TLPT DORA : le test d'intrusion fondé sur la menace, tous les
trois ans

L'avenant arrive un jeudi, envoyé par la direction des achats de votre client bancaire. Quinze clauses nouvelles, non négociables : localisation des données, droit d'audit et d'inspection, stratégie de sortie, et une ligne qui fait lever un sourcil : "coopération du prestataire aux tests d'intrusion fondés sur la menace". Vous n'êtes ni une banque ni un assureur. Vous vendez un SaaS de gestion documentaire. Et pourtant, vous venez de recevoir votre premier morceau de DORA.

Le règlement DORA (Digital Operational Resilience Act, règlement UE 2022/2554) s'applique depuis le 17 janvier 2025 à l'essentiel du secteur financier européen, et par contrat à ses prestataires informatiques. Le périmètre, les cinq piliers et l'articulation avec NIS2 sont traités dans notre guide généraliste du règlement DORA. Ici, on entre dans le pilier qui inquiète le plus les équipes techniques : les tests de résilience, où le pentest devient une obligation écrite, et surtout le TLPT, ce test d'intrusion fondé sur la menace qu'une partie des entités doit passer tous les trois ans.

DORA en bref, et où lire le généraliste

DORA est un règlement, pas une directive : effet direct dans toute l'Union, sans loi française à attendre. Il s'applique depuis le 17 janvier 2025, et le cadre du TLPT est devenu opérationnel à l'été 2025 avec la publication de ses normes techniques. Qui exactement est dans le champ, et comment DORA se départage de NIS2, sont détaillés dans le guide du règlement DORA ; on retient ici que si vous êtes agréé par un superviseur financier, ou prestataire informatique de quelqu'un qui l'est, les tests vous concernent.

Le pentest obligatoire : ce que DORA exige comme tests de résilience

Le chapitre IV (articles 24 à 27) est celui qui transforme la sécurité offensive en obligation réglementaire. L'article 24 impose à chaque entité financière (hors micro-entreprises) un programme de tests de résilience opérationnelle numérique documenté, proportionné, et surtout cadencé : au moins une fois par an, tous les systèmes et applications TIC qui soutiennent des fonctions critiques ou importantes doivent être testés.

L'article 25 détaille la panoplie attendue, et elle est large : évaluations et analyses de vulnérabilités, analyses de sources ouvertes, évaluations de la sécurité des réseaux, analyses d'écarts, examens de la sécurité physique, revues de code source lorsque c'est réalisable, tests fondés sur des scénarios, tests de compatibilité, de performance, de bout en bout, et tests de pénétration. Le mot est dans le texte. À la question "le pentest est-il obligatoire avec DORA ?", la réponse honnête est donc : oui, comme composante d'un programme de tests annuel sur vos fonctions critiques, avec un second étage bien plus lourd pour les entités désignées. Si vous hésitez encore entre un scanner et un vrai test, notre comparatif pentest ou scan de vulnérabilités tranche le débat : l'article 25 attend les deux, pas l'un ou l'autre.

TLPT : le test d'intrusion fondé sur la menace, tous les trois ans

Au-dessus du programme annuel, l'article 26 crée le TLPT (threat-led penetration testing, test de pénétration fondé sur la menace) : un exercice de red team grandeur nature, calqué sur le cadre TIBER-EU de la BCE, à réaliser au moins tous les trois ans. Il ne concerne pas tout le monde : seules les entités désignées par leur autorité (selon leur importance systémique et leur profil de risque TIC) y sont tenues, et les micro-entreprises comme les entités du régime simplifié en sont exemptées. En France, les autorités TLPT sont la Banque de France, l'ACPR et l'AMF, réunies dans une équipe commune (la TCT-FR) qui applique la déclinaison nationale TIBER-FR ; pour les grands établissements de crédit dits "significatifs", c'est la BCE. La liste des désignés est confidentielle : on l'apprend par courrier, pas par communiqué.

Le cadre opérationnel est fixé par les normes techniques de réglementation, le règlement délégué (UE) 2025/1190, applicable depuis le 8 juillet 2025. Et il ne ressemble à aucun pentest que vous avez commandé jusqu'ici.

Trois exigences donnent la mesure de l'exercice. Le test se joue sur les systèmes de production réels, pas sur une préprod aseptisée. Le renseignement sur la menace vient obligatoirement d'un prestataire externe. Et les testeurs répondent aux critères stricts de l'article 27 : expertise démontrée en renseignement, pentest et red teaming, certification ou adhésion à un code de conduite, assurance professionnelle. Des testeurs internes restent possibles sous conditions (approbation de l'autorité notamment), mais un test sur trois doit recourir à des testeurs externes, et les établissements de crédit significatifs n'ont pas le choix : externes, point.

