Règlement délégué (UE) 2025/1190 de la Commission du 13 février 2025 complétant le règlement (UE) 2022/2554 du Parlement européen et du Conseil par des normes techniques de réglementation précisant les critères utilisés pour identifier les entités financières tenues d’effectuer des tests d’intrusion fondés sur la menace, les exigences et les normes régissant le recours à des testeurs internes, les exigences relatives au périmètre et à la méthodologie des tests ainsi qu’à l’approche à suivre pour chaque phase des stades de test, de résultats, de clôture et de correction et le type de coopération en matière de surveillance et les autres types de coopération pertinents qui sont nécessaires pour l’exécution des tests d’intrusion fondés sur la menace et pour la facilitation de la reconnaissance mutuelle

Aux fins du présent règlement, on entend par: 1) «équipe chargée du contrôle»: l’équipe qui est composée de membres du personnel de l’entité financière testée et, si cela est pertinent au regard du périmètre du test d’intrusion fondé sur la menace (TIFM), de membres du personnel de ses prestataires tiers de services et de toute autre partie, et qui gère le test; 2) «chef de l’équipe chargée du contrôle»: le membre du personnel de l’entité financière qui est responsable de la conduite de toutes les activités liées aux tests d’intrusion fondés sur la menace (TIFM) pour l’entité financière dans le cadre d’un test donné; 3) «équipe bleue»: les membres du personnel de l’entité financière et, le cas échéant, les membres du personnel des prestataires tiers de services de l’entité financière et de toute autre partie jugée pertinente au regard du périmètre du test d’intrusion fondé sur la menace (TIFM), des prestataires tiers de services de l’entité financière, qui défendent l’utilisation des réseaux et des systèmes d’information par une entité financière en maintenant sa posture de sécurité face aux attaques simulées ou réelles et qui n’ont pas connaissance du TIFM; 4) «tâches d’équipe bleue»: les tâches qui sont généralement exécutées par l’équipe bleue, telles que le centre d’opérations de sécurité (SOC), les services d’infrastructure TIC, les services d’assistance et les services de gestion des incidents au niveau opérationnel; 5) «équipe rouge»: les testeurs, internes ou externes, affectés à, ou engagés pour, un test d’intrusion fondé sur la menace (TIFM); 6) «collaboration violette»: une activité de test collaborative impliquant à la fois les testeurs et l’équipe bleue; 7) «autorité compétente en matière de tests d’intrusion fondés sur la menace» ou «autorité TIFM»: l’une des entités suivantes: a) l’autorité publique unique au sein du secteur financier désignée conformément à l’article 26, paragraphe 9, du règlement (UE) 2022/2554; b) l’autorité du secteur financier à laquelle l’exercice de tout ou partie des tâches liées aux tests d’intrusion fondés sur la menace (TIFM) est délégué conformément à l’article 26, paragraphe 10, du règlement (UE) 2022/2554; c) l’une des autorités compétentes visées à l’article 46 du règlement (UE) 2022/2554; 8) «équipe de cybersécurité TIFM»: les membres du personnel qui, au sein des autorités TIFM, sont responsables des questions liées aux tests d’intrusion fondés sur la menace (TIFM); 9) «gestionnaires de test»: les membres du personnel désignés pour diriger les activités de l’autorité TIFM pour un test d’intrusion fondé sur la menace (TIFM) spécifique afin de contrôler le respect du présent règlement; 10) «fournisseur de renseignements sur les menaces»: les experts qui sont engagés par l’entité financière pour chaque test d’intrusion fondé sur la menace (TIFM) et sont externes à l’entité financière et aux éventuels prestataires de services TIC intra-groupe, et qui collectent et analysent des renseignements sur les menaces ciblées pertinents pour les entités financières dans le périmètre d’un exercice spécifique de TIFM et élaborent des scénarios de menace correspondants pertinents et réalistes; 11) «prestataires de TIFM»: les testeurs et les fournisseurs de renseignements sur les menaces; 12) «coup de pouce»: l’assistance ou les informations fournies par l’équipe chargée du contrôle aux testeurs pour leur permettre de poursuivre l’exécution d’un chemin d’attaque lorsqu’ils ne sont pas en mesure de continuer seuls, notamment par manque de temps ou de ressources lors d’un test d’intrusion fondé sur la menace (TIFM) donné, et qu’il n’existe pas d’autre solution raisonnable; 13) «chemin d’attaque»: la voie suivie par les testeurs au cours de la phase active de test de l’équipe rouge, lors d’un test d’intrusion fondé sur la menace (TIFM), pour atteindre les drapeaux spécifiés pour ce test; 14) «drapeaux»: des objectifs clés dans les systèmes de TIC soutenant les fonctions critiques ou importantes d’une entité financière que les testeurs tentent d’atteindre dans le cadre du test; 15) «informations sensibles»: des informations qui peuvent facilement être exploitées pour mener des attaques contre les systèmes de TIC de l’entité financière, la propriété intellectuelle, des données commerciales confidentielles ou des données à caractère personnel, qui, si elles tombaient entre les mains d’acteurs malveillants, pourraient porter directement ou indirectement préjudice à l’entité financière et à son écosystème; 16) «groupement»: toutes les entités financières participant à un test groupé d’intrusion fondé sur la menace (TIFM groupé) conformément à l’article 26, paragraphe 4, du règlement (UE) 2022/2554; 17) «État membre d’accueil»: l’État membre d’accueil conformément au droit sectoriel de l’Union applicable à chaque entité financière; 18) «test commun d’intrusion fondé sur la menace» ou «TIFM commun»: un test d’intrusion fondé sur la menace (TIFM), autre qu’un test groupé d’intrusion fondé sur la menace (TIFM groupé) au sens de l’article 26, paragraphe 4, du règlement (UE) 2022/2554, impliquant plusieurs entités financières utilisant le même prestataire de services TIC intra-groupe, ou appartenant à un même groupe et partageant des systèmes de TIC.

