Comment se conformer au considérant 19 du RTS TLPT (UE 2025/1190) ?

Question

Je dois mettre mon organisation luxembourgeoise en conformité au considérant 19 du RTS TLPT (UE 2025/1190) (UE 2025/1190). Quelles sont les exigences concretes a respecter, les sanctions encourues, et comment Luxgap peut-il m'accompagner ?

Accepted Answer

Le piège classiqueLe considérant 19 eclaire une transition souvent bacle en pratique : le passage de renseignement sur les menacés (threat intelligence) a la phase de test de l'équipe rouge. Beaucoup d'entités financieres traitent le rapport de renseignement cible comme un livrable ferme, transmis par email a la red team sans briefing structure. La CSSF, autorité TLPT au sens de l'article 46 de DORA, et la BCL, dans le cadre TIBER-LU dont l'Implementation Document a ete revise le 20 juin 2025, attendent une passation documentée ou le fournisseur de renseignements explique en detail le rapport et analyse les scénarios de menacé possibles avant que le plan de l'équipe rouge ne soit finalise. L'absence de cette etape fragilise le realisme du test et donc sa validité au regard de l'article 26 de DORA.Ce que ce considérant impose concretement au plan de testUn considérant n'est pas normatif, mais il fixe l'intention du legislateur pour interpréter les exigences du plan de test de l'équipe rouge. Concretement, il faut tracer et outiller cette passation :Organiser une session de restitution documentée ou le threat intelligence provider presente le rapport de renseignement cible aux testeurs, et non un simple envoi de PDF.Produire une analyse ecrite des scénarios de menacé possibles, alignée sur les acteurs de menacé pertinents pour vos fonctions critiques en production reelle.Relier chaque scénario au scope specification document pour que l'équipe rouge finalise un plan credible et couvrant vos prestataires TIC dans le périmètre du test.Conserver la preuve de cette passation pour la revue par la white team et par l'autorité TLPT (CSSF, BCL).S'assurer que les prestataires TIC critiques, inclus au titre du RTS sous-traitance 2025/532 et des circulaires CSSF 22/806 et 25/882, sont couverts par les scénarios.Comment Luxgap automatise ce risqueNotre Luxgap Threat Scénario Bridge transforme la passation renseignement vers red team, souvent informelle, en dossier de transition opposable a la CSSF et a la BCL. L'outil ingere le rapport de renseignement cible et le scope specification document, puis un agent LLM spécialisé mappe chaque acteur de menacé aux fonctions critiques declarées et aux prestataires TIC de votre registre DORA, pour materialiser les scénarios finalisables par l'équipe rouge sans reunion perdue.Classifie chaque scénario de menacé selon la grille TIBER-EU revisée le 11 fevrier 2025 et le cadre TIBER-LU du 20 juin 2025.Croise les acteurs de menacé du rapport de renseignement avec votre cartographie de fonctions critiques et votre registre de prestataires TIC (circulaires CSSF 22/806 et 25/882).Génère un ordre du jour de session de passation et capture les explications détaillées fournies par le threat intelligence provider, horodatées.Détecte les scénarios non couverts ou les fonctions critiques oubliées avant la finalisation du plan de l'équipe rouge.Produit un dossier de transition PDF horodate, opposable a l'autorité TLPT, demontrant que...

Considérant 19

Ils nous font confiance

Avant de discuter