Comment se conformer à l'annexe VIII du RTS TLPT (UE 2025/1190) ?

Question

Je dois mettre mon organisation luxembourgeoise en conformité à l'annexe VIII du RTS TLPT (UE 2025/1190) (UE 2025/1190). Quelles sont les exigences concretes a respecter, les sanctions encourues, et comment Luxgap peut-il m'accompagner ?

Accepted Answer

Le piège classiqueL'attestation de TLPT n'est pas une formalite de clof̂ture : c'est le document qui prouve a la CSSF (autorité TLPT au sens de l'article 46 de DORA) et a la BCL que votre test a couvert le bon périmètre. Le piège sanctionné en pratique, c'est l'incohérence entre l'attestation et la réalité : des fonctions critiques ou importantes déclarées dans le périmètre mais non réellement testées (point a.iii), une durée de phase active de red team insuffisante au regard du cadre TIBER-LU, ou des prestataires tiers de services TIC absents alors qu'ils portent une fonction critique. Sous DORA, la remédiation alimente la gestion des risques TIC (circulaire CSSF 20/750) : une attestation mal documentée fragilise toute la chaîne de conformité et peut conduire l'autorité a refuser de reconnaître le test.Les informations que votre attestation doit tracer sans failleDates de début et de fin du TLPT, et durée en jours calendaires de la phase active de test de l'équipe rouge (a.vii).Liste exhaustive des fonctions critiques ou importantes dans le périmètre, avec justification explicite pour toute fonction non testée (a.ii et a.iii).Autres entités financières impliquées et prestataires tiers de services TIC ayant participé, en cohérence avec les circulaires CSSF 22/806 et 25/882 sur la sous-traitance TIC (a.iv, a.v).Nature des testeurs : recours a des testeurs internes, application éventuelle de l'article 5(3), deuxième alinéa (a.vi).Autres autorités TLPT impliquées et a quel titre, en cas de test transfrontalier (b).Liste des documents examinés par l'autorité TLPT aux fins de l'attestation (c).Chacune de ces lignes doit être traçable et documentée : l'autorité ne se contente pas de la déclaration, elle croise l'attestation avec le plan de test, le rapport de l'équipe rouge et le plan de remédiation.Comment Luxgap automatise ce risqueNotre Luxgap Attestation Assembler transforme la constitution du dossier d'attestation TLPT en un livrable structuré, complet et prét pour la CSSF, sans reconstitution manuelle de dernière minute. L'outil agrège en continu les artefacts produits pendant le test (scoping document, threat intelligence, journaux de l'équipe rouge, plan de remédiation) et vérifie automatiquement que chaque point de l'Annexe VIII est couvert avant soumission a l'autorité TLPT.Reconstitue automatiquement le périmètre des fonctions critiques ou importantes en croisant votre registre TIC (circulaire 20/750) et le scoping document TIBER-LU, et signale toute fonction déclarée mais non testée.Calcule la durée réelle en jours calendaires de la phase active de test de l'équipe rouge à partir des journaux horodatés, et la compare aux exigences minimales du cadre TIBER-LU.Détecte les prestataires tiers de services TIC impliqués via votre registre de sous-traitance (circulaires 22/806 et 25/882) et vérifie leur mention dans l'attestation.Génère la liste des documents examinés et un index opposable, avec horodatage cryptographique de chaque pièce transm...

Détails de l’attestation de TIFM visée à l’article 26, paragraphe 7, du règlement (UE) 2022/2554

Ils nous font confiance

Avant de discuter