1 Les autorités TIFM évaluent si une entité financière est tenue d’effectuer des TIFM, en tenant compte de l’incidence de cette entité financière, de son caractère systémique et de son profil de risque lié aux TIC, sur la base de l’ensemble des critères suivants: a) facteurs liés à l’incidence et au caractère systémique: i) la taille de l’entité financière, déterminée en examinant si l’entité financière fournit des services financiers dans un seul État membre ou dans plusieurs et en comparant les activités de l’entité financière à celles d’autres entités financières fournissant des services similaires; ii) l’ampleur et la nature de l’interconnexion de l’entité financière avec d’autres entités financières du secteur financier dans un ou plusieurs États membres; iii) la criticité ou l’importance des services que l’entité financière fournit au secteur financier; iv) la substituabilité des services fournis par l’entité financière; v) la complexité du modèle économique de l’entité financière et des services et processus connexes; vi) le fait que l’entité financière fasse ou non partie d’un groupe de caractère systémique au niveau de l’Union ou au niveau national dans le secteur financier qui partage des systèmes de TIC; b) facteurs liés aux risques liés aux TIC: i) le profil de risque de l’entité financière; ii) le panorama de la menace relatif à l’entité financière; iii) le degré de dépendance des fonctions critiques ou importantes de l’entité financière, ou de leurs fonctions de soutien, à l’égard des systèmes et processus de TIC; iv) la complexité de l’architecture des TIC de l’entité financière; v) les services et fonctions de TIC soutenus par des prestataires tiers de services TIC, ainsi que le nombre et le type d’accords contractuels conclus avec des prestataires tiers de services TIC ou des prestataires de services TIC intra-groupe; vi) les résultats des examens des autorités de surveillance pertinents pour l’évaluation de la maturité des TIC de l’entité financière; vii) la maturité des plans de continuité des activités de TIC et des plans de réponse et de rétablissement des TIC; viii) la maturité des mesures opérationnelles de détection et d’atténuation en matière de sécurité des TIC, y compris la capacité: 1) d’assurer une surveillance permanente de l’infrastructure TIC de l’entité financière; 2) de détecter les événements liés aux TIC en temps réel; 3) d’analyser les événements visés au point 2); 4) de réagir aux événements visés au point 2) en temps utile et de manière efficace; ix) le fait que l’entité financière fasse ou non partie d’un groupe actif dans le secteur financier au niveau de l’Union ou au niveau national qui partage des systèmes de TIC. Aux fins du point a), i), l’autorité TIFM tient compte, dans la mesure du possible: a) de la part de marché de l’entité financière au niveau de l’Union et au niveau national; b) de l’éventail des activités proposées par l’entité financière; c) de la part de marché des services fournis par l’entité financière ou des activités menées au niveau de l’Union et au niveau national. Aux fins du point a), v), l’autorité TIFM tient compte, dans la mesure du possible: a) du fait que l’entité financière applique ou non plus d’un modèle d’entreprise; b) de l’interconnexion des différents processus opérationnels et des services connexes.

