Considérant 59
Règlement sur la résilience opérationnelle numérique du secteur financier · UE 2022/2554
| (59) | Étant donné que le présent règlement n’exige pas des entités financières qu’elles couvrent toutes les fonctions critiques ou importantes dans le cadre d’un test unique de pénétration fondé sur la menace, les entités financières devraient être libres de déterminer combien de fonctions critiques ou importantes, et lesquelles, devraient être incluses dans le champ d’application de ce test. |
Au Luxembourg, la CSSF est l'autorité competente pour superviser les tests TLPT au titre de l'article 26 DORA, en coordination avec la BCL pour les acteurs systemiques. La place financiere luxembourgeoise applique deja le cadre TIBER-LU depuis 2018, dont la CSSF a confirme la convergence avec les RTS TLPT DORA : les entités deja testees sous TIBER-LU beneficient d'une reconnaissance partielle, mais doivent démontrer la couverture pluriannuelle de l'intégralité de leurs fonctions critiques.
Pratique Luxgap : pour les banques privées, fonds et PSF luxembourgeois, nous recommandons de soumettre la matrice de scope TLPT au TIBER Cyber Team de la CSSF en amont, idéalement 6 mois avant la phase Red Team, pour eviter une requalification de scope en cours de test.
