Règles TLPT DORA | Articles 26–27 et règlement 2025/1190

Ce que cela signifie pour votre test

Utilisez les articles 26 et 27 de DORA, les RTS définitives relatives au TLPT et la procédure applicable de l’autorité compétente comme références réglementaires. Cette page organise les sources et leurs rôles respectifs. Pour un parcours pratique, consultez le guide des exigences ; avant de mandater une prestation, établissez la position propre à l’autorité et à l’entité.

Article 26 — Tests avancés

L’article 26 établit l’obligation de réaliser des TLPT pour les entités financières identifiées. Il traite de la fréquence, de la couverture des fonctions critiques ou importantes, des systèmes de production en direct, de la participation de tiers, des modalités applicables aux testeurs, de la documentation et de la reconnaissance mutuelle.

L’entité financière évalue et propose le périmètre. L’autorité compétente le valide. Lorsque des prestataires tiers de services TIC sont concernés, leur participation et les mesures de protection doivent être prises en compte avant le début des tests. L’entité reste responsable de ses obligations.

Article 27 — Exigences applicables aux testeurs

La sélection du prestataire doit tenir compte de son adéquation et de sa réputation, de ses capacités techniques et organisationnelles ainsi que de son expertise spécifique en renseignement sur les menaces, tests d’intrusion et red teaming.

L’article traite également de la certification par un organisme d’accréditation d’un État membre ou de l’adhésion à des codes de conduite formels ou à des cadres éthiques, de l’assurance indépendante ou de l’audit de la gestion des risques concernée, ainsi que de l’assurance responsabilité civile professionnelle. Un badge sur un site web ne suffit pas à établir l’éligibilité.

Les testeurs internes sont soumis à des conditions supplémentaires et à l’approbation de l’autorité compétente. Les établissements importants doivent recourir à des testeurs externes conformément à l’article 26. Examinez les dispositions précises applicables à votre entité.

Les RTS relatives aux TLPT — Règlement (UE) 2025/1190

Les RTS définissent des exigences détaillées concernant la sélection, les testeurs internes, le périmètre et le processus de test, les résultats, la clôture, la remédiation et la coopération entre autorités.

Parmi les implications pratiques : la phase active de test red team dure au moins 12 semaines ; les rapports doivent contenir des informations précises ; et la clôture inclut la participation de l’équipe blue team ainsi qu’un exercice de purple teaming. La planification doit tenir compte de l’ensemble du processus, et pas uniquement des tests actifs.

TIBER-EU et la mise en œuvre nationale

TIBER-EU fournit un cadre, des orientations destinées aux participants et des modèles pour rendre opérationnels les tests fondés sur les menaces. Il soutient les TLPT de DORA, mais ne remplace ni la législation, ni les RTS, ni les instructions applicables des autorités compétentes.

Pour les établissements importants soumis à la supervision de la BCE, le guide de mise en œuvre de la BCE apporte un contexte opérationnel supplémentaire. Les dispositifs nationaux et la coopération transfrontalière doivent être clarifiés au démarrage.

Ce que cette référence ne permet pas de trancher

Cette page ne peut déterminer votre désignation, approuver votre périmètre ni évaluer pleinement l’éligibilité d’un prestataire. Ces décisions nécessitent l’examen de l’entité concernée, des éléments de preuve et de la procédure de l’autorité compétente. Le TLPT est l’un des volets de DORA, qui couvre également la gestion plus large des risques liés aux TIC, le signalement des incidents et les risques liés aux tiers.

Poursuivez avec les entités qui ont besoin d’un TLPT ou le guide des achats.