Le piège classique
L'article 5 impose que l'équipe chargée du contrôle (le control team) evalue et gère les risques du test avant et pendant l'exercice, sur des systèmes en production reelle. Le piège que la CSSF et la BCL sanctionnent dans le cadre TIBER-LU, ce n'est pas le test lui-meme, c'est l'absence de trace formalisée de cette gestion des risques. Une entité qui lance une phase rouge sans registre de risques documente, sans plan de remontée de crise et sans mesures de rollback prouvables s'exposé a un TLPT invalide, donc a l'absence de l'attestation visée a l'article 26(7) de DORA, et a une exposition opérationnelle reelle si l'équipe rouge corrompt des données de production sans plan de restauration teste.
Les 6 familles de risques que votre control team doit tracer
L'article 5(2) exige la prise en compte d'au moins six catégories. Chacune doit être documentée, evaluée et suivie tout au long du test :
- Accès des threat intelligence providers et testeurs externes a des informations sensibles sur l'entité : périmètre de confidentialité, besoin d'en connaître, NDA opposables.
- Non-conformite du TLPT lui-meme a DORA et au RTS, y compris violations de confidentialité ou conduite non ethique des prestataires, qui font tomber l'attestation.
- Remontée des incidents et des crises : qui alerte qui, dans quel délai, quand bascule-t-on en gestion de crise reelle.
- Phase active de l'équipe rouge : interruption d'activités critiques, corruption de données, incidences sur des tiers (clients, contreparties, prestataires TIC).
- Activité de l'équipe bleue : elle aussi peut interrompre des services critiques ou corrompre des données en repondant, sans savoir qu'il s'agit d'un test.
- Restauration incomplete des systèmes touches : preuve que chaque système impacte revient a son état nominal, vérifiée et horodatée.
Point d'attention luxembourgeois : les prestataires TIC integres au périmètre du test relevent aussi des circulaires CSSF 22/806 et 25/882 et du RTS sous-traitance 2025/532. La remédiation qui cloture le TLPT doit alimenter votre gestion des risques TIC au sens de la circulaire 20/750.
Comment Luxgap automatise ce risque
Notre Luxgap TLPT Risk Sentinel transforme la gestion des risques exigée par l'article 5 en un registre vivant et opposable, plutot qu'en un document Word fige au kickoff. L'outil se connecte a votre Microsoft Defender, Azure Sentinel, CrowdStrike et a votre CMDB pour cartographier en temps reel les fonctions critiques touchées par la phase rouge, correle chaque action des testeurs a un risque de l'article 5(2) et déclenche l'escalade automatique des que le seuil de danger reel est franchi.
- Cartographie automatiquement les fonctions critiques ou importantes en production à partir de votre CMDB et de vos flux Defender ou Sentinel, et les rattache aux six familles de risques de l'article 5(2).
- Détecte en temps reel une interruption de service critique ou une corruption de données causée par l'équipe rouge ou bleue, et alerte le control team sur Teams avant que l'incident ne devienne une crise reelle.
- Génère le plan de remontée de crise et d'incident prerempli, avec matrice d'escalade nominative white team, blue team, direction et CSSF ou BCL selon TIBER-LU.
- Suit chaque accès accorde aux threat intelligence providers et testeurs externes, journalise les informations sensibles exposées et alerte sur tout depassement de périmètre de confidentialité.
- Vérifie la restauration complète de chaque système touche via comparaison d'état avant et après test, et bloque la cloture tant qu'un système reste degrade.
- Produit un rapport PDF horodate et scelle, opposable a la CSSF et a la BCL, demontrant que la gestion des risques a ete assurée tout au long du test conformément a l'article 5.
Disponible en complement d'un mandat CISO Luxgap ou en brique SaaS dediée selon votre périmètre. Demandez un devis personnalise et nos équipes preparent une demonstration sur votre périmètre reel, avec un audit blanc gratuit sous 48h pour mesurer votre exposition avant tout engagement.
