RTS TLPT DORA : exigences et échéances de 2025/1190

La décision que ce guide vous aide à prendre

Les normes techniques de réglementation (RTS) définitives relatives au TLPT précisent un processus de mise en œuvre de l’obligation prévue par DORA. Commencez par distinguer les échéances de préparation, de tests actifs et de clôture, puis attribuez les décisions et les éléments probants requis aux responsables concernés. Ce guide suit le règlement (UE) 2025/1190 et ne considère pas un projet antérieur comme la règle applicable.

Que sont les normes techniques de réglementation (RTS) du TLPT DORA ?

Les RTS TLPT de DORA correspondent au règlement délégué (UE) 2025/1190 de la Commission. Ce règlement traduit l’obligation prévue par DORA de réaliser des tests d’intrusion avancés fondés sur les menaces en un processus détaillé : quelles entités financières sont sélectionnées, comment un test est gouverné et délimité, ce que les prestataires doivent démontrer, comment les tests se déroulent et quelles preuves sont produites ensuite.

Pour un CISO, un responsable d’équipe de contrôle ou un responsable des achats, le défi pratique consiste à réunir ces exigences dans un programme opérationnel unique. Un excellent rapport technique ne peut compenser l’absence d’autorisations des autorités, un périmètre insuffisamment justifié ou un processus de clôture qui n’a jamais été planifié. De même, un dossier documentaire complet est peu utile s’il ne peut expliquer ce qui est arrivé aux fonctions critiques testées.

Ce guide s’appuie sur les RTS définitives et distingue les exigences légales de nos suggestions pratiques de planification. Pour une présentation de la mission, consultez la page d’accueil de nos services TLPT DORA. Pour une introduction plus courte, consultez le guide des exigences TLPT de DORA.

Sources : RTS définitives sur les TLPT, y compris l’article 17 ; article 26 de DORA. Les deux photographies sont des illustrations générées par l’IA et ne documentent pas une mission client.

DORA, les RTS TLPT et TIBER-EU : quel dispositif prévaut ?

DORA est le règlement-cadre. Les articles 26 et 27 portent sur les tests avancés et les exigences applicables aux testeurs. Les RTS TLPT ajoutent les règles détaillées établies en vertu de ce mandat. TIBER-EU fournit un cadre opérationnel reconnu et des orientations complémentaires pour les tests de red team fondés sur le renseignement.

La BCE a mis à jour TIBER-EU en 2025 afin de l’aligner sur DORA. Son guide de mise en œuvre à l’intention des entités importantes distingue expressément la législation contraignante du cadre utilisé pour la mettre en œuvre. Cette guide porte sur la procédure de la BCE applicable aux entités importantes désignées ; elle ne doit pas être présentée comme la procédure de l’autorité compétente applicable à toutes les entités financières en Europe.

Lors de l’achat, exigez que la proposition précise les trois niveaux : les exigences légales, la procédure de l’autorité compétente et la méthode de réalisation. « TIBER-style » ne constitue pas un statut d’approbation. Un exercice volontaire d’équipe rouge, même rigoureux, n’est pas automatiquement reconnu comme le TLPT DORA requis pour l’entité.

Références officielles utiles : l’annonce de la BCE sur la mise à jour du cadre TIBER-EU, la bibliothèque du cadre et des guides TIBER-EU et le guide de mise en œuvre de TIBER-EU dans le MSU.

Qui doit réaliser un TLPT conformément aux RTS ?

L’article 2 associe des critères de sélection à une évaluation par l’autorité de l’impact, de l’importance systémique et du risque lié aux TIC. Les entités concernées ne sont pas définies par un nombre universel de salariés, un seuil générique de chiffre d’affaires ou le seul fait qu’une entreprise commercialise un produit financier. Le fait de se situer sous un seuil numérique donné ne tranche pas non plus toutes les questions d’applicabilité.

Les RTS couvrent notamment des catégories telles que les établissements de crédit d’importance systémique, les établissements de paiement et de monnaie électronique répondant aux critères, les dépositaires centraux de titres, les contreparties centrales, certaines plateformes de négociation électronique ainsi que les entreprises d’assurance ou de réassurance répondant aux critères. Les conditions détaillées varient selon les catégories. Dans le cadre de sélection, les autorités disposent également de pouvoirs qui rendent peu fiable un simple calculateur en ligne fondé sur une réponse par oui ou par non.

