Pentest DORA et TLPT 2026 : obligations, diagnostic et devis
Depuis le 17 janvier 2025, le règlement DORA impose un régime de Threat-Led Penetration Testing (TLPT) aux entités financières européennes. Pour les éditeurs SaaS B2B, les prestataires cloud et les infogéreurs de la chaîne financière, l'effet cascade se matérialise dans les clauses contractuelles clients. Ce guide cadre ce qui change concrètement, le lien avec TIBER-EU, la chain-of-custody attendue, et comment se préparer.
Pentest web & API, audit IA, Toulouse, méthodologie OWASP/PTES
Qu'est-ce que DORA et pourquoi le TLPT change la donne
Le règlement (UE) 2022/2554, entré en application le 17 janvier 2025, impose aux entités financières européennes un cadre unifié de résilience opérationnelle numérique. DORA couvre cinq piliers : gestion des risques TIC, gestion des incidents, tests de résilience, gestion des risques tiers et partage d'informations. Le Threat-Led Penetration Testing (TLPT) est le pilier « tests » le plus exigeant : il impose aux entités financières désignées, hors exclusions et sous réserve d'une adaptation de fréquence par l'autorité, un exercice red team au moins triennal, fondé sur un scénario de menace réaliste, conduit sur les systèmes de production supportant des fonctions critiques ou importantes. Pour les éditeurs SaaS B2B, les prestataires cloud, les éditeurs de logiciels bancaires et les infogéreurs de la chaîne financière, DORA a un effet de cascade : les contrats peuvent demander des preuves de sécurité ou une participation aux tests du client. Un pentest fournisseur ne constitue pas à lui seul un TLPT formel.
Qui est concerné : assujetti direct vs prestataire TIC critique
Distinguez trois périmètres : les entités financières de l'article 2, compte tenu des exclusions ; les seules entités désignées pour les tests avancés de l'article 26 ; et les fournisseurs TIC. Ces derniers ont des engagements contractuels à cadrer avec leurs clients (articles 28 à 30). Certains prestataires TIC sont en outre désignés critiques et soumis au cadre de supervision des articles 31 et suivants. Tous les éditeurs SaaS et toutes les fintechs ne relèvent donc pas du même régime.
TIBER-EU : la méthodologie de référence
TIBER-EU publié par la BCE en mai 2018 structure un exercice red team en 4 phases : (1) phase préparatoire : scoping, règles d'engagement, sélection des prestataires threat intelligence et red team, approbation autorité; (2) phase threat intelligence : production d'un Targeted Threat Intelligence Report (TTIR) avec 3 scénarios de menace crédibles basés sur le paysage réel et l'attribution à des acteurs connus; (3) phase red team : exécution de l'attaque sur les systèmes en production, avec traçabilité stricte et escalade immédiate des incidents critiques; (4) phase closure : rapports séparés, ateliers purple team, plan de remédiation signé direction générale. Les modalités du TLPT sont précisées par le règlement délégué (UE) 2025/1190. Les livrables, responsabilités et règles de traitement des preuves doivent être définis dans le cadre de l'exercice.
Différence concrète avec un pentest applicatif classique
Un pentest applicatif Laucked standard (8-15 jours) est scopé techniquement : on teste une application, une API, un environnement cloud avec accès grey-box ou white-box et livrables sous 48-72h. Un TLPT (12-20 semaines) est scopé stratégiquement : on simule un acteur de menace ciblant une fonction critique (paiement, règlement-livraison, gestion de portefeuille client). Le test démarre full black-box depuis l'extérieur, ne prévient pas les équipes bleues (sauf cellule restreinte), et mesure la capacité de détection-réaction autant que la pénétration. Pour un éditeur SaaS B2B pris dans une clause DORA cascade, le programme doit être proportionné au risque et aux engagements contractuels : choisissez les tests applicatifs, exercices red team et validations de détection utiles, avec une fréquence motivée. Aucun empilement uniforme n'est imposé à tous les SaaS.
Traçabilité des preuves : cadrer la protection et la conservation
Documentez la collecte, les accès, les transferts et la destruction des preuves du test. Le hachage des artefacts et leur chiffrement sont des mesures techniques possibles, à choisir selon la sensibilité des données et le contrat. Nous ne présentons pas une durée uniforme de sept ans, un algorithme précis ou un horodatage qualifié comme une obligation générale DORA. Fixez la durée de conservation avec le client et les textes applicables, en tenant compte de la minimisation des données personnelles.
Devis et diagnostic DORA : comment cadrer la démarche
Un pentest DORA ne se chiffre pas sur catalogue : le périmètre régulé (fonctions critiques, exigences de preuve, format de rapport attendu par vos clients financiers ou par l'ACPR) impose un cadrage préalable. La démarche type : (1) diagnostic de surface gratuit pour cartographier votre exposition réelle, vos clients régulés et les clauses DORA héritées de vos contrats ; (2) atelier de cadrage technique avec un pentester senior pour définir périmètre, profondeur, chain-of-custody et calendrier ; (3) devis ferme sous 48 h avec livrables et jalons engagés. Ce séquencement évite les deux pièges classiques : le devis surdimensionné type TLPT complet quand une mission conforme-DORA suffit, et le pentest générique qui ne produit pas les preuves attendues par un acheteur régulé.
