Comparer les propositions de manière équitable
Demandez à chaque prestataire de chiffrer les mêmes fonctions critiques, scénarios de menace et dépendances à des systèmes en production, et d’expliquer ses hypothèses concernant les rôles, les accès, les environnements et les fenêtres de test. Demandez des éléments pertinents sur l’expérience de l’équipe chargée de la mission ainsi qu’un exemple de rapport. Comparez les tests et contre-tests proposés avant de comparer les tarifs journaliers ; le montant le plus bas peut correspondre à une mission différente.
Commencez par l’équipe qui réalisera effectivement la mission
Évaluez le prestataire et les personnes nommément désignées qui effectueront les travaux. Les documents commerciaux d’une entreprise ne démontrent ni la disponibilité, ni l’adéquation, ni l’indépendance de l’équipe proposée pour votre test.
Demandez les éléments de preuve requis par l’article 27 de DORA, les RTS et les attentes de votre autorité compétente en matière d’achats. Convenez de la procédure applicable aux remplacements et à la sous-traitance avant le début des travaux.
Questions pour votre dossier de diligence raisonnable
- Expertise : quelle expérience pertinente en renseignement sur les menaces, tests d’intrusion et opérations red team l’équipe proposée peut-elle justifier ?
- Adéquation : comment évaluez-vous la réputation, les références et les éventuels conflits d’intérêts ?
- Cadre éthique : sur quelle accréditation, certification ou quel code de conduite formel applicable vous appuyez-vous ?
- Assurance indépendante : quels éléments d’assurance ou d’audit étayent la gestion des risques liés au TLPT et des informations confidentielles ?
- Assurance : la couverture de responsabilité civile professionnelle englobe-t-elle les activités proposées et les risques associés ?
- Traitement des données : où les éléments probants seront-ils traités, qui pourra y accéder et comment seront-ils conservés puis supprimés ?
- Continuité de la prestation : comment sont gérées les ressources désignées, la couverture des escalades et les dépendances vis-à-vis du prestataire ?
Comparer les propositions sur la base des mêmes hypothèses
Fournissez un briefing commun : entités juridiques, autorité compétente, fonctions critiques éventuelles, dépendances géographiques et TIC, calendrier prévisionnel et gouvernance. Exigez que les propositions signalent les inconnues au lieu de les dissimuler derrière un engagement ferme.
| Élément contractuel | Ce qu’il faut clarifier |
|---|---|
| Périmètre et autorisation | Fonctions, systèmes, autorisations légales, exclusions et processus de validation. |
| Contrôles des risques | Conditions d’arrêt, gestion des incidents, coordination avec les prestataires et répartition des responsabilités. |
| Livrables | Rapports, modèles, public, responsabilités et transfert sécurisé. |
| Ressources | Rôles désignés, expérience, disponibilité, remplacement et sous-traitance. |
| Conditions commerciales | Hypothèses, frais, changements, retards et éventuels nouveaux tests pour chaque phase. |
Discutez d’une mission avec Atlant Security
Ce site présente un service de TLPT au titre de DORA. Il ne publie aucune affirmation non vérifiée concernant une accréditation, une assurance ou une approbation des autorités de contrôle. L'équipe proposée, les preuves de capacité, les responsabilités de réalisation et les conditions contractuelles doivent être évaluées lors du cadrage et de la procédure d'achat.
Engagez une discussion sur les achats avec des informations non sensibles. Convenez d’un canal confidentiel avant d’échanger des documents de diligence raisonnable ou des informations sur les systèmes.
Sources primaires
- DORA · règlement (UE) 2022/2554
- RTS TLPT · Règlement délégué (UE) 2025/1190
- BCE · Cadre et orientations TIBER-EU
Informations générales, ne constituant pas un conseil juridique. Veuillez confirmer les exigences applicables et les modalités des tests auprès de l’autorité compétente.
Préparez un brief avant l’appel de cadrage
Transformez une notification à l’autorité ou une première discussion de planification en un briefing de départ utile. Identifiez les fonctions et dépendances à clarifier avant de convenir du périmètre du TLPT.
Utilisez le générateur gratuit de documents de définition du périmètre pour les TLPT DORA afin de consigner les objectifs, les domaines d’évaluation, les contraintes et vos préférences concernant le NDA. Examinez le périmètre proposé, puis envoyez-le directement à Atlant Security via le formulaire de contact.
