Contexte réglementaire européen
Tests d’intrusion dans le cadre de NIS2 et DORA
Un guide pratique sur les exigences de l'UE en matière de gestion des risques de cybersécurité, de tests de résilience opérationnelle numérique et de tests d'intrusion fondés sur la menace.
Des éléments probants de résilience, et non une garantie de conformité
Les organisations en Europe et aux États-Unis dépendent de systèmes connectés et de fournisseurs. Les tests d’intrusion autorisés valident des chemins d’attaque sélectionnés et fournissent des preuves permettant de hiérarchiser les mesures correctives. Les obligations de l’UE dépendent de l’entité, du secteur et du droit applicable. Les organisations américaines doivent évaluer si leurs activités ou leurs relations dans l’UE les soumettent aux exigences pertinentes.
NIS2 : gestion des risques et tests d’efficacité
L’article 21 de la directive (EU) 2022/2555 impose aux entités essentielles et importantes d’adopter des mesures appropriées et proportionnées de gestion des risques en matière de cybersécurité. L’article 21(2)(f) prévoit des politiques et procédures visant à évaluer leur efficacité. Les tests d’intrusion peuvent contribuer à cette évaluation, mais la directive n’impose pas de test d’intrusion annuel universel. Le périmètre et la fréquence dépendent des risques, du droit national de transposition applicable et des exigences sectorielles. L’article 20 porte sur l’approbation et la supervision par les organes de direction.
EUR-Lex, NIS2 articles 20 et 21DORA : un programme de tests proportionné
Le règlement (UE) 2022/2554 s’applique à compter du 17 janvier 2025. Les articles 24 et 25 définissent les exigences relatives aux tests de résilience opérationnelle numérique, sous réserve du champ d’application et des exemptions du règlement. Les entités financières autres que les microentreprises doivent veiller à ce que des tests appropriés soient réalisés au moins une fois par an sur tous les systèmes et applications TIC qui soutiennent des fonctions critiques ou importantes. Le programme fait appel à diverses techniques ; il ne s’agit pas d’une obligation générale de réaliser chaque année un test d’intrusion complet de chaque système.
EUR-Lex, DORA articles 24 et 25DORA : tests d’intrusion avancés fondés sur la menace
L’article 26 impose aux entités financières désignées par les autorités compétentes selon les critères qu’il définit, notamment les entités financières importantes concernées, de réaliser des tests de pénétration fondés sur la menace (TLPT) au moins tous les trois ans. Les autorités peuvent ajuster cette fréquence en fonction des risques et des circonstances opérationnelles. Les TLPT couvrent plusieurs ou la totalité des fonctions critiques ou importantes et sont réalisés sur des systèmes de production en service. Ils nécessitent un périmètre maîtrisé, des mesures de maîtrise des risques, des actions correctives et l’implication des autorités de surveillance. Ils ne sont pas exigés de toutes les entités financières. L’article 27 fixe les exigences applicables aux testeurs ; un test d’intrusion classique ne constitue pas automatiquement un exercice TLPT conforme.
EUR-Lex, DORA articles 26 et 27Définir le périmètre, les mesures de protection et les modalités de rapport
Avant les tests, convenez par écrit de l’autorisation, des systèmes, des fonctions critiques, des permissions des fournisseurs, des créneaux de test, des contacts pour les remontées d’alerte et des conditions d’arrêt. Les rapports doivent consigner les éléments de preuve, les limites, l’impact sur l’activité, les priorités de correction et les résultats des tests de vérification. Conservez ces documents dans le cadre du programme global de gestion des risques.
Ce guide fournit des informations générales et ne constitue ni un conseil juridique ni une affirmation d’approbation réglementaire. Vérifiez la transposition nationale de NIS2, l’applicabilité de DORA et les attentes des autorités de surveillance auprès de votre équipe de conformité ou de votre conseiller juridique. Un rapport de test ne constitue pas une certification de conformité.
Discuter d’une évaluation