumises à DORA. |
| À quelle fréquence ? | Au moins tous les trois ans pour les entités tenues de réaliser un TLPT ; l’autorité peut adapter la fréquence si nécessaire. |
| Qu’est-ce qui est testé ? | Plusieurs fonctions critiques ou importantes, voire toutes, au moyen des systèmes de production en service qui les prennent en charge, dans le cadre d’un périmètre validé. |
| Combien de temps durent les tests actifs ? | Au moins 12 semaines ; la préparation, le renseignement sur les menaces et la clôture nécessitent du temps supplémentaire. |
| Que se passe-t-il après le test ? | Rapports des équipes rouge et bleue, relecture de l’activité, purple teaming, rapport de synthèse et plan de remédiation. |
1. Confirmer l’applicabilité et l’implication des autorités
Le programme plus large de tests de résilience de DORA et son obligation de TLPT avancé sont distincts. L’article 26 prévoit que les autorités identifient les entités tenues de réaliser un TLPT. L’article 2 des RTS définit les critères de sélection, notamment des critères quantitatifs propres au secteur et l’évaluation par l’autorité de l’incidence, des enjeux de stabilité financière et du risque lié aux TIC.
Ne supposez pas qu’un seuil d’effectif, une demande d’un client ou le fait d’être une banque suffise à trancher la question. Confirmez l’entité juridique concernée, l’autorité responsable du TLPT, toute notification reçue et l’incidence éventuelle d’une structure de groupe ou de services partagés sur l’exercice proposé.
La fréquence minimale habituelle est d’une fois tous les trois ans. L’autorité compétente peut réduire ou augmenter cette fréquence si nécessaire, en fonction du profil de risque et des circonstances opérationnelles de l’entité. Consignez le calendrier confirmé dans votre planification, au lieu de considérer les trois ans comme un droit inconditionnel.
2. Définir le périmètre des fonctions critiques et de leurs dépendances
L’article 26 de DORA exige que le TLPT couvre plusieurs ou l’ensemble des fonctions critiques ou importantes et soit réalisé sur les systèmes de production en conditions réelles qui les prennent en charge. L’entité financière identifie les systèmes, processus, technologies et services TIC externalisés concernés ; le périmètre précis est soumis à la validation de l’autorité compétente.
Une cartographie opérationnelle utile relie chaque fonction candidate à ses applications, identités, réseaux, flux de données, processus impliquant le personnel et dépendances envers des tiers. Consignez les raisons de l’inclusion ou de l’exclusion de chaque fonction et mettez la cartographie en cohérence avec la spécification du périmètre exigée par l’article 9 et l’annexe II des RTS. L’article 9, paragraphe 6, exige que la spécification du périmètre approuvée par l’organe de direction soit soumise aux responsables des tests dans les six mois suivant la notification de l’autorité visée à l’article 9, paragraphe 1.
Par exemple, une fonction de paiement peut dépendre d’un canal client, de services d’identité, du traitement des transactions et d’une connexion externalisée. Ne répertorier que le site web public décrirait mal le processus métier. Il s’agit d’un exemple illustratif de définition du périmètre, et non d’un scénario prescrit.
Clarifiez rapidement la participation et les autorisations des tiers. L’article 26 traite de la participation des prestataires et, sous certaines conditions, des tests mutualisés. L’externalisation d’un service d’assistance ne dégage pas l’entité financière de sa responsabilité en matière de TLPT. Consultez notre guide de définition du périmètre TLPT pour découvrir une approche de préparation plus détaillée.
3. Vérifier les compétences des testeurs et les capacités en renseignement sur les menaces
L’article 27 de DORA exige des testeurs appropriés, dotés de l’expertise, des capacités et de la réputation nécessaires. Il porte également sur la certification ou l’adhésion à des cadres professionnels formels ou à des codes de déontologie, l’assurance indépendante, l’assurance responsabilité professionnelle et la protection des informations confidentielles. L’article 7 des RTS ajoute des exigences applicables aux prestataires.
Demandez des éléments de preuve concernant les personnes qui réaliseront la mission, leur expérience des tests fondés sur les menaces dans le secteur financier, la méthode de réalisation, les modalités de traitement des informations et les conflits d’intérêts. Une brochure générale de l’entreprise ne suffit pas à évaluer l’équipe proposée.
Les testeurs internes ne sont possibles que dans les conditions applicables et avec l’approbation de l’autorité compétente. DORA exige un prestataire externe de renseignement sur les menaces lorsque des testeurs internes sont utilisés, ainsi que des testeurs externes au moins lors d’un test sur trois. Les établissements de crédit importants relevant du mécanisme de surveillance unique doivent recourir à des testeurs externes. L’article 15 des RTS ajoute des exigences relatives à la gouvernance, aux effectifs et aux capacités de l’équipe interne.
Le rapport de renseignement sur les menaces contribue à définir les scénarios d’attaque et le plan de red team. L’article 10 des RTS exige que le responsable de l’équipe de contrôle sélectionne au moins trois scénarios. Un seul au maximum peut recourir à l’approche prospective autorisée, non fondée sur les menaces. Les articles 10 et 11 définissent le processus de revue et d’approbation. Les documents de mission doivent faire apparaître clairement le lien entre le renseignement, le scénario, la fonction cible et l’objectif du test.
Articles 26, paragraphe 8, et 27 de DORA : exigences applicables aux testeurs
4. Encadrer le test en production réelle
Les RTS prévoient une équipe de contrôle restreinte au sein de l’entité financière ainsi que des responsables des tests du côté de l’autorité. La confidentialité est importante, car une connaissance préalable peut modifier le comportement défensif. La gestion des risques est essentielle puisque l’exercice porte sur des services en production.