2 Les autorités TIFM exigent de toutes les entités financières suivantes qu’elles effectuent des TIFM à moins que l’évaluation visée au paragraphe 1 n’indique, en ce qui concerne une entité financière, que son incidence, les préoccupations relatives à la stabilité financière qui lui sont liées, ou son profil de risque lié aux TIC ne justifient pas la réalisation d’un TIFM: a) les établissements de crédit qui remplissent l’une des conditions suivantes: i) ils ont été recensés comme établissements d’importance systémique mondiale (EISm) conformément à l’article 131 de la directive 2013/36/UE du Parlement européen et du Conseil ; ii) ils ont été recensés comme autres établissements d’importance systémique (autres EIS) conformément à l’article 131 de la directive 2013/36/UE; iii) ils font partie d’un EISm ou d’un autre EIS; b) les établissements de paiement qui ont dépassé, au cours de chacune des deux années civiles précédant l’évaluation effectuée par l’autorité TIFM, la barre des 150 milliards d’EUR en valeur totale des opérations de paiement au sens de l’article 4, point 5), de la directive (UE) 2015/2366 du Parlement européen et du Conseil ; c) les établissements de monnaie électronique qui ont dépassé, au cours de chacune des deux années civiles précédant l’évaluation effectuée par l’autorité TIFM, soit la barre des 150 milliards d’EUR en valeur totale des opérations de paiement au sens de l’article 4, point 5), de la directive (UE) 2015/2366, soit la barre des 40 milliards d’EUR en valeur totale de la monnaie électronique en circulation; d) les dépositaires centraux de titres; e) les contreparties centrales; f) les plates-formes de négociation dotées d’un système de négociation électronique qui remplissent l’un des critères suivants: i) la plate-forme de négociation détient, au cours de chacune des deux années civiles précédant l’évaluation effectuée par l’autorité TIFM, la part de marché la plus élevée en termes de volume d’échanges au niveau national dans l’une des catégories suivantes: 1) valeurs mobilières au sens de l’article 4, paragraphe 1, point 44), a), de la directive 2014/65/UE du Parlement européen et du Conseil ; 2) valeurs mobilières au sens de l’article 4, paragraphe 1, point 44), b), de la directive 2014/65/UE; 3) instruments dérivés au sens de l’article 2, paragraphe 1, point 29), du règlement (UE) no 600/2014 du Parlement européen et du Conseil ; 4) produits financiers structurés au sens de l’article 2, paragraphe 1, point 28), du règlement (UE) no 600/2014; 5) quotas d’émission visés à l’annexe I, section C, point 11), de la directive 2014/65/UE; ii) la plate-forme de négociation détient, au cours de chacune des deux années civiles précédant l’évaluation effectuée par l’autorité TIFM, une part de marché en termes de volume d’échanges au niveau de l’Union qui dépasse 5 % dans l’une des catégories suivantes: 1) actions de sociétés et autres titres équivalents à des actions de sociétés, de sociétés de type partnership ou d’autres entités ainsi que certificats représentatifs d’actions; 2) obligations et autres titres de créance, y compris certificats représentatifs de tels titres; 3) instruments dérivés au sens de l’article 2, paragraphe 1, point 29), du règlement (UE) no 600/2014; 4) produits financiers structurés au sens de l’article 2, paragraphe 1, point 28), du règlement (UE) no 600/2014; 5) quotas d’émission visés à l’annexe I, section C, point 11), de la directive 2014/65/UE; g) les entreprises d’assurance et de réassurance qui remplissent tous les critères suivants: i) leur montant de primes brutes émises est supérieur à 1500000000 EUR; ii) leur montant de provisions techniques est supérieur à 10000000000 EUR; iii) ce sont des entreprises d’assurance qui exercent uniquement des activités vie ou qui exercent à la fois des activités vie et non-vie et dont le total des actifs dépasse 3,5 % de la somme du total des actifs des entreprises d’assurance et de réassurance établies dans l’État membre, valorisés conformément à l’article 75 de la directive 2009/138/CE du Parlement européen et du Conseil . Aux fins du point f), ii), lorsque la plate-forme de négociation fait partie d’un groupe partageant des systèmes de TIC ou le même prestataire de services TIC intra-groupe, le volume d’échanges des titres et des contrats dérivés sur l’ensemble des plates-formes de négociation appartenant au même groupe et établies dans l’Union est pris en considération. Aux fins du point g), les autorités TIFM identifient un sous-ensemble de toutes les entreprises d’assurance et de réassurance en appliquant les critères énoncés au point g), i), ii) et iii). Les entreprises d’assurance et de réassurance incluses dans ce sous-ensemble sont tenues d’effectuer des TIFM lorsqu’elles remplissent également l’un des critères suivants: a) montant de primes brutes émises supérieur à 3000000000 EUR; b) montant de provisions techniques supérieur à 30000000000 EUR; c) total des actifs qui dépasse 10 % de la somme du total des actifs des entreprises d’assurance et de réassurance établies dans l’État membre, valorisés conformément à l’article 75 de la directive 2009/138/CE.

3 Lorsque plusieurs entités financières appartenant au même groupe et partageant des systèmes de TIC, ou plusieurs entités financières ayant recours au même prestataire de services TIC intra-groupe, remplissent les critères énoncés au paragraphe 2, les autorités TIFM de ces entités financières décident, conformément à l’article 16, paragraphe 2, si l’exigence d’effectuer des TIFM sur une base individuelle est pertinente pour lesdites entités financières. Lorsque l’autorité TIFM de l’entreprise mère d’un groupe d’entités financières visée au premier alinéa est différente des autorités TIFM des entités financières du groupe, cette autorité est consultée par les autorités TIFM des entités financières appartenant à ce groupe quant à l’opportunité d’effectuer des TIFM sur une base individuelle.

1 Une autorité TIFM confie à une équipe de cybersécurité TIFM la responsabilité de coordonner les activités liées aux TIFM. Cette équipe est composée de gestionnaires de test chargés de superviser un TIFM individuel.

2 Pour chaque test, l’autorité TIFM désigne un gestionnaire de test et au moins un suppléant.

3 Les gestionnaires de test vérifient si les exigences énoncées dans le présent règlement sont respectées et ils font en sorte qu’elles le soient.

4 Le gestionnaire de test communique les coordonnées de l’équipe de cybersécurité TIFM à l’entité financière au moyen de la notification visée à l’article 9, paragraphe 1.

5 L’autorité TIFM participe à toutes les phases du TIFM.

1 Les entités financières désignent un chef pour l’équipe chargée du contrôle, auquel incombe la responsabilité de la gestion journalière du TIFM ainsi que des décisions et actions de l’équipe chargée du contrôle.

2 Les entités financières établissent des mesures organisationnelles et procédurales pour faire en sorte que: a) l’accès aux informations relatives à tout TIFM prévu ou en cours soit réservé, sur la base du besoin d’en connaître, à l’équipe chargée du contrôle, à l’organe de direction, aux testeurs, au fournisseur de renseignements sur les menaces et à l’autorité TIFM; b) l’équipe chargée du contrôle consulte les gestionnaires de test avant d’associer tout membre de l’équipe bleue à un TIFM; c) l’équipe chargée du contrôle soit informée de toute détection du TIFM par des membres du personnel de l’entité financière ou de ses prestataires tiers de services; en cas de remontée de la réponse à l’incident qui en résulte, si nécessaire, l’équipe chargée du contrôle bloque cette remontée; d) des dispositions relatives à la confidentialité du TIFM, applicables au personnel de l’entité financière, au personnel des prestataires tiers de services TIC concernés, aux testeurs et au fournisseur de renseignements sur les menaces, soient en place; e) sur demande, l’équipe chargée du contrôle fournisse aux gestionnaires de test toutes les informations relatives au TIFM; f) dans la mesure du possible, les parties impliquées dans le TIFM ne fassent référence à ce dernier que par son nom de code.