Un détail concerne directement les sous-traitants. Quand une fonction critique est opérée par un prestataire TIC, celui-ci peut être inclus dans le périmètre du TLPT de son client, le texte organisant même des tests mutualisés entre plusieurs clients d'un même prestataire. Votre SaaS peut donc se retrouver cible contractuelle d'une red team mandatée par votre client bancaire.

Un mot sur l'articulation avec le régime général NIS2, sans y revenir en détail : pour les entités financières, DORA prime au titre de la lex specialis, et le cas du prestataire informatique qui cumule les deux régimes est traité dans notre guide du règlement DORA. Sur le fond, les deux convergent, et la méthode décrite pour l'audit NIS2 par le test d'intrusion (tester, corriger, retester, documenter) se transpose telle quelle ; côté DORA, la fréquence annuelle et la panoplie de tests ne sont pas une bonne pratique, elles sont écrites dans le règlement.

Comment s'y préparer : cartographier, tester, prouver

Que vous soyez une entité financière de taille moyenne ou l'un de ses prestataires TIC, l'ordre de marche est le même.

Cartographier d'abord. Le programme de tests de l'article 24 et le registre d'informations de l'article 28 présupposent un inventaire exact de ce que vous exposez, sous-domaines oubliés et services hérités de vos prestataires compris. C'est le travail d'une plateforme d'EASM, la gestion de la surface d'attaque externe : découvrir en continu vos actifs exposés, les rattacher à vos fonctions, et détecter ce qui apparaît entre deux audits.

Tester ensuite, au rythme du texte. L'annualité de l'article 24 se prête mal au pentest "grand soir" tous les trois ans : la bonne mécanique est un socle de test d'intrusion web en conditions réelles sur le périmètre exposé, complété en profondeur par un pentest whitebox sur les applications qui portent vos fonctions critiques, et un scan continu entre deux campagnes. own2pwn n'est pas un prestataire TLPT accrédité au sens de TIBER, et un TLPT réglementaire suppose un renseignement sur la menace externe et une supervision de l'autorité que nous ne fournissons pas. Notre terrain, c'est ce socle de pentest web, qui alimente le programme de tests de l'article 24 et prépare le terrain pour les entités qui devront, elles, passer par une red team accréditée. Pour ces désignées, ce socle reste le meilleur entraînement : une red team fondée sur la menace trouvera en trois mois ce qu'un programme de tests sérieux aurait éliminé en un an.

Prouver enfin. DORA est un régime de supervision : ce qui compte n'est pas d'avoir testé, mais de pouvoir montrer le rapport, le plan de remédiation, le retest qui confirme la fermeture, et la trace de tout cela dans la gouvernance. Chaque campagne de test doit sortir avec son dossier de preuve daté, celui qu'attendent le superviseur, l'auditeur et vos clients financiers. C'est le même dossier que produit le volet technique d'un audit NIS2, transposable au registre de preuve attendu par DORA.

À retenir

• DORA est un règlement, applicable depuis le 17 janvier 2025 : effet direct dans toute l'UE, sans transposition. Le retard se compte déjà en mois, pas en années de délai de grâce.
• 20 catégories d'entités financières sont couvertes, des banques aux fintechs agréées, plus les prestataires TIC : par contrat (article 30) pour tous, par désignation "critique" pour les plus gros.
• Le pentest devient une obligation écrite : programme de tests annuel sur tous les systèmes soutenant des fonctions critiques ou importantes (article 24), panoplie complète listée à l'article 25.
• Le TLPT vise les entités désignées, tous les 3 ans : red team sur production réelle, cadre TIBER-EU, RTS 2025/1190, autorités françaises Banque de France, ACPR et AMF (BCE pour les banques significatives).
• DORA prime sur NIS2 pour les entités financières (lex specialis) ; un prestataire TIC peut cumuler les deux régimes.
• L'ordre de marche : cartographier, tester, prouver. Un inventaire faux rend le programme de tests non conforme par construction.

Si votre programme de tests DORA tient aujourd'hui sur une ligne de budget et une bonne intention, le plus court chemin commence par la visibilité : cartographier votre surface d'attaque externe pour asseoir le périmètre, puis un test d'intrusion qui produit le dossier de preuve que l'article 24 attend. Parlons de votre périmètre : entité financière ou prestataire TIC, l'échéance est la même, et elle est déjà derrière vous.

Questions fréquentes sur le TLPT DORA