Le piège classique
Ce considérant 44 rappelle que le Threat-Led Penetration Testing (TLPT) de l'article 26 ne concerne qu'un petit nombre d'entités financières, désignées par la CSSF selon leur taille, leur profil de risque et leur importance systémique. Le piège classique : croire qu'on est exempt parce qu'on est une petite entité, puis decouvrir lors de la désignation CSSF qu'on doit lancer un TLPT TIBER-LU en 6 mois sans avoir budgete ni l'équipe red team accreditée, ni la cellule blue team, ni le White Team interne. L'autre piège inverse : sur-investir dans un TLPT alors qu'on n'est pas désigné, en confondant TLPT et pentest classique.
Comment savoir si vous êtes dans le petit pourcentage concerne
- Etes-vous une banque significative au sens du MSU, un CSD, une CCP, ou un acteur de paiement systémique au Luxembourg ?
- Avez-vous déjà recu une notification de la CSSF vous integrant au périmètre TIBER-LU ou TIBER-EU ?
- Vos fonctions critiques (paiements, custody, trading, fund administration) sont-elles concentrées sur un nombre limite de systèmes TIC ?
- Votre exposition transfrontalière est-elle matérielle (succursales UE, clientele cross-border, depositaire pour fonds UCITS/AIF) ?
- Avez-vous déjà une cartographie des flags et crown jewels mobilisables par un testeur externe accredite ?
Si vous repondez oui a deux de ces critères, anticipez la désignation : la CSSF ne previent pas 18 mois a l'avance. Si vous repondez non partout, le considérant 44 vous protégé, mais vous devez quand même satisfaire au basic testing de l'article 25 (vulnerability assessments, scans, tests de scénarios).
Comment Luxgap automatise ce risque
Notre Luxgap TLPT Readiness Radar vous dit, en 72 heures et avec un score chiffre opposable, si vous êtes dans le petit pourcentage du considérant 44 ou si un basic testing article 25 suffit, et budgete précisément la marché a franchir le cas echeant. L'outil ingere vos données CSSF (catégorie prudentielle, total bilan, AuM, volumes de paiement), votre cartographie des fonctions critiques au sens de l'article 8, votre registre des contrats TIC article 28, et croise tout cela avec la grille de critères TIBER-LU publiée par la BCL et la CSSF.
- Calcule un score probabiliste de désignation TLPT sous 24 mois, base sur votre profil prudentiel et la trajectoire observée des entités déjà désignées au Luxembourg et dans l'UE.
- Génère une cartographie automatique des crown jewels et flags à partir de vos inventaires Azure, AWS, Active Directory et de vos fonctions critiques déclarées.
- Simule le budget complet d'un TLPT (red team accreditée, white team interne, threat intelligence provider, remédiation) avec fourchettes alignées sur le marché luxembourgeois.
- Détecte les écarts par rapport aux exigences article 26 et au cadre TIBER-LU, et liste les actions a executer avant la désignation pour ne pas être pris de cours.
- Pour les entités hors périmètre, bascule automatiquement sur le plan de tests article 25 (scans, pentests cibles, exercices table-top) avec calendrier annuel prêt pour la CSSF.
- Produit un dossier PDF horodate opposable, signe cryptographiquement, a presenter en cas de question de la CSSF sur votre dispositif de tests de résilience numérique.
Disponible en complément d'un mandat CISO Luxgap ou en brique SaaS dédiée selon votre statut prudentiel. Demandez votre démonstration et nos équipes préparent une analyse sur votre profil réel, avec un audit blanc gratuit sous 48h pour mesurer votre exposition a une désignation TLPT avant tout engagement.
Le service Luxgap sur ce sujet
CISO externalisé
Nommé responsable de la sécurité de l'information, notre CISO pilote la politique, la gouvernance, les risques, les audits et les incidents, avec NIS 2 ou DORA quand ils s'appliquent.
Découvrir le mandat CISO→