1 Au cours de la phase de préparation visée à l’article 9, l’équipe chargée du contrôle évalue les risques associés au test des systèmes en environnement de production des fonctions critiques ou importantes de l’entité financière, y compris les incidences potentielles sur: a) le secteur financier; b) la stabilité financière au niveau de l’Union ou au niveau national. L’équipe chargée du contrôle examine ces incidences tout au long des tests.

2 Aux fins de l’évaluation et de la gestion des risques, l’équipe chargée du contrôle tient compte au moins des types de risques suivants liés: a) au fait d’accorder au fournisseur de renseignements sur les menaces et aux testeurs externes, le cas échéant, l’accès à des informations sensibles sur l’entité financière; b) au non-respect, par le TIFM, du règlement (UE) 2022/2554 et du présent règlement lorsque ce non-respect entraîne l’absence de l’attestation visée à l’article 26, paragraphe 7, du règlement (UE) 2022/2554, y compris lorsque ce non-respect est dû à des violations de la confidentialité du TIFM ou à une conduite non éthique; c) à une remontée des incidents et des crises; d) à la phase active de l’équipe rouge, en ce compris les risques liés à l’interruption d’activités critiques et à la corruption de données due aux activités des testeurs, et à ses incidences potentielles sur des tiers; e) à l’activité de l’équipe bleue, en ce compris les risques liés à l’interruption d’activités critiques et à la corruption de données due aux activités de l’équipe bleue, et à ses incidences potentielles sur des tiers; f) à la restauration incomplète des systèmes touchés par le TIFM.

1 Dans le cas d’un TIFM commun ou d’un TIFM groupé, l’équipe chargée du contrôle de chaque entité financière procède à sa propre évaluation des risques et établit ses propres mesures de gestion des risques.

2 L’équipe chargée du contrôle de l’entité financière désignée visée à l’article 16, paragraphe 3, point b), du présent règlement, ou de l’entité financière désignée conformément à l’article 26, paragraphe 4, du règlement (UE) 2022/2554, évalue les risques liés à la participation de plusieurs entités financières au TIFM. Les équipes chargées du contrôle des entités financières impliquées coopèrent avec l’équipe chargée du contrôle de l’entité financière désignée afin d’identifier les risques communs potentiels.

1 L’équipe chargée du contrôle prend des mesures pour gérer les risques liés aux TIFM et veille en particulier à ce que, pour chaque TIFM: a) le fournisseur de renseignements sur les menaces et les testeurs externes fournissent à l’équipe chargée du contrôle un curriculum vitæ détaillé et des copies de certifications qui, selon les normes du marché reconnues, sont adaptées à l’exercice de leurs activités; b) le fournisseur de renseignements sur les menaces et le testeur externe soient dûment et entièrement couverts par des assurances de responsabilité civile professionnelle adéquates, y compris contre les risques de mauvaise conduite et de négligence; c) le fournisseur de renseignements sur les menaces fournisse au moins trois références issues de missions antérieures dans le cadre de tests d’intrusion et de tests par équipe rouge; d) les testeurs externes fournissent au moins cinq références issues de missions antérieures liées à des tests d’intrusion et à des tests par équipe rouge; e) le personnel du fournisseur de renseignements sur les menaces affecté au TIFM: i) soit composé d’au moins un cadre possédant un minimum de cinq années d’expérience dans le domaine du renseignement sur les menaces et d’au moins un autre membre ayant un minimum de deux ans d’expérience dans le domaine du renseignement sur les menaces; ii) présente un large éventail de connaissances et de compétences professionnelles d’un niveau approprié, notamment dans les domaines suivants: 1) tactiques, techniques et procédures de collecte de renseignements; 2) connaissances géopolitiques, techniques et sectorielles; 3) compétences adéquates en matière de communication pour présenter clairement les résultats de l’engagement et en rendre compte; iii) ait déjà participé, si l’on considère la participation combinée de ses membres, à au moins trois missions de renseignement sur les menaces dans le cadre de tests d’intrusion et de tests par équipe rouge; iv) n’exécute pas simultanément des tâches d’équipe bleue ou d’autres services susceptibles de présenter un conflit d’intérêts en ce qui concerne l’entité financière, le prestataire tiers de services TIC ou un prestataire de services TIC intra-groupe participant au TIFM auquel il est affecté; v) soit séparé du personnel du même prestataire de TIFM qui fournit des testeurs externes pour le même TIFM, et ne rende pas compte à celui-ci; f) pour les testeurs externes, l’équipe rouge affectée au TIFM: i) soit composée d’au moins un cadre possédant un minimum de cinq années d’expérience dans les tests d’intrusion et les tests par équipe rouge, ainsi que d’au moins deux autres testeurs ayant chacun un minimum de deux ans d’expérience dans les tests d’intrusion et les tests par équipe rouge; ii) présente un large éventail de connaissances et de compétences professionnelles d’un niveau approprié, y compris des connaissances sur l’activité de l’entité financière, la reconnaissance, la gestion des risques, le développement d’exploit, l’intrusion physique, l’ingénierie sociale, l’analyse de vulnérabilité, ainsi que des compétences adéquates en matière de communication afin de présenter clairement les résultats de l’engagement et d’en rendre compte; iii) ait déjà participé, si l’on considère la participation combinée de ses membres, à au moins cinq missions liées à des tests d’intrusion et à des tests par équipe rouge; iv) ne soit pas employée par un fournisseur de renseignements sur les menaces qui exécute simultanément des tâches d’équipe bleue pour une entité financière, un prestataire tiers de services TIC ou un prestataire de services TIC intra-groupe qui participe au TIFM, ni ne fournisse de services à ce fournisseur de renseignements sur les menaces; v) soit séparée de tout membre du personnel du même prestataire de TIFM qui fournit simultanément des services de renseignement sur les menaces pour le même TIFM; g) les testeurs et le fournisseur de renseignements sur les menaces mettent en œuvre des procédures de restauration à l’issue des tests, lesquelles comprennent la suppression sécurisée des informations relatives aux mots de passe, aux identifiants et aux autres clés secrètes compromises durant le TIFM, la communication sécurisée aux entités financières des comptes compromis, la collecte, le stockage, la gestion et l’élimination sécurisés d’autres données collectées au cours des tests; h) outre les procédures de restauration à l’issue des tests visées au point g), les testeurs effectuent les procédures de restauration suivantes: i) la désactivation des commandes et contrôles; ii) la mise en place de coupe-circuit («kill switch») assortis d’une date et d’un périmètre; iii) l’élimination des portes dérobées («backdoor») et autres logiciels malveillants; iv) la notification des violations potentielles; v) les procédures de restauration de sauvegarde future qui pourraient concerner des logiciels malveillants ou des outils installés au cours du test; vi) le suivi des activités de l’équipe bleue et la notification de toute détection éventuelle à l’équipe chargée du contrôle; i) les testeurs et le fournisseur de renseignements sur les menaces n’exercent aucune des activités suivantes ni n’y participent: i) la destruction non autorisée d’équipements de l’entité financière et de ses éventuels prestataires tiers de services TIC; ii) la modification incontrôlée d’actifs informationnels et d’actifs de TIC de l’entité financière et de ses éventuels prestataires tiers de services TIC; iii) la compromission intentionnelle de la continuité de fonctions critiques ou importantes de l’entité financière; iv) l’inclusion non autorisée de systèmes situés hors du périmètre du test; v) la divulgation non autorisée des résultats des tests.