Avant l’exécution, traduisez le périmètre approuvé et le plan red team en modalités opérationnelles applicables : cibles autorisées, canaux de communication, décideurs, escalade, conditions d’arrêt, traitement des éléments probants et assistance convenue. Ces préparatifs aident les équipes à intervenir en sécurité ; ils ne remplacent pas les approbations formelles.
Conformément à l’article 11 des RTS, les tests actifs de red team durent au moins 12 semaines. Les testeurs rendent compte de l’avancement au moins chaque semaine à l’équipe de contrôle et aux responsables des tests. Toute modification du plan approuvé et tout recours à une assistance doivent suivre les modalités d’approbation prévues. Le responsable de l’équipe de contrôle peut suspendre les tests dans les circonstances exceptionnelles de risque décrites dans cet article.
Prévoyez séparément la préparation, la collecte de renseignements et la clôture. Une phase active de 12 semaines ne garantit pas que l’ensemble de la mission sera achevé en 12 semaines. Consultez notre guide du calendrier TLPT DORA.
Articles 4–6 et 11 des RTS TLPT : gouvernance, risques et exécution
5. Finaliser les rapports, les nouveaux tests et le purple teaming
L’exercice ne s’arrête pas lorsque les équipes de test cessent leurs activités. L’article 12 des RTS exige un rapport de l’équipe rouge, un rapport de l’équipe bleue, une reconstitution, du purple teaming et un retour d’expérience. L’entité peut ainsi relier le déroulement de l’attaque à ce que les défenseurs ont observé et à leur réponse.
| Jalon | Calendrier réglementaire |
|---|---|
| Rapport de l’équipe rouge | Dans les quatre semaines suivant la fin de la phase active de tests red team. |
| Rapport de l’équipe bleue | Après réception du rapport de l’équipe rouge et au plus tard dix semaines après la fin des tests actifs. |
| Rejeu | Au plus tard dix semaines après la fin des tests actifs ; l’article 12 exige également un exercice final de purple teaming. |
| Rapport de synthèse | Dans les huit semaines suivant la notification à l’autorité au titre de l’article 12, paragraphe 7, concernant le contenu requis des rapports de l’équipe rouge et de l’équipe bleue. |
| Plan de remédiation | Dans les huit semaines suivant cette même notification au titre de l’article 12, paragraphe 7, à l’autorité TLPT et, si elle est différente, à l’autorité compétente. |
Le délai de huit semaines est lié à la notification de l’autorité compétente, et ne commence pas automatiquement le dernier jour des tests. Suivez explicitement ces dates. Les annexes précisent le contenu des rapports : annexe V pour l’équipe rouge, VI pour l’équipe bleue et VII pour le résumé.
6. Attribuer les mesures correctives et conserver les éléments de preuve
L’article 13 des RTS exige que le plan de remédiation traite, pour chaque constat, la lacune, les mesures proposées, leur ordre de priorité et leur date d’achèvement prévue, la cause profonde, le personnel ou les fonctions responsables, ainsi que les risques liés à la non-mise en œuvre des mesures ou, le cas échéant, à leur mise en œuvre.
Pour faciliter la mise en œuvre, ajoutez un critère d’acceptation à chaque action. « Améliorer la détection » est difficile à clôturer ; une modification précise de la détection, accompagnée d’un exercice de vérification documenté, est plus facile à évaluer. Distinguez clairement une recommandation, une modification mise en œuvre et un résultat vérifié.
L’article 26 de DORA prévoit une attestation de l’autorité afin de faciliter la reconnaissance mutuelle. L’article 14 et l’annexe VIII des RTS précisent cette attestation. Il ne s’agit pas d’un certificat délivré par le prestataire attestant que l’organisation est sécurisée ou qu’elle a satisfait à toutes les obligations de DORA.
Une liste de contrôle pratique avant l’achat
Pour une approche de planification article par article, consultez notre guide sur les RTS DORA TLPT, qui explique le règlement définitif, les événements déclenchant les délais, les critères applicables aux prestataires et les huit annexes.
- Confirmez la personne morale, l’autorité compétente et l’exigence ou la notification TLPT.
- Identifier les fonctions potentiellement critiques ou importantes et cartographier les dépendances qui les soutiennent.
- Désignez une personne responsable de l’équipe de contrôle, disposant du mandat et de la disponibilité nécessaires.
- Identifier les tiers, les autorisations, les contrats et les contraintes liées aux services partagés.
- Demandez des éléments probants de l’équipe de prestation au regard des exigences applicables aux testeurs et au prestataire.
- Planifiez la période minimale de tests actifs, ainsi que la préparation et la clôture.
- Attribuez les responsabilités relatives aux rapports, aux déclarations aux autorités et aux décisions de remédiation.
- Convenir de canaux sécurisés avant de partager des informations sensibles sur l’architecture ou des éléments de preuve techniques.
Utilisez cette liste de contrôle pour préparer une discussion, et non pour remplacer le texte réglementaire complet ou les instructions de votre autorité compétente. La présentation des exigences DORA et le rapport TLPT illustratif existants fournissent des éléments de contexte supplémentaires.
Planifier votre exercice TLPT DORA
Découvrez nos services TLPT au titre de DORA, puis décrivez votre organisation, vos fonctions et le contexte des autorités dans le document de cadrage TLPT. Vous pouvez joindre un accord de confidentialité ou un appel d’offres existant lorsque vous contactez Atlant Security.
Sources primaires
Informations générales, ne constituant pas un conseil juridique. Veuillez confirmer les exigences applicables et les modalités des tests auprès de l’autorité compétente.
Publié par Atlant Security. Sources, politique éditoriale et corrections.