Comment se préparer si vous êtes prestataire SaaS ou éditeur
Trois leviers prioritaires. (1) Cartographier votre exposition DORA indirecte : listez vos clients régulés, identifiez les clauses contractuelles de test de sécurité, calez votre programme pentest annuel sur ce calendrier. (2) Documenter la chain-of-custody dès maintenant : intégrez le hachage SHA-256 et l'archivage chiffré à votre process livrable, même sur un pentest classique : c'est un signal de maturité qui rassure les acheteurs régulés. (3) Industrialiser la détection : un TLPT mesure la détection au moins autant que l'attaque. Un SOC qui loupe les 3 phases de reconnaissance, d'accès initial et de mouvement latéral est un problème plus grave qu'une vulnérabilité applicative. Les missions Laucked intègrent désormais par défaut un volet purple team synthétique pour tester le temps de détection.
FAQ : Pentest DORA et TLPT
Mon entreprise est-elle concernée par le régime TLPT de DORA ?
Le règlement (UE) 2022/2554 (DORA) impose le TLPT (Threat-Led Penetration Testing) aux entités financières désignées par l'autorité compétente, en France l'ACPR pour la banque/assurance, l'AMF pour les marchés. Le critère d'éligibilité tient compte de la taille, du profil de risque, de l'interconnexion au système financier et de la dépendance aux TIC. Un fournisseur TIC peut devoir participer au test de son client selon le périmètre et les contrats. Cela se distingue du cadre de supervision des prestataires TIC critiques désignés, prévu aux articles 31 et suivants.
Quelle différence concrète entre un pentest classique et un TLPT DORA ?
Le TLPT se distingue sur 4 points : (1) il est threat-led : l'équipe rouge travaille à partir d'un scénario de menace réaliste produit par une équipe de threat intelligence qualifiée; (2) le périmètre couvre des systèmes en production supportant des fonctions critiques ou importantes, pas seulement un environnement de test; (3) la durée d'une mission dépasse souvent 12 semaines (contre 2-4 pour un pentest classique); (4) les livrables suivent un format aligné sur TIBER-EU avec chain-of-custody et rapport séparé red team / blue team pour préserver le caractère représentatif de l'exercice.
Qu'est-ce que TIBER-EU et quel est son lien avec DORA ?
TIBER-EU (Threat Intelligence-Based Ethical Red Teaming) est le framework publié par la Banque centrale européenne en 2018 pour encadrer les exercices red team sur les entités financières. DORA adopte TIBER-EU comme base méthodologique du TLPT (article 26) avec des précisions techniques dans les RTS (Regulatory Technical Standards). Les autorités nationales (ACPR, AMF en France) supervisent chaque exercice TLPT via un TIBER Cyber Team (TCT) et valident le périmètre, le scénario de menace et le rapport final.
Quelle fréquence pour un TLPT et qui peut le conduire ?
Pour les entités désignées au titre de l'article 26, hors exclusions prévues, le TLPT a lieu au moins tous les trois ans ; l'autorité compétente peut adapter la fréquence au profil de risque. Le prestataire de pentest doit être indépendant de la fonction d'audit interne de l'entité testée et démontrer : expertise offensive documentée (certifications type OSCP, OSEP, CRTO), expérience red team sur infrastructures financières, absence de conflit d'intérêts, et capacité à produire de la threat intelligence contextualisée. Les testeurs doivent satisfaire aux exigences de l'article 27 ; les conditions de recours à des testeurs internes ou externes et la validation du dispositif sont à examiner avec l'autorité compétente.
Laucked peut-il conduire un TLPT ?
Laucked intervient régulièrement sur des prestataires IT critiques de la chaîne financière (SaaS B2B régulé, prestataires cloud, éditeurs de logiciels bancaires) en tant que fournisseur de pentest applicatif aligné sur les exigences DORA. Pour le régime TLPT formel supervisé par l'ACPR, la composition de l'équipe et son admissibilité au cadre TLPT doivent être confirmées avant tout engagement ; un pentest applicatif ne vaut pas habilitation TLPT. Notre valeur ajoutée : la profondeur applicative (API, multi-tenant, flux métier) que les équipes red team généralistes traitent souvent en surface.
Comment obtenir un devis pour un pentest ou un diagnostic DORA ?
La démarche type en trois temps : (1) un diagnostic de surface gratuit cartographie votre exposition (systèmes exposés, clients régulés, clauses contractuelles DORA héritées) ; (2) un atelier de cadrage technique avec un pentester senior définit le périmètre, la profondeur et les exigences de preuve (chain-of-custody, format de rapport attendu par vos clients ou par l'ACPR) ; (3) un devis ferme est remis sous 48 h avec périmètre, livrables et calendrier engagés. Chez Laucked, aucune mission DORA n'est chiffrée sur catalogue : le scope régulé impose un cadrage préalable.
Quels livrables sont attendus par l'ACPR après un TLPT ?
Le dossier de clôture TLPT comprend : rapport de threat intelligence (scénarios de menace et attribution crédible), rapport red team technique avec preuves chain-of-custody, rapport blue team (détection, réaction, MTTD/MTTR), rapport consolidé avec recommandations priorisées, plan de remédiation signé par la direction générale, attestation de re-test de validation sur les findings critiques. Les éléments transmis à l'autorité et les modalités de suivi sont définis par le cadre TLPT applicable ; ne présumez pas une limite générale de douze mois.
Cadrer votre conformité DORA avec Laucked
Pentest applicatif aligné DORA, chain-of-custody SHA-256 + AES-256-GCM, atelier purple team semestriel. Diagnostic de surface gratuit, rapport défendable en annexe de vos contrats régulés.