2 L’équipe chargée du contrôle tient un registre de la documentation fournie par les testeurs et les fournisseurs de renseignements sur les menaces afin de prouver le respect du paragraphe 1, points a) à f). Dans des circonstances exceptionnelles, les entités financières peuvent faire appel à des testeurs externes et à des fournisseurs de renseignements sur les menaces qui ne satisfont pas à une ou à plusieurs des exigences énoncées au paragraphe 1, points a) à f), à condition que ces entités financières adoptent des mesures appropriées pour atténuer les risques liés au non-respect de ces points et consignent ces mesures.

1 Sauf décision contraire de l’autorité TIFM chef de file, lorsque plusieurs entités financières, identifiées conformément à l’article 16, paragraphe 2 ou 4, participent à un TIFM groupé ou commun, chaque entité financière suit chacune des étapes énoncées aux articles 9 à 15.

2 Sauf disposition contraire du présent règlement, lorsque plusieurs autorités TIFM participent à un TIFM commun ou à un TIFM groupé, au sens de l’article 16, paragraphe 3 ou 5, les références à l’«autorité TIFM» faites aux articles 9 à 15 s’entendent comme une référence à l’autorité TIFM chef de file pour ces TIFM groupés ou communs.

1 Une entité financière identifiée conformément à l’article 26, paragraphe 8, troisième alinéa, du règlement (UE) 2022/2554 lance un TIFM à la suite d’une notification reçue de l’autorité TIFM indiquant qu’un TIFM doit être effectué.

2 Dans un délai de trois mois à compter de la réception de la notification visée au paragraphe 1, l’entité financière communique aux gestionnaires de test toutes les informations suivantes concernant le lancement du TIFM: a) une charte de projet comprenant un plan de projet de haut niveau, contenant les informations visées à l’annexe I; b) les coordonnées du chef de l’équipe chargée du contrôle; c) des informations sur le recours prévu à des testeurs internes ou externes, ou les deux, le cas échéant, comme indiqué à l’article 15; d) des informations sur les canaux de communication à utiliser pendant le TIFM; e) le nom de code du TIFM.

3 Lorsque les informations visées au paragraphe 2, points a) à e), sont complètes et garantissent l’adéquation et l’exécution effective du TIFM, l’autorité TIFM valide les informations relatives au lancement du TIFM de l’entité financière et en informe celle-ci.

4 À la suite de la validation, par l’autorité TIFM, des informations relatives au lancement du TIFM, l’entité financière met en place une équipe chargée du contrôle afin d’assister le chef de l’équipe chargée du contrôle dans ses tâches consistant à: a) définir les canaux et processus de communication au sein de l’équipe chargée du contrôle, avec les testeurs et les fournisseurs de renseignements sur les menaces pour toutes les questions liées au TIFM; b) informer l’organe de direction de l’entité financière de l’état d’avancement du TIFM et des risques associés; c) prendre des décisions fondées sur l’expertise en la matière tout au long du TIFM; d) exécuter le TIFM conformément au présent règlement; e) sélectionner le fournisseur de renseignements sur les menaces pour le TIFM; f) sélectionner les testeurs externes, les testeurs internes ou les deux; g) préparer le document de spécification du périmètre du test.

5 Lorsque l’autorité TIFM estime que la composition initiale de l’équipe chargée du contrôle et toute modification ultérieure apportée à celle-ci sont adéquates pour l’exécution des tâches visées au paragraphe 4, elle valide l’équipe chargée du contrôle et le notifie au chef de l’équipe.

6 Dans un délai de six mois à compter de la réception de la notification de l’autorité TIFM visée au paragraphe 1, l’entité financière soumet aux gestionnaires de test un document de spécification du périmètre du test contenant toutes les informations prévues à l’annexe II. L’organe de direction de l’entité financière approuve le document de spécification du périmètre du test.

