DORA organise les tests de résilience opérationnelle numérique sur deux étages. Toutes les entités financières, hors micro-entreprises, doivent disposer d'un programme de tests fondé sur les risques et tester au moins une fois par an les systèmes et applications qui soutiennent leurs fonctions critiques ou importantes 1. Un nombre restreint d'entités, identifiées par leur autorité, doivent en outre réaliser un TLPT DORA, test de pénétration fondé sur la menace mené sur les systèmes de production, en principe tous les trois ans 1.
S'y préparer suppose donc deux chantiers distincts : industrialiser le programme de tests courant, encore immature dans une partie du marché, et, pour les entités concernées, anticiper un TLPT dont le déroulé et les délais sont désormais fixés par le règlement délégué (UE) 2025/1190 2. En France, ce cadre s'articule avec TIBER-FR, la déclinaison nationale du cadre européen TIBER-EU 4.
Le programme de tests, obligation de base pour toutes les entités
L'article 24 de DORA exige un programme de tests solide et complet, revu régulièrement et intégré au cadre de gestion des risques TIC 1. Il suit une approche fondée sur les risques, qui tient compte de l'évolution des menaces, de l'exposition propre de l'entité et de la criticité de ses actifs et services 1. Les tests doivent être conduits par des parties indépendantes, internes ou externes ; une équipe interne doit disposer de ressources suffisantes et être protégée des conflits d'intérêts 1.
L'article 25 énumère les techniques attendues, à combiner selon les risques : analyses de vulnérabilités, revues de composants open source, évaluations de la sécurité des réseaux, analyses d'écarts, contrôles de sécurité physique, questionnaires et outils de scan, revues de code source lorsque c'est possible, tests fondés sur des scénarios, tests de compatibilité, de performance et de bout en bout, et tests d'intrusion 1.
Le texte exige aussi des procédures pour hiérarchiser, classer et corriger chaque problème révélé, et des méthodes internes pour vérifier que toutes les faiblesses ont été traitées 1. C'est souvent là que le bât blesse : un test sans suivi de remédiation documenté a peu de valeur aux yeux d'un superviseur. Or, selon le questionnaire de l'ACPR, 41 % des assureurs et 45 % des banques n'avaient pas encore développé de programme de tests, ou l'avaient seulement planifié, à la date de leurs réponses 6.
Qui doit réaliser un TLPT DORA ?
Les autorités compétentes identifient les entités tenues de réaliser un TLPT en fonction de leur impact, des enjeux de stabilité financière et de leur profil de risque TIC 1. Le règlement délégué 2025/1190 désigne les catégories présumées concernées, sauf si l'évaluation globale de l'autorité conduit à les exclure 2 :
- les établissements de crédit identifiés comme établissements d'importance systémique mondiale ou autres établissements d'importance systémique, ou appartenant à un tel groupe ;
- les établissements de paiement dont les opérations dépassent 150 milliards d'euros sur chacune des deux années civiles précédentes ;
- les établissements de monnaie électronique au-delà du même seuil d'opérations, ou de 40 milliards d'euros de monnaie électronique en circulation ;
- les dépositaires centraux de titres et les contreparties centrales ;
- certaines plateformes de négociation électronique, selon leur part de marché nationale ou européenne ;
- les entreprises d'assurance et de réassurance dépassant des seuils de primes, de provisions techniques et de part de marché nationale.
En France, la Banque de France, l'ACPR et l'AMF sont autorités TLPT, chacune pour les entités qu'elle supervise ; pour les établissements de crédit significatifs supervisés par le mécanisme de surveillance unique, c'est la BCE 4. Les trois autorités françaises ont constitué une équipe commune, la TCT-FR, qui valide le périmètre, suit le test et délivre l'attestation finale 4. L'entité reçoit d'abord une lettre d'identification, puis une lettre de notification qui fixe le début du test 4. Tant qu'aucune lettre d'identification n'a été reçue, l'article 26 ne s'applique pas, précise l'ACPR 5. La fréquence de principe est de trois ans, que l'autorité peut augmenter ou réduire selon le profil de risque de l'entité 1.
