Que sont les tests de pénétration fondés sur les menaces (TLPT) au titre de DORA ?

Seules celles que leur autorité désigne. L’article 26, paragraphe 8, de DORA charge les autorités compétentes d’identifier les entités financières tenues de réaliser un test de pénétration fondé sur la menace, sur la base des facteurs d’incidence, des éventuels problèmes de stabilité financière et du profil de risque lié aux TIC et de la maturité de l’entité. Les microentreprises et les entités soumises au régime simplifié de l’article 16, paragraphe 1, ne sont pas concernées. Une entité désignée réalise un test au moins tous les trois ans, et l’autorité peut lui demander de réduire ou d’augmenter cette fréquence (article 26, paragraphe 1).

Le règlement délégué (UE) 2025/1190 de la Commission fixe les critères d’identification. Selon son article 2, paragraphe 2, les autorités TLPT imposent le test aux entités suivantes, sauf si l’appréciation montre que leur incidence, les enjeux de stabilité financière ou leur profil de risque lié aux TIC ne le justifient pas :

• les établissements de crédit identifiés comme établissements d’importance systémique mondiale ou autres établissements d’importance systémique (EISm ou autres EIS), ou qui en font partie ;
• les établissements de paiement et de monnaie électronique qui dépassent les seuils de volume de paiements ou de monnaie électronique en circulation fixés par le règlement ;
• les dépositaires centraux de titres et les contreparties centrales ;
• les plates-formes de négociation dotées d’un système de négociation électronique qui remplissent les critères de part de marché ;
• les entreprises d’assurance et de réassurance qui remplissent les critères fixés par le règlement.

Les autorités apprécient les autres entités financières selon les mêmes critères et peuvent aussi les désigner.

Le règlement délégué (UE) 2025/1190 découpe le test en une phase de préparation, une phase de test (renseignement sur les menaces, puis test en mode red team) et une phase de clôture :

• Préparation. Dans les 3 mois suivant la notification de l’autorité TLPT, l’entité remet une charte de projet, les coordonnées du responsable de son équipe de contrôle, le recours prévu à des testeurs internes ou externes, les canaux de communication et un nom de code (article 9). Une équipe de contrôle pilote le test, et les informations qui s’y rapportent circulent selon le besoin d’en connaître (article 4). L’entité choisit les fonctions critiques ou importantes couvertes, et l’autorité valide ce périmètre (article 26, paragraphe 2, de DORA).
• Renseignement sur les menaces. Le fournisseur de renseignements analyse les menaces génériques et ciblées qui visent l’entité et propose des scénarios couvrant chaque fonction critique ou importante du périmètre (article 10).
• Test red team. Les testeurs rédigent un plan de test approuvé par l’équipe de contrôle et l’autorité TLPT, puis attaquent les systèmes en production. La phase active dure au moins 12 semaines (article 11, paragraphe 5).
• Clôture. L’équipe bleue, celle qui défend, n’est informée qu’à la fin de la phase active. Les testeurs remettent leur rapport dans les 4 semaines ; le rapport de l’équipe bleue, le rejeu de l’attaque et un exercice de purple teaming suivent dans les 10 semaines après la fin de la phase active (article 12). L’entité soumet ensuite la synthèse des conclusions et les plans de mesures correctives, avec une analyse des causes pour chaque constat, dans les 8 semaines (articles 12, paragraphe 7, et 13).

L’autorité délivre enfin une attestation confirmant que le test a respecté les exigences, ce qui permet la reconnaissance mutuelle entre autorités (article 26, paragraphe 7, de DORA).

L’article 27, paragraphe 1, de DORA n’admet que des testeurs qui possèdent l’aptitude et la réputation les plus élevées, justifient d’une expertise spécifique en renseignement sur les menaces, tests de pénétration et tests red team, sont certifiés par un organisme d’accréditation d’un État membre ou adhèrent à des codes de conduite ou cadres éthiques formels, fournissent une assurance indépendante ou un rapport d’audit sur la gestion des risques du test, et sont couverts par une assurance de responsabilité civile professionnelle, y compris contre la mauvaise conduite et la négligence.

Les testeurs internes sont possibles sous conditions : l’autorité compétente (ou l’autorité publique unique désignée en vertu de l’article 26, paragraphes 9 et 10) approuve leur recours, elle vérifie que l’entité dispose de ressources dédiées suffisantes et que les conflits d’intérêts sont évités pendant toute la conception et l’exécution du test, et le fournisseur de renseignements sur les menaces est externe à l’entité (article 27, paragraphe 2). Une entité qui recourt à des testeurs internes engage des testeurs externes tous les trois tests, et les établissements de crédit classés comme importants conformément à l’article 6, paragraphe 4, du règlement (UE) n° 1024/2013 n’ont recours qu’à des testeurs externes répondant à l’article 27, paragraphe 1, points a) à e) (article 26, paragraphe 8).

Lorsque des prestataires tiers de services TIC soutiennent des fonctions du périmètre, ils participent au test, et l’entité reste pleinement responsable du respect du règlement (article 26, paragraphe 3). Si cette participation risque de nuire aux autres clients du prestataire, celui-ci peut engager directement un testeur externe pour un test groupé couvrant plusieurs entités financières (article 26, paragraphe 4). Les contrats portant sur des services TIC qui soutiennent des fonctions critiques ou importantes doivent obliger le prestataire à participer pleinement au test de l’entité (article 30, paragraphe 3, point d)) ; voir le registre d’informations DORA.