7 Les entités financières prennent en considération les critères suivants pour l’inclusion de fonctions critiques ou importantes dans le périmètre du TIFM: a) la criticité ou l’importance de la fonction et son incidence possible sur le secteur financier et sur la stabilité financière au niveau de l’Union et au niveau national; b) l’importance de la fonction pour les opérations courantes de l’entité financière; c) l’interchangeabilité de la fonction; d) l’interconnexion avec d’autres fonctions; e) la localisation géographique de la fonction; f) la dépendance sectorielle d’autres entités à l’égard de la fonction; g) le cas échéant, des renseignements sur les menaces concernant la fonction.

8 L’équipe chargée du contrôle partage les informations relatives au lancement du TIFM ainsi que le document de spécification du périmètre du test avec les testeurs et les fournisseurs de renseignements sur les menaces une fois ceux-ci engagés. L’équipe chargée du contrôle informe les testeurs et les fournisseurs de renseignements sur les menaces de la procédure à suivre pour le test.

9 L’entité financière veille à ce que le recrutement ou l’affectation de testeurs et de fournisseurs de renseignements sur les menaces soit achevé(e) avant le début de la phase de test.

10 Avant le début de la phase de test, l’équipe chargée du contrôle consulte les gestionnaires de test sur l’évaluation des risques liés aux TIFM et sur les mesures de gestion des risques. L’équipe chargée du contrôle réexamine l’évaluation des risques ou les mesures de gestion des risques lorsque l’autorité TIFM estime qu’elles ne tiennent pas compte de manière adéquate des risques liés aux TIFM.

11 L’équipe chargée du contrôle évalue le respect, par les fournisseurs de renseignements sur les menaces et les testeurs qu’elle envisage d’associer au TIFM, des exigences énoncées à l’article 27 du règlement (UE) 2022/2554 et des dispositions de l’article 7, paragraphe 1, du présent règlement, et documente les résultats de cette évaluation. L’équipe chargée du contrôle sélectionne les fournisseurs de renseignements sur les menaces conformément à cette évaluation et à ses pratiques de gestion des risques. Avant de conclure un contrat avec les fournisseurs de renseignements sur les menaces et les testeurs externes sélectionnés, l’équipe chargée du contrôle fournit aux gestionnaires de test la preuve que ces fournisseurs de renseignements sur les menaces et ces testeurs respectent les exigences énoncées à l’article 27 du règlement (UE) 2022/2554 et les dispositions de l’article 7, paragraphe 1, du présent règlement. L’équipe chargée du contrôle ne procède pas à la passation de contrats avec les fournisseurs de renseignements sur les menaces et les testeurs externes sélectionnés si l’autorité TIFM estime que ceux-ci ne respectent pas les exigences énoncées à l’article 27 du règlement (UE) 2022/2554, les exigences énoncées à l’article 7, paragraphe 1, du présent règlement ou des exigences supplémentaires découlant des législations nationales en matière de sécurité conformément au droit de l’Union, ou si l’entité financière ne respecte pas les dispositions de l’article 7, paragraphe 2, premier alinéa, du présent règlement, ou encore si les conditions visées à l’article 7, paragraphe 2, deuxième alinéa, du présent règlement ne sont pas réunies.

12 Lorsque le document de spécification du périmètre du test est complet et garantit la réalisation d’un TIFM approprié et efficace, l’autorité TIFM approuve ce document et en informe le chef de l’équipe chargée du contrôle.

1 À la suite de l’approbation du document de spécification du périmètre du test par l’autorité TIFM, le fournisseur de renseignements sur les menaces analyse les renseignements sur les menaces génériques et sectoriels pertinents pour l’entité financière. Lorsqu’un panorama générique de la menace a été fourni par l’autorité TIFM pour le secteur financier d’un État membre, le fournisseur de renseignements sur les menaces peut l’utiliser en guise de référence pour le panorama national de la menace. Le fournisseur de renseignements sur les menaces recense les cybermenaces et les vulnérabilités existantes ou potentielles concernant l’entité financière. En outre, il recueille des informations et analyse des renseignements concrets, exploitables et contextualisés sur les cibles et les menaces concernant l’entité financière, y compris en consultant l’équipe chargée du contrôle et les gestionnaires de test.

2 Le fournisseur de renseignements sur les menaces présente les menaces pertinentes et les renseignements sur les menaces ciblées et propose les scénarios requis à l’équipe chargée du contrôle, aux testeurs et aux gestionnaires de test. Les scénarios proposés diffèrent en fonction des acteurs de la menace identifiés et des tactiques, techniques et procédures associées et ciblent chacune des fonctions critiques ou importantes incluses dans le périmètre du TIFM.

3 Le chef de l’équipe chargée du contrôle sélectionne au moins trois scénarios pour réaliser le TIFM sur la base de tous les éléments suivants: a) la recommandation du fournisseur de renseignements sur les menaces et la nature, axée sur les menaces, de chaque scénario; b) les contributions fournies par les gestionnaires de test; c) la faisabilité de l’exécution des scénarios proposés, sur la base du jugement d’expert des testeurs; d) la taille, la complexité et le profil de risque global de l’entité financière ainsi que la nature, l’ampleur et la complexité de ses services, activités et opérations.

