Tests de résilience et TLPT : ce que DORA impose

Le programme de tests sert à évaluer l'état de préparation de l'entité face aux incidents, à repérer ses faiblesses et à les corriger rapidement. Il suit une approche fondée sur les risques : il tient compte de l'évolution de la menace, des risques propres à l'entité et de la criticité de ses actifs et services.

• Les tests sont menés par des parties indépendantes, internes ou externes. Avec des testeurs internes, l'entité leur donne des moyens suffisants et évite les conflits d'intérêts.
• L'entité dispose de procédures pour classer, prioriser et corriger les problèmes révélés, et vérifie que toutes les faiblesses sont effectivement traitées.
• Au moins une fois par an, tous les systèmes et applications TIC qui soutiennent des fonctions critiques ou importantes font l'objet de tests appropriés.

Dans ses réponses publiées en mars 2026, l'ACPR rappelle deux obligations qui valent pour toutes les entités : tester les systèmes TIC avant leur première mise en service et après une maintenance, et soumettre au moins une fois par an les systèmes des fonctions critiques ou importantes à des tests appropriés.

L'article 25 donne une liste ouverte de tests, que l'entité choisit selon ses risques :

Les dépositaires centraux de titres et les contreparties centrales doivent en plus évaluer les vulnérabilités avant tout déploiement ou redéploiement d'applications et de composants qui soutiennent des fonctions critiques ou importantes. Les microentreprises peuvent étaler leurs tests selon une planification à long terme fondée sur les risques.

Ces tests s'ajoutent aux tests des plans de continuité exigés par l'article 11 : au moins une fois par an, avec, hors microentreprises, des scénarios de cyberattaque et des bascules vers les infrastructures et sauvegardes de secours.

Le règlement définit le TLPT (de l'anglais threat-led penetration testing) comme un cadre qui reproduit les tactiques, techniques et procédures d'acteurs malveillants réels, considérés comme une vraie menace, et qui permet un test contrôlé, sur mesure et fondé sur le renseignement, des systèmes de production critiques en fonctionnement de l'entité. C'est un exercice d'équipe rouge : des attaquants mandatés tentent d'atteindre des objectifs (les « drapeaux ») sans que les équipes de défense soient prévenues.

Qui doit réaliser un TLPT ?

Pas toutes les entités. Les autorités compétentes désignent celles qui doivent en mener, en fonction de leur incidence sur le secteur financier, de leur importance systémique et de leur profil de risque TIC. Les microentreprises et les entités du cadre simplifié en sont exclues. L'ACPR a précisé que l'article 26 ne s'applique qu'à réception d'une lettre d'identification de l'autorité.

• Fréquence : au moins tous les trois ans, l'autorité pouvant l'augmenter ou la réduire selon le profil de risque.
• Périmètre : plusieurs ou toutes les fonctions critiques ou importantes, sur les systèmes en production, y compris ceux confiés à des prestataires ; il est validé par l'autorité.
• Prestataires : quand ils sont dans le périmètre, l'entité organise leur participation. Si cela risque de nuire à leurs autres clients, un TLPT mutualisé peut être mené directement par le prestataire pour plusieurs entités.
• Testeurs : l'entité peut recourir à des testeurs internes, mais doit faire appel à des testeurs externes au moins une fois sur trois ; les établissements de crédit importants n'utilisent que des testeurs externes. L'article 27 exige des testeurs une expertise reconnue, une certification ou le respect d'un code de déontologie, et une assurance de responsabilité professionnelle.

Le règlement délégué (UE) 2025/1190, publié au Journal officiel le 18 juin 2025, organise le TLPT en phases successives, sous le contrôle de l'autorité TLPT et de ses gestionnaires de test :

Les constats des tests nourrissent l'analyse de risques et le réexamen annuel du cadre. Un test d'intrusion bien ciblé part d'ailleurs des scénarios les plus redoutés : c'est l'un des usages des ateliers 3 et 4 de la méthode EBIOS RM. Le chapitre suivant porte sur les prestataires tiers et le registre d'information.