Considérez ces exemples comme des éléments permettant d’orienter l’examen de l’applicabilité, et non comme une détermination complète. Consignez l’entité juridique, le périmètre de surveillance, la notification concernée, l’autorité chef de file et les éventuels accords au niveau du groupe. Une instruction adressée à une société du groupe ne doit pas être présumée couvrir toutes les filiales ou plateformes partagées.

Critères de sélection : article 2 des RTS TLPT.

Notre guide sur les entités concernées par le TLPT aide à structurer les premières questions. Confirmez la conclusion dans le cadre de la procédure de l’autorité compétente avant de vous engager sur une date de réalisation.

Rôles, confidentialité et prise de décision

L’article 3 exige que l’autorité désigne un responsable des tests et au moins un suppléant. L’article 4 exige que l’entité financière nomme un responsable de l’équipe de contrôle et mette en place des garanties organisationnelles. Ce responsable doit être habilité à prendre des décisions en temps utile ; son rôle ne peut se limiter à la gestion du calendrier.

La confidentialité est essentielle, car le test examine le comportement défensif réel. Limitez les informations relatives aux tests prévus et en cours aux personnes concernées qui ont besoin d’en avoir connaissance. Convenez de la manière dont l’équipe de contrôle sera informée des détections sans révéler inutilement l’exercice, ainsi que de sa communication avec les responsables des tests avant d’impliquer l’équipe bleue. Utilisez systématiquement le nom de code convenu et des canaux sécurisés.

Un dossier de gouvernance opérationnel doit préciser qui peut approuver une adaptation, suspendre les activités, faire intervenir un prestataire de services TIC, gérer un incident réel et autoriser la reprise. Désignez des suppléants et des contacts en dehors des heures ouvrées. Lorsqu’une décision touche au périmètre ou au plan de test, suivez la procédure d’approbation prévue par les RTS au lieu de vous fier à un échange informel entre les équipes chargées de l’exécution.

• Organe de direction : approuvez la définition du périmètre et allouez les ressources nécessaires aux responsabilités de l’entité.
• Équipe de contrôle : maintenir la vision des risques, la confidentialité et les décisions tout au long du test.
• Responsables des tests de l’autorité : ils supervisent la conformité et participent au processus d’approbation défini.
• Fournisseur de renseignement sur les menaces : élaborer un renseignement propre à l'entité et rester disponible pendant les tests.
• Équipes rouge et bleue : produisez des preuves complémentaires de l’activité offensive et de la réponse défensive.

Exigences organisationnelles : article 4 des RTS TLPT.

Pour plus de détails sur la préparation, consultez l’organisation de l’équipe de contrôle du TLPT.

Délais des RTS sur le TLPT DORA : ne confondez pas les calendriers

Les deux dernières échéances sont souvent mal interprétées. Le point de départ est la notification de l’autorité indiquant qu’elle a évalué les rapports de l’équipe rouge et de l’équipe bleue au regard du contenu requis dans les annexes. Il ne s’agit pas automatiquement du dernier jour des opérations de l’équipe rouge. Conservez la notification elle-même dans le dossier du projet afin que la date puisse être auditée.

Le délai de six mois pour définir le périmètre ne signifie pas que vous devez attendre six mois avant d’agir. La sélection des prestataires, la cartographie des dépendances, l’approbation de la direction et les autorisations de tiers peuvent devenir des facteurs limitants. Planifiez à rebours à partir des livrables requis et prévoyez du temps pour les questions et les révisions. Les RTS ne transforment pas l’ensemble de la mission en forfait fixe de douze semaines.

Exigences de clôture : article 12 des RTS TLPT.

Pour préparer la planification, consultez notre guide du calendrier TLPT.

