Comment se conformer au considérant 27 du RTS TLPT (UE 2025/1190) ?

Question

Je dois mettre mon organisation luxembourgeoise en conformité au considérant 27 du RTS TLPT (UE 2025/1190) (UE 2025/1190). Quelles sont les exigences concretes a respecter, les sanctions encourues, et comment Luxgap peut-il m'accompagner ?

Accepted Answer

Le piège classiqueCe considérant 27 clarifie un point que beaucoup d'entités financieres interpretent a leur avantage : croire qu'ajouter un seul consultant externe a une équipe majoritairement interne suffit a cocher la case testeurs externes exigée tous les trois tests par l'article 26(8) de DORA. Faux. La CSSF, autorité TLPT au Luxembourg, et la BCL dans le cadre TIBER-LU considèrent une équipe mixte interne/externe comme un test realise avec des testeurs internes. Concretement, le compteur du cycle triennal ne se remet a zero que lorsque l'équipe de red team est entièrement externe. Se tromper sur ce comptage, c'est se retrouver hors délai réglementaire au contrôle suivant.Comment lire ce considérant en pratiqueTenez un registre du cycle de tests qui distingue clairement chaque TLPT en full external ou mixte/interne, car seul le premier satisfait l'obligation triennale.Un test avec red team interne renforcée d'un fournisseur de threat intelligence externe reste un test interne au sens de l'article 26(8) : la qualification porté sur l'équipe de testeurs offensifs, pas sur les fonctions support.Verifiez l'independance et l'accreditation des testeurs externes selon l'annexe du RTS et l'Implementation Document TIBER-LU revise le 20 juin 2025.Anticipez le budget et le sourcing : un red team externe accredite se contractualise plusieurs mois a l'avance, en incluant les prestataires TIC critiques dans le périmètre (circulaires CSSF 22/806 et 25/882, RTS sous-traitance 2025/532).Alimentez la gestion des risques TIC avec les conclusions de remédiation (circulaire CSSF 20/750).L'intention du legislateur est claire : garantir un regard reellement independant a intervalle régulier. Un comptage rigoureux du cycle est donc une exigence de conformité, pas une simple formalite administrative.Comment Luxgap automatise ce risqueNotre Luxgap TLPT Cycle Tracker rend impossible l'erreur de comptage du cycle triennal : il qualifié automatiquement chaque test comme full external ou interne/mixte et calcule la date limite réglementaire de votre prochain test a red team entièrement externe. L'outil croise vos contrats fournisseurs (Odoo, Sage BOB 50), votre registre de prestataires TIC et les attestations d'accreditation des testeurs pour materialiser la nature reelle de chaque équipe, sans que le CISO ait a interpréter le considérant 27 lui-meme.Classifie chaque TLPT selon la composition de l'équipe de red team et applique la règle du considérant 27 (équipe mixte = test interne).Calcule et affiche en temps reel le compteur du cycle triennal article 26(8), avec alerte Teams des qu'un test full external devient obligatoire.Vérifie l'accreditation et l'independance des testeurs externes contre les critères du RTS 2025/1190 et de l'Implementation Document TIBER-LU.Integre les prestataires TIC critiques au périmètre de test en s'appuyant sur votre registre sous-traitance (RTS 2025/532, circulaires CSSF 22/806 et 25/882).Génère un rapport PDF horodate opposable a la CS...

Considérant 27

Ils nous font confiance

Avant de discuter