DORA: le RTS TLPT entre en vigueur — attentes CSSF

DORA: le RTS TLPT est en vigueur — ce que la CSSF attend

La Commission a adopté le 13 février 2025 le Règlement délégué (UE) 2025/1190 précisant le TLPT (Threat‑Led Penetration Testing) sous DORA. Publié au JO le 18 juin 2025, il s’applique au Luxembourg sous la conduite de la CSSF, “TLPT authority” nationale.

L’affaire

Le Règlement délégué (UE) 2025/1190 du 13 février 2025 “spécifie les critères” d’identification des entités financières tenues de réaliser un TLPT, les exigences encadrant l’usage de testeurs internes, la portée et la méthodologie des tests, ainsi que la coopération et la reconnaissance mutuelle entre autorités. Il complète l’article 26 de DORA (Règl. (UE) 2022/2554) et a été publié au Journal officiel le 18 juin 2025. Pour la sélection des entités, le texte cite notamment des seuils objectifs: par exemple des établissements de paiement “ayant dépassé, dans chacune des deux années civiles précédant l’évaluation, 150 milliards d’euros de valeur totale des opérations de paiement”, ou certains assureurs dépassant 3,5 % des actifs agrégés nationaux. Il introduit aussi les mécanismes de TLPT “joint” ou “poolé” et précise la gouvernance des tests de bout en bout. Voir le JO: Règlement délégué (UE) 2025/1190. (eur-lex.europa.eu)

Au Luxembourg, la CSSF confirme être l’“autorité TLPT” pour les entités financières sous sa supervision, conformément à l’article 46 de DORA, et que le référentiel TIBER‑LU (adopté avec la BCL) a été révisé à la lumière de DORA. Réf.: page CSSF “TIC et cyber‑risque – entités DORA” et document “TIBER‑LU Implementation” du 20 juin 2025. (cssf.lu)

Le raisonnement juridique

• Base légale. DORA impose un programme de tests de résilience (art. 25) et, pour les entités “désignées” (hors micro‑entreprises et régime allégé de l’art. 16), des tests avancés “au moins tous les trois ans” via un TLPT (art. 26, §1). Les autorités compétentes identifient les entités à soumettre au TLPT selon des facteurs d’impact, de stabilité financière et de profil de risque ICT (art. 26, §8). Texte consolidé: Règl. (UE) 2022/2554. (eur-lex.europa.eu)
• Spécifications d’application. Le Règlement délégué (UE) 2025/1190 précise:
  • Les catégories et seuils indicatifs qui “appellent” un TLPT (ex. CSD, CCP, établissements de crédit G‑SII/O‑SII; grands prestataires de paiement > 150 Md€/an; grands assureurs). Il détaille aussi l’analyse que l’autorité TLPT mène avant de confirmer l’obligation de tester. (eur-lex.europa.eu)
  • La possibilité d’utiliser des testeurs internes, sous conditions strictes: approbation préalable, ressources dédiées, indépendance et TI fournisseur externe obligatoires. (eur-lex.europa.eu)
  • Le périmètre, la méthodologie par phase (renseignement de menace, scénarisation, exécution “live” sur production, clôture et remédiation), la gestion du “blue team” non informé et la tenue de preuves. (eur-lex.europa.eu)
  • La coopération et reconnaissance mutuelle pour des TLPT “joint/poolés” lorsque plusieurs autorités sont concernées (utile pour des groupes transfrontières LU–BE–FR–DE), avec une autorité “lead”. (eur-lex.europa.eu)
• Position européenne harmonisée. Le RTS reprend les travaux conjoints des ESAs (EBA/EIOPA/ESMA) en accord avec la BCE, publiés en Final Report le 17 juillet 2024. Cette base confirme l’alignement avec TIBER‑EU et la fréquence minimale triennale ancrée dans DORA. Voir communiqué ESMA et Final Report JC 2024‑29. (esma.europa.eu)
• Compétence au Luxembourg. L’article 46 de DORA désigne l’autorité compétente par secteur; la CSSF se positionne explicitement comme “TLPT authority” nationale, avec articulation BCL/CSSF pour TIBER‑LU. Réfs. CSSF. (cssf.lu)

Note importante: la liste interne des sujets mentionne “DORA art. 30 — TLPT”. Juridiquement, le TLPT relève de l’article 26; l’article 30 traite du “sous‑traitant (subcontracting) ICT”. Les entreprises doivent se référer à l’article exact pour définir leur feuille de route et leurs contrôles. (eur-lex.europa.eu)