Définir le périmètre : partir des fonctions, puis suivre les dépendances

L’article 26 de DORA exige de tester plusieurs ou l’ensemble des fonctions critiques ou importantes sur les systèmes de production en conditions réelles qui les prennent en charge. L’article 9 et l’annexe II des RTS précisent la définition du périmètre. Le document répertorie les fonctions critiques ou importantes identifiées par l’entité et justifie leur inclusion ou leur exclusion. Pour les fonctions incluses, il identifie les systèmes TIC de soutien, les activités externalisées, les juridictions et les indicateurs préliminaires.

Un indicateur est un objectif de test convenu, lié à un aspect de la sécurité tel que la confidentialité, l’intégrité, l’authenticité ou la disponibilité. Il doit rendre compréhensible la preuve recherchée. « Compromettre la banque » est trop vague pour encadrer l’activité en toute sécurité ; un objectif défini associé à un service métier identifié donne à l’équipe un élément à évaluer et à l’équipe de contrôle une activité à autoriser.

Pour une fonction de paiement donnée à titre d’exemple, cartographiez le canal client, la couche d’identité, le circuit d’approbation, le traitement des transactions, les opérations privilégiées et la connectivité externe. Identifiez le responsable de chaque dépendance et les accords avec les prestataires qui ont une incidence sur les tests. Distinguez un composant testé directement d’une dépendance documentée mais soumise à une limitation convenue. Ne présentez pas implicitement cette dernière comme ayant été testée.

Tenez un registre des décisions relatives au périmètre. Chaque entrée peut indiquer la fonction, les systèmes, le motif d’inclusion, le responsable, les tiers, les dépendances géographiques, les indicateurs proposés et les autorisations en attente. Il s’agit d’un format de travail pratique, qui ne remplace ni l’annexe II ni le modèle de l’autorité compétente. Il facilite l’examen des modifications lorsque des renseignements ou des constats techniques font évoluer l’approche proposée.

Préparation et approbation du périmètre : article 9 des RTS TLPT.

À lire également : définir le périmètre d’un TLPT DORA et liste de contrôle de préparation au TLPT.

Exigences applicables aux prestataires : ce que demande réellement l’article 7

La diligence raisonnable à l’égard du prestataire doit évaluer les personnes affectées au test ainsi que les éléments probants étayant la proposition. L’article 7 complète l’article 27 de DORA par des exigences spécifiques applicables au prestataire de renseignement sur les menaces et aux testeurs externes. Un logo de certification sur un site web ne constitue pas une évaluation complète.

Demandez au prestataire de rattacher les éléments probants à chaque paragraphe pertinent au lieu d’affirmer simplement être « conforme aux RTS ». Vérifiez la disponibilité pendant la période requise, les contrôles applicables au personnel de remplacement, les responsabilités relatives aux rapports et les interactions prévues avec les responsables des tests de l’autorité. Les références et l’expérience sont deux sujets distincts : le portefeuille historique d’une entreprise ne prouve pas que l’équipe nommément désignée satisfait aux exigences en matière d’effectifs.

L’article 7 prévoit, dans des circonstances exceptionnelles, la possibilité de déroger à certains critères, sous réserve de mesures d’atténuation appropriées et de leur consignation. Ne considérez pas cette disposition comme un raccourci habituel dans la procédure d’achat ni comme une dérogation générale que vous pourriez vous accorder. Soumettez toute exception envisagée à la procédure de l’autorité et consignez-en les motifs avant de finaliser les nominations.

Exigences relatives à la sélection du prestataire : article 7 des RTS TLPT.

Utilisez notre guide des achats et notre explication des exigences de l’article 27 de DORA applicables aux testeurs pour structurer vos questions. Cet article décrit des critères d’évaluation ; il ne formule aucune affirmation non vérifiée sur les qualifications d’un prestataire.

Testeurs internes, testeurs externes et équipes du groupe

Les tests internes constituent une option contrôlée et non un droit général. DORA définit les conditions relatives à l’approbation de l’autorité compétente, à la séparation, aux ressources et à la prévention des conflits d’intérêts. Lorsque des testeurs internes sont utilisés, le règlement exige un renseignement externe sur les menaces ainsi que des testeurs externes au moins lors d’un test sur trois. Les établissements de crédit importants relevant du mécanisme de surveillance unique doivent recourir à des testeurs externes.

