TIBER-EU et TLPT DORA : articulation des exigences

La décision que ce guide vous aide à prendre

TIBER-EU est un cadre opérationnel ; DORA et ses normes techniques de réglementation relatives au TLPT définissent des exigences juridiques. Utilisez-les conjointement avec les orientations applicables de l'autorité compétente. Un exercice volontaire inspiré de TIBER ne devient pas automatiquement un TLPT DORA reconnu.

Le droit et les recommandations opérationnelles jouent des rôles différents

DORA et les RTS TLPT établissent les exigences juridiques applicables aux tests avancés fondés sur les menaces. TIBER-EU fournit un cadre pratique pour organiser et mener des exercices de red team fondés sur le renseignement. Ces dispositifs sont liés, mais leurs appellations ne sont pas interchangeables.

Dans le cadre d’une mission DORA, le cadre doit être appliqué de manière cohérente avec la législation, les normes techniques et la procédure de l’autorité compétente. Un exercice volontaire inspiré de TIBER ne constitue pas automatiquement un TLPT reconnu au titre de DORA.

Comprenez les participants

Un test fondé sur les menaces implique davantage que les testeurs et un contact client. L’entité financière a besoin d’une équipe de contrôle à accès restreint et d’un responsable de cette équipe. Les fournisseurs de renseignement sur les menaces élaborent la base de menace ; les testeurs de l’équipe rouge exécutent les scénarios convenus ; l’équipe bleue apporte la perspective défensive lors de la clôture.

Les responsables des tests de l’autorité compétente ont leur propre rôle de supervision. Les achats et la planification doivent préciser ces responsabilités, notamment les voies de communication et les participants qui reçoivent des informations sensibles à chaque étape.

Utilisez des modèles pour faire ressortir les questions sans réponse.

TIBER-EU publie des orientations et des modèles qui peuvent structurer la définition du périmètre, le renseignement sur les menaces, les tests, les rapports et la remédiation. Leur valeur réside dans les décisions et les éléments probants qu’ils organisent, et non dans le simple fait d’utiliser un titre de document familier.

Associez chaque résultat aux exigences de contenu applicables des RTS et aux instructions des autorités compétentes. Un modèle rempli qui omet une dépendance importante ou une question d’autorisation non résolue ne règle pas le problème sous-jacent.

Vérifiez la mise en œuvre qui s’applique à votre situation

Les autorités peuvent appliquer des dispositifs opérationnels nationaux ou propres à un secteur. Les tests transfrontaliers soulèvent des questions de supervision, de coordination et de reconnaissance. Réglez-les dès le lancement afin que l’exercice ne soit pas planifié sur la base d’hypothèses incompatibles.

Pour les établissements importants soumis à la surveillance de la BCE, le guide de mise en œuvre de la BCE constitue une référence officielle utile. Les autres entités financières doivent identifier l’autorité et les orientations pertinentes au lieu de supposer que le même modèle opérationnel s’applique dans tous les cas.

Demandez la cartographie

Une proposition utile du prestataire explique comment le périmètre, les scénarios, les contrôles des risques, l’exécution et la clôture s’articulent avec DORA, les RTS et le cadre applicable. Elle indique également quelles responsabilités restent à la charge de l’entité financière et de l’autorité.

Demandez au prestataire d’identifier toute hypothèse ou tout écart nécessitant une approbation. « Aligné sur TIBER » est une description qui doit être étayée par un modèle de prestation compréhensible ; elle ne constitue pas une approbation réglementaire.

Établissez une mise en correspondance pratique des exigences

Établissez une cartographie opérationnelle reliant l’exigence ou l’étape du référentiel concernée à un responsable, une activité et aux éléments probants attendus. Tenez compte des dépendances vis-à-vis de l’entité, des prestataires et des responsables des tests. L’objectif est de mettre au jour les responsabilités manquantes avant l’exécution, et non de créer un second ensemble de documents génériques. Si une disposition nationale ou sectorielle modifie le traitement d’une étape, identifiez la source et clarifiez ses conséquences opérationnelles avec les participants concernés.

Les évaluations courantes du secteur financier peuvent apporter des éléments techniques utiles, mais leurs livrables répondent à un objectif différent. La comparaison entre test d’intrusion bancaire et TLPT explique pourquoi une méthode technique familière ne rend pas les processus de gouvernance équivalents.

Distinguer les obligations liées au produit de celles liées à l’exercice

Un service de technologie financière peut également nécessiter des travaux d’assurance portant sur les mises en production d’applications, les contrats clients ou les données de cartes de paiement. Décrivez les liens entre ces chantiers sans prétendre qu’un référentiel satisfait automatiquement aux exigences d’un autre. Réutilisez, lorsque cela est utile, des informations exactes sur l’architecture et les responsabilités, tout en préservant l’objectif et les critères d’acceptation de chaque évaluation. Le guide de cadrage fintech, DORA et PCI développe cette distinction à l’intention des équipes produit.

Lors de l’achat et à la clôture, demandez une explication claire de la manière dont les travaux proposés et réalisés s’inscrivent dans le processus applicable. Consignez les hypothèses importantes, les changements approuvés et les limites de couverture. La terminologie du référentiel peut ainsi être vérifiée dans le dossier de mission, sans dépendre d’une déclaration générale de conformité dont personne n’a défini la portée pratique.

Poursuivez votre préparation

• La méthodologie de la mission
• Ressources officielles