Ce que cela signifie pour votre test
Être soumis à DORA ne signifie pas automatiquement qu’une entité a été sélectionnée pour un TLPT. Déterminez l’autorité compétente, la décision de sélection et les exigences applicables avant de commander une mission. Les autres obligations en matière de tests de résilience restent une partie distincte du programme.
La réponse courte
Toutes les entités financières relevant du champ d’application de DORA ne sont pas tenues de réaliser un TLPT. L’article 26 s’applique aux entités financières désignées dans le cadre de la procédure de l’autorité compétente, sous réserve des exclusions prévues par cet article. Les RTS relatifs au TLPT précisent les critères de sélection.
Le fait d’être une banque, un assureur, une entreprise de paiement ou un prestataire TIC ne suffit pas à déterminer vos obligations individuelles. Vérifiez la classification de votre entité, les critères applicables ainsi que toute désignation ou notification de votre autorité compétente.
Fonctionnement de la sélection
DORA demande aux autorités compétentes de prendre en compte, parmi les facteurs pertinents, l’incidence de l’entité sur le secteur financier, les conséquences pour la stabilité financière, le profil de risque lié aux TIC et la maturité technologique. Les RTS ajoutent des critères pour le processus d’identification.
L’article 26 exclut de cette obligation de tests avancés les microentreprises et les entités visées à l’article 16, paragraphe 1, premier alinéa. Appliquez ces catégories avec prudence : la description commerciale d’une organisation ne constitue pas une classification juridique.
À quelle fréquence un TLPT est-il requis ?
La fréquence de référence est d’au moins une fois tous les trois ans pour les entités soumises à l’article 26. L’autorité compétente peut ajuster cette fréquence en fonction du profil de risque et des circonstances opérationnelles.
La date d’application de DORA, le 17 janvier 2025, ne constitue pas une échéance universelle pour le premier test. La notification et la procédure de votre autorité déterminent le calendrier pratique des tests. Ne déduisez pas qu’une échéance automatique au 17 janvier 2028 s’applique à toutes les entités financières.
Si votre entité n’a pas été sélectionnée
Les exigences générales relatives aux tests de résilience opérationnelle numérique peuvent continuer de s’appliquer. Les tests d’intrusion classiques, les évaluations des vulnérabilités et d’autres méthodes de test peuvent faire partie de ce programme, conformément à DORA et au profil de risque de l’entité.
Un exercice volontaire fondé sur les menaces peut être utile, mais son statut et sa reconnaissance éventuelle doivent être clairement définis. Ne qualifiez pas un test d’intrusion ordinaire de « TLPT DORA » au seul motif qu’il porte sur un établissement financier.
Ce qu’il faut vérifier en interne
- L’entité juridique et l’autorité compétente dont elle relève
- Toute notification de sélection, communication de supervision ou fenêtre de test prévue.
- Les fonctions critiques ou importantes susceptibles d’être incluses dans le périmètre.
- Exercices TIBER ou TLPT antérieurs et documentation pertinente de reconnaissance.
- Qui dirigera l’équipe de contrôle et la coordination réglementaire ?
Utilisez la liste de préparation pour organiser les informations, puis discutez du périmètre de votre TLPT.
Sources primaires
Informations générales, ne constituant pas un conseil juridique. Veuillez confirmer les exigences applicables et les modalités des tests auprès de l’autorité compétente.