L’article 15 des RTS ajoute des exigences concernant les dispositifs de tests internes. Les testeurs employés par un prestataire de services TIC intragroupe sont considérés comme des testeurs internes. Le règlement traite également de la déclaration du recours à des testeurs internes dans les informations de lancement, le rapport red team et le rapport de synthèse. Une équipe ne devient pas externe simplement parce qu’elle relève d’une autre société du groupe.

Pour la planification, distinguez la capacité de l’indépendance. Une équipe rouge interne techniquement très compétente peut néanmoins avoir des responsabilités incompatibles ou être nécessaire à des activités de défense essentielles. Documentez la manière dont l’exercice évitera d’affaiblir les opérations de sécurité habituelles de l’entité. Si des testeurs internes et externes sont associés, examinez le traitement applicable aux testeurs internes au lieu de supposer que la présence des membres externes supprime ces exigences.

Sources : article 26 de DORA, article 27 et article 15 des RTS.

Renseignement sur les menaces et les trois dimensions du scénario

L’article 10 exige des renseignements ciblés après l’approbation du périmètre par l’autorité compétente. Les renseignements sectoriels constituent un élément de départ, mais le résultat doit porter sur l’entité concernée : ses informations exposées, les profils de menace pertinents, ses dépendances et les chemins d’attaque plausibles. Un catalogue générique des cybermenaces actuelles ne suffit pas à fonder un TLPT adapté à l’entité.

L’annexe III exige au moins trois scénarios de menace de bout en bout pour les profils de menace pertinents les plus graves, couvrant la disponibilité, l’intégrité des données et la confidentialité des informations. Chaque scénario peut porter sur plusieurs dimensions de sécurité. Ces exigences n’autorisent pas les démonstrations destructrices ; les mesures de contrôle des risques encadrent la poursuite et la démonstration d’un objectif.

Pour chaque scénario, demandez-vous : pourquoi cet acteur ou profil de menace, pourquoi cette fonction, pourquoi ce chemin et quelle observation rendrait le résultat utile ? Suivez ensuite l’hypothèse issue du renseignement jusqu’au plan de test de l’équipe rouge. Si une hypothèse se révèle erronée pendant les tests, consignez la modification et l’approbation applicable au lieu de lui substituer discrètement une attaque plus commode.

Une ligne de traçabilité opérationnelle peut contenir la référence de renseignement, la fonction, le scénario, l’indicateur de planification, les techniques autorisées, les contraintes liées aux risques, les preuves d’exécution et le résultat final. Prévoyez un champ pour expliquer les incertitudes. Les renseignements peuvent indiquer qu’un chemin est plausible ; ils n’établissent pas à l’avance que la cible est vulnérable.

Phase de renseignement sur les menaces et annexe III : article 10 des RTS TLPT.

Tests actifs, contrôles des risques et accès supplémentaires

L’article 11 exige le plan de test de l’équipe rouge et les approbations pertinentes avant le début de l’exécution active. L’annexe IV porte sur la communication, les techniques autorisées et interdites, les limites éthiques de l’ingénierie sociale, les mesures de gestion des risques et les autres éléments requis du plan. Pendant les tests actifs, l’équipe de contrôle et les responsables des tests doivent recevoir un compte rendu d’avancement au moins chaque semaine.

Une assistance contrôlée (« leg-up ») permet d’explorer les étapes ultérieures lorsqu’un scénario ne peut pas progresser comme prévu autrement. Elle ne prouve pas la réussite de l’étape précédente. Si un accès est fourni pour poursuivre un scénario, le récit final doit distinguer cette assistance de l’accès réellement obtenu au cours du test. Les conclusions restent ainsi utiles à la direction et aux équipes de défense.

L’équipe de contrôle doit tenir à jour l’évaluation du risque opérationnel. L’article 5 prend expressément en compte les risques liés aux activités des équipes rouge et bleue, à l’escalade des incidents et à une restauration incomplète. Une réaction défensive peut également perturber les opérations. Convenez de la manière de distinguer les incidents réels des événements de test, des contacts habilités à interrompre l’activité et des éléments attestant le nettoyage après les tests.

