FAQ TLPT : coûts, délais, périmètre et rapports

Un TLPT est un test contrôlé fondé sur du renseignement qui utilise des scénarios réalistes d’adversaires contre les systèmes critiques en production d’une entité financière. Il examine les personnes, les processus et les technologies, y compris la prévention, la détection et la réponse.

Non. L’obligation de réaliser des tests avancés s’applique aux entités financières identifiées, conformément à l’article 26 et aux critères de sélection des RTS relatifs au TLPT. Les obligations générales de test prévues par DORA sont plus larges. Confirmez votre statut auprès de l’autorité compétente.

L’article 26 fixe, pour les entités identifiées, une fréquence de référence d’au moins une fois tous les trois ans. L’autorité compétente peut l’ajuster. Cela ne crée pas de délai universel pour le premier test.

La phase active des tests de l’équipe rouge dure au moins 12 semaines conformément à l’article 11, paragraphe 5, des RTS. La préparation, le renseignement sur les menaces, la production des rapports, la clôture et la planification des mesures correctives prennent du temps supplémentaire. Un calendrier réaliste est établi en fonction du périmètre et de la procédure de l’autorité compétente.

Un test d’intrusion ordinaire ne satisfait pas automatiquement aux exigences TLPT. Le TLPT ajoute des renseignements sur les menaces ciblés, le périmètre des fonctions critiques, la gouvernance, des scénarios d’adversaire contrôlés, la participation des autorités et des exigences spécifiques de clôture.

Non. DORA et les RTS relatifs au TLPT définissent des exigences légales. TIBER-EU est un cadre opérationnel assorti de recommandations et de modèles qui peuvent contribuer à leur mise en œuvre. Les exigences applicables de l’autorité compétente continuent de régir la mission.

Le TLPT DORA couvre les systèmes de production en conditions réelles concernés qui prennent en charge les fonctions incluses dans le périmètre. Le test nécessite une autorisation explicite, des contrôles des risques, des restrictions convenues et des modalités d’escalade. Un exercice réalisé uniquement en environnement de préproduction ne doit pas être présenté comme équivalent sans l’accord de l’autorité compétente.

Non. Un prestataire ne certifie pas le respect de toutes les obligations DORA au moyen d’un seul test. La procédure de l’autorité compétente peut donner lieu à une attestation relative au TLPT, y compris aux fins de reconnaissance mutuelle. La conformité plus générale et la remédiation restent de la responsabilité de l’entité.

Le périmètre, les entités et fonctions, les prestataires concernés, les scénarios, les ressources de réalisation, le reporting et les travaux de clôture influent sur le prix. La proposition convenue doit préciser les hypothèses, les prestations incluses et la gestion des modifications.

Votre organisation, un contact professionnel, l’existence éventuelle d’une notification de l’autorité compétente, une description générale du périmètre envisagé et un calendrier indicatif. Ne transmettez pas d’identifiants, de schémas réseau, de vulnérabilités ni d’informations sensibles sur l’environnement de production.