Le piège classique
Le considérant 60 autorise les tests groupes (pooled testing) mais sous conditions strictes. En pratique, les entités financières luxembourgeoises mutualisées sur un même prestataire critique (typiquement un cloud hyperscaler ou un fournisseur core banking) se ruent vers le test groupe pour partager les coûts, sans désigner formellement l'entité pilote, sans calibrer le nombre de participants, et sans documenter pourquoi un TLPT individuel aurait degrade la qualité du service. La CSSF, en tant qu'autorité TLPT au Luxembourg sous le framework TIBER-LU, refuse alors le scope groupe et impose la reprise en mode individuel, avec retard de plusieurs mois sur le cycle triennal.
Les 4 conditions cumulatives a documenter avant de demander un test groupe
- Justification de l'impact adverse : démontrer par écrit que un TLPT individuel impacterait raisonnablement la qualité, la sécurité ou la confidentialité des services rendus par le prestataire TIC a ses autres clients hors scope DORA (autres secteurs, juridictions tierces).
- Désignation d'une entité pilote : une seule entité financière assume la direction opérationnelle du test, porté la relation avec le testeur externe et la CSSF, et centralise la blue team et la white team coordonnées.
- Calibration du nombre de participants : justifier que le nombre d'entités participantes reste compatible avec la rigueur du test (ni dilution des scénarios, ni perte de granularite sur les flags individuels).
- Couverture des objectifs TLPT pour chaque participant : chaque entité financière doit retrouver dans le scope groupe ses propres fonctions critiques ou importantes, ses propres threat intelligence scénarios, et ses propres preuves de remédiation.
Le piège contractuel avec le testeur externe
Le considérant 60 autorise le prestataire TIC a conclure directement le contrat avec le testeur externe. Cette dérogation au schema standard (ou chaque entité financière contracte son propre testeur) crée un trou d'audit : si le contrat testeur-prestataire ne reflete pas les exigences RTS TLPT (qualifications testeur, gestion des vulnérabilités decouvertes, conservation des preuves), les entités financières participantes restent responsables vis-à-vis de la CSSF sans avoir signe le contrat. Une clause de flow-down tripartite est indispensable.
Comment Luxgap automatise ce risque
Notre Luxgap Pooled TLPT Orchestrator transforme la coordination chaotique d'un test groupe DORA en dossier d'éligibilité preconstitue pour la CSSF. L'outil agrege en temps réel les registres d'information DORA des entités participantes, croise leurs cartographies de fonctions critiques avec le périmètre du prestataire TIC commun, et génère automatiquement le dossier de justification d'impact adverse exige par le considérant 60.
- Détecte les concentrations sur prestataires TIC partagés entre plusieurs entités financières LU via croisement des registres d'information article 28(3) et alerte des qu'un test groupe devient eligible.
- Calcule un score d'éligibilité pooled testing base sur la criticité partagée, le nombre optimal de participants et le risque d'impact sur les clients hors scope DORA du prestataire.
- Génère le dossier de justification CSSF prérempli, opposable, démontrant que le TLPT individuel aurait raisonnablement degrade le service rendu aux autres clients.
- Produit le mandat de l'entité pilote désignée, le scoping document consolide et la matrice RACI white team / blue team / red team aligne TIBER-LU.
- Vérifie la conformité du contrat tripartite prestataire TIC - testeur externe - entités financières aux RTS TLPT et signale les clauses manquantes (qualifications testeur, responsible disclosure, conservation preuves 5 ans).
- Suit le cycle triennal de chaque participant et alerte sur les desynchronisations qui rendraient le prochain test groupe non eligible.
Disponible en complément d'un mandat CISO Luxgap ou en brique SaaS dédiée selon votre périmètre. Demandez un devis personnalisé et nos équipes préparent une démonstration sur vos prestataires TIC partagés réels, avec un audit blanc gratuit sous 48h pour mesurer votre éligibilité au test groupe avant tout engagement.