Le déroulé d'un TLPT : phases, rôles et délais
Le règlement délégué 2025/1190 découpe le TLPT en trois phases. La BCE a mis à jour TIBER-EU en février 2025 pour l'aligner sur ces normes : terminologie commune, livrables et délais repris de DORA, purple teaming rendu obligatoire 23.
Préparation
L'entité transmet les informations de lancement dans les trois mois suivant la notification de l'autorité, puis un document de périmètre dans les six mois, approuvé par l'organe de direction 2. Elle constitue une équipe de contrôle, aussi réduite que possible et dirigée par un responsable, qui pilote le test et en préserve le secret vis-à-vis de l'équipe de défense, la blue team 2. Le prestataire de renseignement sur la menace et les testeurs doivent être sélectionnés avant le début des tests 2.
Test
Le prestataire de renseignement sur la menace collecte des informations ciblées et propose des scénarios ; l'équipe de contrôle en retient au moins trois, dont un seul au plus peut ne pas être fondé sur la menace 2. La phase active de red team dure au minimum douze semaines, sur les systèmes de production, avec des points d'avancement hebdomadaires 2.
Clôture
Les testeurs remettent leur rapport dans les quatre semaines suivant la fin de la phase active ; le rapport de la blue team ainsi que les exercices de rejeu et de purple teaming interviennent dans les dix semaines 2. L'entité soumet ensuite un rapport de synthèse et un plan de remédiation, avec analyse des causes racines et responsables désignés, dans les huit semaines suivant la notification de l'autorité, avant la délivrance de l'attestation 2.
Entre la préparation, au moins douze semaines de test actif et la clôture, un TLPT mobilise l'entité pendant de longs mois : il se pilote comme un projet de direction générale, pas comme un audit technique.
Prestataires TIC et testeurs : les points de vigilance
Lorsque des prestataires TIC entrent dans le périmètre, l'entité doit prendre les mesures nécessaires pour obtenir leur participation, tout en conservant l'entière responsabilité du respect du règlement 1. Si cette participation risque d'affecter la qualité ou la sécurité des services rendus à d'autres clients, un TLPT mutualisé, conduit par un testeur externe sous la direction d'une entité désignée, peut être organisé 1. Pour les fonctions critiques ou importantes, les contrats doivent d'ailleurs prévoir l'obligation pour le prestataire de participer et de coopérer pleinement au TLPT 1.
Les exigences pesant sur les testeurs sont précises. Le prestataire de renseignement sur la menace doit être externe et justifier de références et d'une expérience minimale de son responsable ; l'équipe red team doit compter un responsable expérimenté et au moins deux testeurs confirmés, et tous doivent être couverts par une assurance de responsabilité professionnelle 2. Le recours à des testeurs internes est encadré : politique documentée, équipe d'au moins trois personnes employées depuis douze mois, et recours à des testeurs externes au moins un test sur trois 12. Les établissements de crédit significatifs ne peuvent recourir qu'à des testeurs externes 1.
Se préparer dès maintenant : la checklist
Que l'entité ait reçu ou non une lettre d'identification, les actions suivantes renforcent à la fois le programme de tests courant et la capacité à conduire un TLPT :
- Formaliser le programme de tests annuel : inventaire des systèmes qui soutiennent des fonctions critiques ou importantes, types de tests associés, fréquence et indépendance des testeurs.
- Mettre en place un suivi des remédiations avec priorité, responsable, échéance et preuve de clôture, consultable par l'audit interne et par le superviseur.
- Cartographier, pour chaque fonction critique, les systèmes de production et les prestataires impliqués : c'est la base du périmètre d'un futur TLPT.