L’article 11 autorise la suspension dans des circonstances de risque exceptionnelles et, en dernier recours et après validation préalable de l’autorité compétente, la poursuite sous la forme d’une activité limitée de purple teaming lorsqu’il est autrement impossible de continuer. Cet exercice limité entre dans le minimum prévu pour la phase active. Il s’agit d’une exception encadrée, et non d’un motif général permettant de vendre un atelier comme douze semaines de tests actifs.

Tests actifs, adaptation et mesures exceptionnelles : article 11 des RTS TLPT.

Notre présentation de la méthodologie TLPT explique comment s’articulent la gouvernance et la réalisation technique.

Tiers, tests mutualisés et tests conjoints

L’externalisation ne supprime pas la responsabilité liée à la fonction. Si le périmètre concerne un prestataire TIC, déterminez sa participation, les modalités de communication avec l’autorité compétente, les environnements accessibles et les moyens d’éviter tout impact sur les autres clients. Réglez ces questions avant que le calendrier de réalisation n’en dépende.

Les dispositifs TLPT mutualisés et conjoints nécessitent une coordination spécifique. Les articles 6 et 8 traitent de la gestion des risques et des particularités procédurales, tandis que l’article 16 porte sur la coopération entre autorités. En règle générale, chaque entité concernée suit les étapes définies, sauf décision contraire de l’autorité chef de file. L’équipe de contrôle de chaque entité financière réalise sa propre évaluation des risques ; un plan de projet commun n’efface pas les risques propres à chaque entité.

Pour une plateforme partagée, une matrice de planification utile associe à chaque entité juridique ses fonctions critiques, systèmes de support, contacts chez les prestataires, juridictions, responsabilités d’approbation et éléments probants attendus. Mettez en évidence les constats communs et les conclusions qui ne peuvent être tirées que pour une entité donnée. Évitez qu’un rapport couvrant l’ensemble du groupe formule des affirmations plus larges que ne le permet le périmètre testé.

Sources : article 26 de DORA et article 16 des RTS. Conseils associés : prestataires tiers dans les TLPT.

Les huit annexes des RTS : votre guide des documents

Utilisez les annexes comme matrice de contrôle du contenu, et non comme huit modèles vierges à remplir à la fin. Désignez pour chaque document un responsable, un réviseur, le déclencheur de l’échéance et le statut d’approbation. Convenez d’un emplacement de stockage sécurisé et des règles de traitement des documents avant le début de la collecte de renseignements. Consignez les versions afin de suivre les changements de périmètre dans le plan de test et les rapports.

En particulier, rapprochez les indicateurs et les scénarios du rapport de cyberveille, du plan de test, du rapport de l’équipe rouge et du résumé. Les objectifs atteints comme ceux qui ne l’ont pas été sont importants. Préservez la distinction entre un contrôle qui a résisté à l’action testée, une action qui n’a pas été tentée pour des raisons de sécurité et une action qui a échoué faute de prérequis.

Source : annexes I à VIII des RTS. Notre présentation des livrables et notre exemple fictif de rapport TLPT DORA illustrent le contexte de reporting. Un exemple de rapport ne remplace pas le dossier complet à soumettre à l’autorité compétente.

Clôture : rapport de l’équipe rouge, rapport de l’équipe bleue, rejeu et purple teaming

La clôture commence lorsque le responsable de l’équipe de contrôle informe l’équipe bleue qu’un TLPT a eu lieu. Le rapport de l’équipe rouge documente les actions offensives. L’équipe bleue présente ensuite le point de vue défensif. L’objectif est de rapprocher les deux perspectives sur la même activité, notamment les écarts entre la télémétrie disponible, la détection effective et les décisions prises.

Le rejeu et le purple teaming doivent produire des enseignements concrets. Sélectionnez des événements pour lesquels les hypothèses divergeaient : une action simulée n'ayant généré aucune alerte exploitable, une alerte dépourvue de contexte suffisant pour le triage ou une escalade transmise au mauvais responsable. Expliquez quelle partie de la chaîne doit être modifiée. Un constat intitulé « Le SOC n'a pas détecté l'attaque » est moins exploitable qu'un compte rendu étayé de l'événement, de la corrélation ou de la décision de réponse qui a fait défaut.