4 Seul un des scénarios sélectionnés peut ne pas être fondé sur la menace et peut être fondé sur une menace prospective et potentiellement fictive présentant une valeur prédictive, anticipative, opportuniste ou prospective élevée, compte tenu de l’évolution attendue du panorama de la menace concernant l’entité financière. Pour les TIFM groupés, sans préjudice des scénarios ciblant directement les fonctions critiques ou importantes des entités financières participant aux tests, au moins un scénario inclut les systèmes, processus et technologies de TIC sous-jacents pertinents du prestataire tiers de services TIC qui soutiennent les fonctions critiques ou importantes des entités financières incluses dans le périmètre. Lorsque le test est un TIFM commun impliquant un prestataire de services TIC intra-groupe, sans préjudice des scénarios ciblant directement les fonctions critiques ou importantes des entités financières participant au test, au moins un scénario inclut les systèmes, processus et technologies de TIC sous-jacents pertinents du prestataire de services TIC intra-groupe qui soutiennent les fonctions critiques ou importantes des entités financières incluses dans le périmètre.

5 Le fournisseur de renseignements sur les menaces fournit le rapport de renseignement sur les menaces ciblées à l’équipe chargée du contrôle, en ce compris les scénarios sélectionnés conformément aux paragraphes 3 et 4. Le rapport de renseignement sur les menaces contient les informations prévues à l’annexe III.

6 L’équipe chargée du contrôle soumet le rapport de renseignement sur les menaces ciblées au gestionnaire de test pour approbation. Lorsque le rapport de renseignement sur les menaces ciblées est complet et garantit la réalisation d’un TIFM efficace, l’autorité du TIFM l’approuve et en informe le chef de l’équipe chargée du contrôle.

1 Après l’approbation, par l’autorité TIFM, du rapport de renseignement sur les menaces ciblées, les testeurs élaborent le plan de test de l’équipe rouge, qui contient les informations prévues à l’annexe IV. Les testeurs utilisent le document de spécification du périmètre du test et le rapport de renseignement sur les menaces ciblées pour produire les scénarios d’attaque.

2 Les testeurs consultent l’équipe chargée du contrôle, le fournisseur de renseignements sur les menaces et les gestionnaires de test au sujet du plan de test de l’équipe rouge, en ce compris les modalités de communication, de procédure et de gestion de projet, la préparation et les cas d’utilisation pour l’activation des coups de pouce, ainsi que les arrangements relatifs aux rapports à présenter à l’équipe chargée du contrôle et aux gestionnaires de test.

3 Lorsque le plan de test de l’équipe rouge est complet et garantit la réalisation d’un TIFM efficace, l’équipe chargée du contrôle et l’autorité TIFM l’approuvent et en informent le chef de l’équipe chargée du contrôle.

4 Après approbation du plan de test de l’équipe rouge conformément au paragraphe 3, les testeurs effectuent le TIFM pendant la phase active de test de l’équipe rouge.

5 La durée de la phase active de test de l’équipe rouge est proportionnée au périmètre du TIFM ainsi qu’à l’échelle, à l’activité, à la complexité et au nombre des entités financières et des prestataires de services TIC tiers ou intra-groupe participant au TIFM et elle est, en tout état de cause, d’au moins 12 semaines. Les scénarios d’attaque peuvent être exécutés successivement ou simultanément. L’équipe chargée du contrôle, le fournisseur de renseignements sur les menaces, les testeurs et les gestionnaires de test conviennent de la fin de la phase active de test de l’équipe rouge.

6 À condition que le plan de test de l’équipe rouge reste complet et permette la réalisation d’un TIFM efficace, le chef de l’équipe chargée du contrôle et les gestionnaires de test approuvent toute modification apportée au plan de test de l’équipe rouge après son approbation, y compris en ce qui concerne son calendrier, son périmètre, ses systèmes cibles ou ses drapeaux.

7 Tout au long de la phase active de test de l’équipe rouge, les testeurs rendent compte au moins une fois par semaine à l’équipe chargée du contrôle et aux gestionnaires de test de l’état d’avancement du TIFM, et le fournisseur de renseignements sur les menaces reste disponible pour consultation et pour des renseignements supplémentaires sur les menaces lorsque l’équipe chargée du contrôle en fait la demande.

8 L’équipe chargée du contrôle fournit en temps utile des coups de pouce conçus sur la base du plan de test de l’équipe rouge. Des coups de pouce peuvent être ajoutés ou adaptés après approbation de l’équipe chargée du contrôle et des gestionnaires de test.

9 En cas de détection des activités de test par un membre du personnel de l’entité financière ou de ses prestataires tiers de services TIC ou de son prestataire de services TIC intra-groupe, le cas échéant, l’équipe chargée du contrôle, en concertation avec les testeurs et sans préjudice du paragraphe 10, propose et soumet, pour validation, aux gestionnaires de test des mesures permettant de poursuivre le TIFM tout en garantissant sa confidentialité.

10 Dans des circonstances exceptionnelles entraînant des risques d’incidence sur les données, de dommages aux actifs et de perturbation des fonctions, services ou opérations critiques ou importants de l’entité financière elle-même, de ses prestataires tiers de services TIC ou de ses prestataires de services TIC intra-groupe, ou de perturbations pour ses contreparties ou le secteur financier, le chef de l’équipe chargée du contrôle peut suspendre le TIFM ou, en dernier recours, si la poursuite du TIFM n’est pas possible autrement et sous réserve de validation préalable par l’autorité TIFM, poursuivre le TIFM dans le cadre d’un exercice restreint de collaboration violette. La durée de cet exercice restreint de collaboration violette est prise en compte dans le calcul de la durée minimale de 12 semaines de la phase active de test de l’équipe rouge visée au paragraphe 5.

1 À l’issue de la phase active de test de l’équipe rouge, le chef de l’équipe chargée du contrôle informe l’équipe bleue qu’un TIFM a eu lieu.