- Vérifier que les contrats TIC des fonctions critiques prévoient la participation au TLPT et repérer les prestataires pour lesquels un test mutualisé serait nécessaire.
- Présélectionner des prestataires de renseignement sur la menace et de red team au regard des exigences d'expérience, de références et d'assurance du règlement délégué.
- Préparer la gouvernance : équipe de contrôle restreinte, circuit d'approbation par l'organe de direction, procédure d'escalade en cas d'impact sur la production.
- Éprouver la détection et la réponse avant le TLPT, car un exercice de red team révèle souvent d'abord des lacunes de journalisation et de supervision de sécurité.
Pour les entités qu'elle supervise, l'AMF recommande de faire réaliser des audits techniques de sécurité des ressources critiques, y compris des exercices de red team le cas échéant, en recourant lorsque c'est pertinent à des auditeurs qualifiés PASSI 7.
En résumé
Le TLPT ne concernera qu'un nombre limité d'entités, mais le programme de tests s'impose à toutes, et c'est sur lui que repose la crédibilité de la résilience affichée. Les entités capables de démontrer un cycle complet, du test à la remédiation vérifiée, aborderont un éventuel TLPT avec sérénité. DATASWING intervient sur ces sujets à la croisée de l'architecture, de la sécurité opérationnelle et de l'outillage des remédiations.
— Questions fréquentes
Ce qu'on nous demande souvent
Qu'est-ce qu'un TLPT sous DORA ?+
Le TLPT, ou test de pénétration fondé sur la menace, est un exercice de red team qui reproduit les tactiques d'attaquants réels contre les systèmes de production soutenant des fonctions critiques ou importantes. Encadré par l'article 26 de DORA et le règlement délégué 2025/1190, il comprend une phase de renseignement sur la menace, une attaque d'au moins douze semaines et une clôture avec purple teaming.
Mon entreprise doit-elle réaliser un TLPT DORA ?+
Seules les entités identifiées par leur autorité TLPT y sont tenues. Le règlement délégué 2025/1190 vise notamment les établissements d'importance systémique, les grands établissements de paiement, les dépositaires centraux, les contreparties centrales et certains grands assureurs. En France, l'ACPR précise que l'obligation ne s'applique qu'après réception d'une lettre d'identification.
Quelle différence entre TIBER-FR et le TLPT DORA ?+
DORA et son règlement délégué fixent ce qu'un TLPT doit accomplir. TIBER-EU, et sa déclinaison TIBER-FR publiée par la Banque de France, l'ACPR et l'AMF, décrivent comment le mettre en œuvre. Le guide TIBER-FR est considéré comme conforme aux exigences DORA, et l'équipe commune TCT-FR accompagne les tests et délivre l'attestation.
Combien de temps dure un TLPT ?+
Le document de périmètre est attendu dans les six mois suivant la notification. La phase active de red team dure au moins douze semaines. La clôture prévoit le rapport des testeurs sous quatre semaines, le rapport de la blue team et le purple teaming sous dix semaines, puis la synthèse et le plan de remédiation sous huit semaines après notification de l'autorité.
— Sources
Références citées
Les textes réglementaires et documentations évoluent : vérifiez la version en vigueur avant toute décision. Cet article n'est pas un avis juridique.
-
[1]
Règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier (DORA) ↗EUR-Lex, Union européenne · 2022-12
-
[2]
Règlement délégué (UE) 2025/1190 : normes techniques sur les tests de pénétration fondés sur la menace ↗EUR-Lex, Commission européenne · 2025-06
-
[3]
ECB updates TIBER-EU framework to align with DORA ↗Banque centrale européenne · 2025-02
-
[4]
Guide TIBER-FR (version 2) ↗Banque de France, ACPR, AMF · 2025-03
-
[5]
FAQ du webinaire DORA du 23 janvier 2026 ↗ACPR · 2026-03
-
[6]
Webinaire DORA du 23 janvier 2026 ↗ACPR · 2026-01
- [7]
