Comment se conformer au considérant 30 du RTS TLPT (UE 2025/1190) ?

Question

Je dois mettre mon organisation luxembourgeoise en conformité au considérant 30 du RTS TLPT (UE 2025/1190) (UE 2025/1190). Quelles sont les exigences concretes a respecter, les sanctions encourues, et comment Luxgap peut-il m'accompagner ?

Accepted Answer

Le piège classiqueCe considérant rappelle une vérité que beaucoup d'entités financieres oublient : un TLPT n'est pas neutre au regard des données personnelles. Un red team qui exfiltre des données de production, capture des identifiants ou accede a des systèmes RH manipule mecaniquement des données à caractère personnel. La consultation du Contrôleur européen de la protection des données (CEPD) le 20 août 2024 acte que le legislateur a integre la dualité DORA / RGPD dans la conception même du test. En pratique, la CSSF (autorité TLPT au sens de l'article 46 de DORA) et la BCL, dans le cadre TIBER-LU, attendent que le scope document tienne compte de cette exposition. L'oubli classique : lancer un TLPT sur des fonctions critiques en production reelle sans base légale documentée ni analyse d'impact, exposant l'entité a la fois a un risque RGPD et a une remédiation incomplete.Ce que ce considérant impose concretement dans votre TLPTUn considérant n'est pas normatif, mais il oriente l'interprétation des articles opérationnels du RTS. Voici comment traduire l'intention du legislateur en garde-fous concrets :Documenter la base légale du traitement de données personnelles pendant le test (intérêt légitime au titre de DORA art. 26, ou obligation légale), dans le scoping document TIBER-LU.Réaliser une analyse d'impact (AIPD) lorsque le red team accede a des fonctions critiques traitant des données sensibles ou a grande échelle.Encadrer contractuellement les prestataires red team et threat intelligence via des accords article 28 RGPD, en coherence avec le RTS sous-traitance 2025/532 et les circulaires CSSF 22/806 et 25/882 (prestataires TIC inclus dans le périmètre du test).Minimiser et pseudonymiser les données capturées pendant l'exercice, et definir une durée de conservation courte des artefacts de test.Verser les constats a la gestion des risques TIC (circulaire CSSF 20/750) en veillant a ce que la remédiation ne recrée pas de risque RGPD.Comment Luxgap automatise ce risqueNotre Luxgap TLPT Privacy Guardrail rend impossible le lancement d'un test fonde sur la menacé sans que la couche RGPD soit tracée et opposable. L'outil se branche sur votre scoping document TIBER-LU, votre registre de traitements et vos référentiels d'actifs (Azure Sentinel, Microsoft Defender, CrowdStrike, Active Directory) pour cartographier automatiquement les données personnelles exposées par chaque fonction critique retenue dans le périmètre du test.Détecte, pour chaque fonction critique du scope, les systèmes traitant des données personnelles et déclenche une alerte quand une AIPD est requise au sens du RGPD.Génère une base légale documentée et un registre des traitements spécifique au TLPT, alignes sur DORA art. 26-27 et la méthodologie TIBER-LU revisée le 20 juin 2025.Produit les modèles d'accord article 28 pour le red team, la threat intelligence et le white team, coherents avec le RTS 2025/532 et les circulaires CSSF 22/806 et 25/882.Suit la durée de conservation et la p...

Considérant 30

Ils nous font confiance

Avant de discuter