Ce que ça change concrètement

• Qui est probablement “désigné” au Luxembourg en 2026–2027 ?
  • Banques significatives (SSM) et O‑SIIs luxembourgeoises; CSD/CCP le cas échéant.
  • Prestataires de paiement/e‑money dépassant 150 Md€ de flux sur 2 années civiles; plateformes de négociation majeures; assureurs atteignant le seuil de 3,5 % des actifs nationaux. Décision finale au cas par cas par la CSSF en tant qu’autorité TLPT. (eur-lex.europa.eu)
• Fréquence et calendrier. Une fois désignée, l’entité doit réaliser un TLPT au moins tous les trois ans, cadence ajustable par l’autorité selon le risque. Le JO 2025/1190 et DORA art. 26 confirment ce rythme. (esma.europa.eu)
• Méthode attendue. Les tests s’appuient sur une menace “réelle” (cyber‑renseignement actuel), s’exécutent en production, et visent des “fonctions critiques”. Le RTS consacre la possibilité de TLPT “poolés” sur des dépendances communes (p. ex. un même prestataire cloud/ICT intra‑groupe), utile aux groupes frontaliers LU–BE–FR–DE. (eur-lex.europa.eu)
• Gouvernance locale. La CSSF attend une articulation avec TIBER‑LU et une capacité à prouver la maîtrise du cycle complet (cadrage, scénario, ROE, exécution, remédiations, evidence). Son site précise le rôle d’autorité TLPT et renvoie au document TIBER‑LU mis à jour. (cssf.lu)

Exemple pratique. Un IFM bancaire classé O‑SII opérant des paiements de masse et utilisant un SOC mutualisé pourrait être désigné TLPT: la CSSF pourra exiger un test couvrant le parcours “paiement SEPA instantané + banque en ligne” avec injection de TTPs observées contre des acteurs européens, exécution sur prod hors heures de pointe, et plan de remédiation horodaté avec preuve d’efficacité.

Pièges fréquents

1. Confondre DORA art. 26 (TLPT) et art. 30 (sous‑traitance). Résultat: feuille de route erronée (contrats au lieu du testing). Vérifiez vos citations juridiques et rattachez chaque exigence à l’article précis. (eur-lex.europa.eu)
2. Compter un ancien TIBER comme “premier TLPT DORA” sans gap‑analysis. Le RTS ne prévoit pas de crédit automatique: il faut démontrer l’équivalence aux exigences 2025/1190 (portée, gouvernance, preuves), faute de quoi l’autorité peut exiger un nouveau test. (eur-lex.europa.eu) — En pratique, une analyse d’écart via un audit cybersécurité facilite la préparation.
3. Périmètre trop étroit. Le RTS impose une justification risque‑basée de la sélection des “fonctions critiques” et des chaînes de dépendances (y compris fournisseurs ICT). Limiter au seul canal web sans couvrir IAM, paiements, journalisation et reprise peut faire échouer la reconnaissance mutuelle. (eur-lex.europa.eu)
4. Mauvaise utilisation de testeurs internes. Possible mais encadrée: approbation par l’autorité, indépendance, ressources dédiées et TI externe obligatoires. L’absence d’un fournisseur de cyber‑renseignement externe invalide le dispositif. (eur-lex.europa.eu)
5. Oublier la dimension transfrontière. Les groupes LU avec activités en BE/FR/DE doivent anticiper la coordination inter‑autorités et viser un TLPT “joint/poolé” pour obtenir la reconnaissance mutuelle et éviter des tests duplicatifs. (eur-lex.europa.eu)

Sources officielles

• Règlement délégué (UE) 2025/1190 (RTS TLPT) — JO du 18 juin 2025: EUR‑Lex 32025R1190. Exemples sur les seuils et la gouvernance TLPT. (eur-lex.europa.eu)
• DORA — Règlement (UE) 2022/2554 (articles 26 et 46): EUR‑Lex 32022R2554. Fréquence minimale “au moins tous les trois ans” et identification des entités. (eur-lex.europa.eu)
• ESAs — Final Report “JC 2024‑29” sur les RTS TLPT (17/07/2024): ESMA — JC 2024‑29; communiqué ESMA sur le “second batch” DORA: ESMA news. (esma.europa.eu)
• CSSF — “TIC et cyber‑risque – entités DORA” (autorité TLPT) et TIBER‑LU Implementation (20/06/2025): cssf.lu, TIBER‑LU. (cssf.lu)

En synthèse, le cadre TLPT est désormais fixé et opposable. Les dirigeants et CISO luxembourgeois doivent vérifier s’ils sont “désignables”, bâtir un plan triennal aligné 2025/1190, et préparer une exécution TIBER‑LU “reconnaissable” par la CSSF — preuves à l’appui. Pour un cadrage global de DORA — résilience opérationnelle et ses impacts locaux, voir aussi DORA Luxembourg et CSSF.

Article d'expertise Luxgap. Pour un cadrage personnalisé sur ce sujet, contactez-nous ou configurez votre devis en ligne.