Distinguez l’exercice final de purple teaming du purple teaming limité et exceptionnel autorisé pendant les tests actifs. Ils remplissent des rôles différents dans les normes techniques de réglementation (RTS). Planifiez les travaux de clôture requis dès la passation du marché, notamment l’accès aux équipes de défense concernées et le temps nécessaire pour rapprocher les chronologies. Ne supposez pas qu’il s’agit d’une option facultative après le départ de l’équipe rouge.

Consignez les détails sensibles dans les dossiers contrôlés appropriés. L’article 12 permet à l’autorité compétente de demander des informations sensibles figurant dans les rapports. Une synthèse destinée à la direction doit communiquer les conséquences et les décisions requises sans devenir un canal de diffusion non contrôlé de détails opérationnels sur l’attaque.

Clôture et rapports : article 12 des RTS TLPT.

Pour aller plus loin : rapports TLPT et mesures correctives.

Remédiation et attestation : preuves après l’exercice

L’article 13 exige que le plan traite chaque constat : la lacune, les mesures proposées, la priorité et le délai prévu d’achèvement, la cause première, les membres du personnel ou fonctions responsables, ainsi que les risques liés à la non-mise en œuvre des mesures ou, le cas échéant, à leur mise en œuvre. Ne réduisez pas une défaillance transversale à une liste de correctifs sans lien entre eux simplement parce que les tickets de correctif sont faciles à compter.

Considérez une faiblesse hypothétique du contrôle des identités touchant plusieurs systèmes. L’action immédiate pourrait consister à restreindre une autorisation, mais la cause profonde pourrait être un défaut d’attribution des responsabilités dans le cycle de vie des accès. Un plan utile consigne ces deux aspects, désigne les responsables appropriés et définit une condition d’achèvement observable. Sinon, le même problème pourrait réapparaître dans un autre système avant le prochain TLPT.

Les retests et l’examen des preuves permettent concrètement de distinguer une « modification mise en œuvre » d’une « réduction du risque démontrée ». Reliez les preuves d’acceptation au constat initial et à la limite convenue. Si une action ne peut pas encore être menée à terme, consignez la décision, les mesures compensatoires et l’exposition résiduelle dans le cadre du processus de gouvernance de l’entité.

L’attestation au titre de l’article 26, paragraphe 7, de DORA, de l’article 14 du RTS et de l’annexe VIII contribue à la reconnaissance mutuelle du TLPT. Elle est délivrée dans le cadre de la procédure de l’autorité. Un prestataire ne peut pas simplement la remplacer par un badge générique « certifié DORA ». L’attestation ne signifie pas non plus que l’organisation ne présente aucune vulnérabilité ni qu’elle a satisfait à toutes les exigences de DORA.

Exigences relatives au plan de remédiation : article 13 des RTS TLPT.

Exigences relatives à l’attestation : article 14 des RTS TLPT.

Un plan pratique de préparation sur 30 jours

La proposition de mobilisation interne ci-dessous ne constitue pas un nouveau délai réglementaire et ne prétend pas qu’un TLPT puisse être achevé en trente jours. Elle vise à traduire une obligation en un processus maîtrisé d’approvisionnement et de préparation avant le début des activités techniques.

Prévoyez le budget pour l’ensemble du programme. Demandez aux prestataires de distinguer les travaux de renseignement, les tests actifs, l’assistance à l’équipe de contrôle, la coordination avec les tiers, la production des rapports, le rejeu, les exercices Purple Team et l’accompagnement de la remédiation. Il n’existe pas de tarif RTS universel. Un prix apparemment avantageux parce qu’il exclut des travaux obligatoires peut entraîner par la suite des modifications de périmètre coûteuses.

Utilisez le générateur de note de cadrage DORA TLPT pour organiser les informations générales en vue d’un échange. Ne fournissez pas d’identifiants, de schémas sensibles ni de données clients dans un premier formulaire. Joignez un NDA ou un appel d’offres existant via le processus de contact avant de partager des éléments détaillés.

