Documentation et Support
Les entités financières peuvent s’appuyer sur un ensemble complet de ressources :
La documentation officielle inclut le règlement DORA lui-même, les RTS dédiés aux TLPT et les différents standards techniques d’implémentation. Le framework TIBER-EU et ses déclinaisons nationales constituent également des références précieuses.
Des outils pratiques sont mis à disposition, notamment des templates de reporting standardisés et des matrices de scénarios. Des outils de gestion permettent également de suivre la planification des tests et la remédiation des vulnérabilités identifiées.
Accompagnement
Les entités bénéficient d’un accompagnement à plusieurs niveaux :
Au niveau réglementaire, les superviseurs et les ESAs fournissent le support nécessaire à la bonne compréhension des exigences. Des groupes de travail sectoriels permettent également le partage d’expérience entre pairs.
Au niveau opérationnel, un écosystème de prestataires qualifiés, d’experts techniques et de consultants spécialisés peut être mobilisé pour accompagner la mise en œuvre des tests.
6. RESSOURCES
Articles et Chapitres DORA relatifs aux TLPT
DORA consacre plusieurs articles spécifiques aux tests de résilience opérationnelle numérique :
Chapitre IV – Gestion, classification et notification des incidents liés aux TIC – Tests des systèmes de TIC
- Article 23 : Framework des tests de résilience opérationnelle numérique
- Article 24 : Tests des outils et systèmes TIC
- Article 25 : Tests avancés des outils TIC au moyen de TLPT
- Article 26 : Exigences pour les testeurs de TLPT
- Article 27 : Reconnaissance des résultats des TLPT
RTS et ITS associés
- RTS Article 26(11) : Spécifications des éléments relatifs aux TLPT
- RTS sur les critères d’identification des entités soumises aux TLPT
- ITS sur les modèles standardisés pour le reporting des TLPT
Textes Réglementaires Fondamentaux
- Règlement DORA (UE) 2022/2554 : https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A32022R2554
- RTS sur les TLPT (17 juillet 2024) : [Final Report – Draft RTS on TLPT under DORA]
- Framework TIBER-EU : https://www.ecb.europa.eu/paym/cyber-resilience/tiber-eu/html/index.en.html
Cadres et Standards Techniques
- NIST Cybersecurity Framework : https://www.nist.gov/cyberframework
- NIST SP 800-53 Rev. 5 : https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final
- ISO/IEC 27001 : https://www.iso.org/standard/27001
- MITRE ATT&CK Framework : https://attack.mitre.org/
- OWASP Testing Guide : https://owasp.org/www-project-web-security-testing-guide/
Implémentations Nationales TIBER
- TIBER-NL (Pays-Bas) : https://www.dnb.nl/en/sector-information/supervision-sectors/all-supervised-institutions/tiber-nl/
- TIBER-BE (Belgique) : https://www.nbb.be/en/financial-oversight/prudential-supervision/areas-responsibility/tiber-be
- TIBER-DK (Danemark) : https://www.nationalbanken.dk/en/financialstability/tiber-dk/
- TIBER-DE (Allemagne) : https://www.bundesbank.de/en/tasks/banking-supervision/individual-aspects/it-supervision/tiber-de
Publications des Autorités Européennes
- BCE – Cyber Resilience Oversight : https://www.ecb.europa.eu/paym/cyber-resilience/
- EBA – Digital Operational Resilience : https://www.eba.europa.eu/regulation-and-policy/digital-operational-resilience
- ESMA – Cybersecurity and Digital Resilience : https://www.esma.europa.eu/policy-rules/cybersecurity
- EIOPA – Cyber Risk and Digital Resilience : https://www.eiopa.europa.eu/browse/cyber-risk-and-digital-resilience_en
Ressources Complémentaires
- Commission Européenne – Digital Finance : https://ec.europa.eu/info/business-economy-euro/banking-and-finance/digital-finance_en
- ENISA – Publications sur la Cybersécurité : https://www.enisa.europa.eu/publications
- FSB – Cyber Resilience : https://www.fsb.org/work-of-the-fsb/financial-innovation-and-structural-change/cyber-resilience/
Organisations de Standardisation
- IETF Security : https://datatracker.ietf.org/wg/security/documents/
- Cloud Security Alliance : https://cloudsecurityalliance.org/research/
- Center for Internet Security : https://www.cisecurity.org/controls/
Document mis à jour le 11 janvier 2025