DORA : qu'est-ce que le TLPT et qui doit le faire ?

Le TLPT (test de pénétration fondé sur la menace) est un test avancé que DORA impose, au moins tous les trois ans, aux seules entités financières désignées par leur autorité compétente (article 26 du règlement (UE) 2022/2554).

Définition (article 3, point 17)

Les « tests de pénétration fondés sur la menace » sont « un cadre simulant les tactiques, les techniques et les procédures d’acteurs de la menace réels perçus comme représentant une véritable cybermenace, qui permet de tester de manière contrôlée, sur mesure et en fonction des renseignements (red team) les systèmes critiques en environnement de production de l’entité financière ».

Qui doit le faire, et qui en décide (article 26, paragraphe 8)

Ce n'est pas l'entité qui choisit : « Les autorités compétentes désignent les entités financières qui sont tenues de réaliser un test de pénétration fondé sur la menace en tenant compte des critères énoncés à l’article 4, paragraphe 2 ». Elles se fondent « sur la base d’une appréciation des éléments suivants » :

« les facteurs d’incidence, en particulier la mesure dans laquelle les services fournis et les activités entreprises par l’entité financière affectent le secteur financier » ;
« les éventuels problèmes de stabilité financière, y compris le caractère systémique de l’entité financière au niveau de l’Union ou au niveau national, le cas échéant » ;
« le profil du risque lié aux TIC spécifique, le niveau de maturité des TIC de l’entité financière ou les caractéristiques technologiques concernées ».

L'obligation de l'article 26, paragraphe 1, vise les entités financières « autres que les entités visées à l’article 16, paragraphe 1, premier alinéa, et autres que les microentreprises ». Les entités de l'article 16, paragraphe 1, premier alinéa, sont les petites entreprises d’investissement non interconnectées, les établissements de paiement exemptés en vertu de la directive (UE) 2015/2366, les établissements exemptés en vertu de la directive 2013/36/UE pour lesquels les États membres ont décidé de ne pas appliquer l’option visée à l’article 2, paragraphe 4, du règlement, les établissements de monnaie électronique exemptés en vertu de la directive 2009/110/CE et les petites institutions de retraite professionnelle ; ces entités relèvent du cadre simplifié de gestion du risque lié aux TIC (article 16).

À quelle fréquence (article 26, paragraphe 1)

Les entités désignées effectuent « au moins tous les trois ans des tests avancés au moyen d’un test de pénétration fondé sur la menace ». Le texte ajoute qu'en fonction du profil de risque et des circonstances opérationnelles, « l’autorité compétente peut, le cas échéant, demander à l’entité financière de réduire ou d’augmenter cette fréquence ».

Sur quel périmètre (article 26, paragraphe 2)

Chaque test « couvre plusieurs, voire la totalité, des fonctions critiques ou importantes d’une entité financière et est effectué sur des systèmes en environnement de production en direct qui soutiennent ces fonctions ». L'entité évalue quelles fonctions couvrir, et le résultat de cette évaluation « est validé par les autorités compétentes ». Les prestataires tiers de services TIC peuvent être inclus dans le champ du test (paragraphe 3), et un test groupé associant plusieurs entités financières est prévu au paragraphe 4.

Qui réalise le test (articles 26 et 27)

Les entités font appel à des testeurs selon l’article 27. Avec des testeurs internes, « elles engagent un testeur externe tous les trois tests ». Les établissements de crédit classés comme importants au sens du règlement (UE) n° 1024/2013 ont uniquement recours à des testeurs externes.

L'article 27, paragraphe 1, fixe les exigences applicables aux testeurs : les entités financières « ont uniquement recours à des testeurs qui », notamment, « possèdent l’aptitude et la réputation les plus élevées » (point a), « possèdent des capacités techniques et organisationnelles et justifient d’une expertise spécifique en matière de renseignement sur les menaces, de tests de pénétration et de tests en mode red team » (point b) et « sont dûment et entièrement couverts par les assurances de responsabilité civile professionnelle pertinentes, y compris contre les risques de mauvaise conduite et de négligence » (point e). Le recours à des testeurs internes suppose en plus l'approbation de l'autorité compétente, la vérification de ressources suffisantes et l'absence de conflit d'intérêts, et un fournisseur de renseignements sur les menaces externe à l’entité (article 27, paragraphe 2).

Les modalités détaillées (portée, méthodologie, recours aux testeurs internes) sont précisées par des normes techniques de réglementation élaborées « conformément au cadre TIBER-EU » (article 26, paragraphe 11).

Voir aussi

Gratuit: votre score + vos écarts. Le rapport détaillé et la déclaration étayée : 990 € HT, seulement si vous le décidez.

Le rapport est un diagnostic : il dit ce qui est constaté, il ne corrige rien à votre place.

SYAGA Audit est un outil de diagnostic au regard de votre environnement Microsoft 365 ; il ne se substitue pas à une démarche de conformité complète et ne constitue ni une certification ni une garantie de conformité réglementaire. Mesures alignées sur ISO/IEC 27001, sans certification à ce jour.

Bientôt disponible

Source : règlement (UE) 2022/2554 (EUR-Lex). Cette page informe ; elle ne constitue pas un conseil juridique.