Erreurs courantes dans la planification des RTS et comment les éviter

Avant de signer le cahier des charges, posez une dernière question : chaque livrable requis peut-il être associé à un responsable nommé, à un circuit d’approbation et à une date déclencheuse ? Si la réponse est non, le périmètre commercial n’est pas encore assez précis pour être géré avec confiance.

RTS sur le TLPT DORA : questions fréquentes

Que sont les normes techniques de réglementation (RTS) du TLPT DORA ?

Il s’agit du règlement délégué (UE) 2025/1190 de la Commission. Il complète DORA par des règles relatives à la sélection des entités soumises aux TLPT, à l’organisation et à la conduite des tests, au choix des prestataires, aux rapports, à la remédiation, à l’attestation et à la coopération entre autorités.

Les RTS de DORA relatives aux TLPT sont-elles définitives ou encore à l’état de projet ?

Le règlement définitif a été publié au Journal officiel le 18 juin 2025 et est entré en vigueur le 8 juillet 2025. Référez-vous au texte adopté plutôt qu’à la consultation antérieure ou au projet final, qui ne constituent pas l’instrument contraignant.

Toutes les entités réglementées par DORA ont-elles besoin d’un TLPT ?

Non. Le TLPT avancé s’applique aux entités financières identifiées selon la procédure de sélection pertinente prévue par DORA et les RTS. Les obligations plus larges de DORA en matière de tests de résilience opérationnelle numérique sont distinctes. Confirmez votre statut auprès de l’autorité compétente.

Le minimum de 12 semaines couvre-t-il l’ensemble du projet ?

Non. L’article 11, paragraphe 5, des RTS prévoit une durée minimale de 12 semaines pour les tests actifs de red team. La préparation, le renseignement sur les menaces, le compte rendu, la répétition des tests, le purple teaming et les échanges avec les autorités demandent du temps supplémentaire.

Quand faut-il remettre le résumé du TLPT et le plan de remédiation ?

Les deux prévoient un délai de huit semaines lié à la notification de l’autorité visée à l’article 12, paragraphe 7, concernant son évaluation des rapports des équipes rouge et bleue. Ne comptez pas automatiquement ces huit semaines à partir de la fin des tests actifs.

Un test d’intrusion classique peut-il remplacer un TLPT DORA ?

Un test d’intrusion ordinaire ne constitue pas automatiquement un TLPT au titre de DORA. La participation requise des autorités, le périmètre, les renseignements, le processus de test, les preuves de clôture et les autres conditions doivent être respectés. La dénomination choisie par un prestataire ne vaut pas reconnaissance réglementaire.

Un même prestataire peut-il fournir des renseignements sur les menaces et des exercices de red team ?

Les RTS prévoient la possibilité de recourir à des prestataires appartenant à la même entreprise, mais le personnel chargé du renseignement sur les menaces doit être séparé du personnel fournissant des testeurs externes pour la même TLPT et ne doit pas relever de celui-ci. Les autres exigences en matière d’indépendance et de conflits d’intérêts restent applicables.

Une attestation TLPT signifie-t-elle que l’organisation est pleinement conforme à DORA ?

Non. L’attestation de l’autorité porte sur le TLPT et facilite la reconnaissance mutuelle. Elle ne constitue ni un certificat universel de conformité à DORA, ni un certificat de bon état, ni une garantie que toutes les faiblesses ont été éliminées.

Planifiez un exercice TLPT DORA avec Atlant Security

Le service TLPT DORA d’Atlant Security recentre la discussion sur vos fonctions critiques, le contexte des autorités, les contraintes opérationnelles et les éléments probants requis. Commencez par préciser l’entité juridique, le statut de notification, les fonctions candidates, les dépendances à des tiers et le calendrier envisagé. Ces informations permettent d’échanger utilement sur le périmètre avant la préparation d’une proposition.

Découvrez la page d’accueil TLPT DORA, préparez un document de cadrage ou envoyez votre appel d’offres ou votre accord de confidentialité. Si vous souhaitez examiner le style d’un livrable technique au préalable, demandez le rapport TLPT DORA d’exemple ; le lien de téléchargement est envoyé par e-mail.