2 Dans un délai de quatre semaines à compter de la fin de la phase active de test de l’équipe rouge, les testeurs soumettent à l’équipe chargée du contrôle le rapport de test de l’équipe rouge contenant les informations prévues à l’annexe V.

3 L’équipe chargée du contrôle transmet le rapport de test de l’équipe rouge à l’équipe bleue et aux gestionnaires de test sans retard injustifié. À la demande des gestionnaires de test, le rapport visé au premier alinéa ne contient pas d’informations sensibles.

4 À la réception du rapport de test de l’équipe rouge, et au plus tard dix semaines après la fin de la phase active de test de l’équipe rouge, l’équipe bleue soumet à l’équipe chargée du contrôle un rapport de test de l’équipe bleue contenant les informations prévues à l’annexe VI. L’équipe chargée du contrôle communique le rapport de test de l’équipe bleue aux testeurs et aux gestionnaires de test sans retard injustifié. À la demande des gestionnaires de test, le rapport visé au premier alinéa ne contient pas d’informations sensibles.

5 Au plus tard dix semaines après la fin de la phase active de test de l’équipe rouge, l’équipe bleue et les testeurs rejouent les actions offensives et défensives menées pendant le TIFM. L’équipe chargée du contrôle mène également un exercice de collaboration violette sur des sujets déterminés conjointement par l’équipe bleue et les testeurs, sur la base des vulnérabilités recensées lors du test et, le cas échéant, sur des questions qui n’ont pas pu être testées au cours de la phase active de test de l’équipe rouge.

6 À l’issue des exercices de «rejeu» et de collaboration violette, l’équipe chargée du contrôle, l’équipe bleue, les testeurs et les fournisseurs de renseignements sur les menaces se fournissent mutuellement un retour d’information sur le processus de TIFM. Les gestionnaires de test peuvent également fournir un retour d’information.

7 Une fois que l’autorité TIFM a notifié au chef de l’équipe chargée du contrôle qu’elle estime que les rapports de test des équipes bleue et rouge contiennent les informations prévues aux annexes V et VI, l’entité financière soumet pour approbation à l’autorité TIFM, dans un délai de huit semaines, le rapport de synthèse résumant les conclusions pertinentes du TIFM et contenant les éléments prévus à l’annexe VII, conformément à l’article 26, paragraphe 6, du règlement (UE) 2022/2554. À la demande de l’autorité TIFM, le rapport visé au premier alinéa ne contient pas d’informations sensibles.

1 Dans un délai de huit semaines à compter de la notification visée à l’article 12, paragraphe 7, du présent règlement, l’entité financière fournit les plans de mesures correctives et la documentation visés à l’article 26, paragraphe 6, du règlement (UE) 2022/2554 à l’autorité TIFM et, si ce n’est pas la même autorité, à l’autorité compétente de l’entité financière.

2 Le plan de mesures correctives visé au paragraphe 1 comprend, pour chaque constatation faite dans le cadre du TIFM: a) une description des lacunes constatées; b) une description des mesures correctives proposées, indiquant leur hiérarchisation et la date prévue de réalisation, y compris, le cas échéant, des mesures visant à améliorer les capacités d’identification, de protection, de détection et de réponse; c) une analyse des causes originelles; d) le personnel ou les fonctions de l’entité financière chargés de la mise en œuvre des mesures correctives ou des améliorations proposées; e) les risques associés à la non-mise en œuvre des mesures visées au point b) et, le cas échéant, les risques associés à la mise en œuvre de ces mesures.

1 L’attestation visée à l’article 26, paragraphe 7, du règlement (UE) 2022/2554 contient les informations prévues à l’annexe VIII.

2 Lorsque plusieurs autorités TIFM ont participé à un TIFM, l’autorité TIFM chef de file fournit l’attestation visée à l’article 26, paragraphe 7, du règlement (UE) 2022/2554 aux entités financières testées.

1 Les entités financières mettent en place l’ensemble des modalités suivantes en ce qui concerne le recours à des testeurs internes: a) l’établissement et la mise en œuvre d’une politique de gestion des testeurs internes dans le cadre d’un TIFM; b) des mesures visant à garantir que le recours à des testeurs internes pour effectuer un TIFM n’a pas d’incidence négative sur les capacités générales de défense ou de résilience de l’entité financière en ce qui concerne les incidents liés aux TIC ni d’incidence significative sur la disponibilité des ressources consacrées aux tâches liées aux TIC durant un TIFM; c) des mesures visant à garantir que les testeurs internes disposent de ressources et de capacités suffisantes pour effectuer un TIFM. La politique visée au point a): a) contient des critères permettant d’évaluer l’adéquation, les compétences et les conflits d’intérêts potentiels des testeurs internes et précise les responsabilités de gestion dans le cadre du processus de test; b) est documentée et réexaminée périodiquement; c) prévoit que l’équipe de test interne est composée d’un chef et d’au moins deux autres membres; d) exige que tous les membres de l’équipe de test aient fait partie des salariés de l’entité financière ou d’un prestataire de services TIC intra-groupe pendant les 12 derniers mois; e) prévoit des dispositions concernant la formation des testeurs internes à la réalisation de tests d’intrusion et de tests en équipe rouge.

2 Lorsqu’une autorité TIFM approuve le recours à des testeurs internes conformément à l’article 27, paragraphe 2, point a), du règlement (UE) 2022/2554, elle prend en considération les exigences énoncées à l’article 7, paragraphe 1, du présent règlement.

3 Lorsqu’elle a recours à des testeurs internes, l’entité financière veille à ce que cela soit mentionné dans les documents suivants: a) les informations concernant le lancement du test visées à l’article 9; b) le rapport de test de l’équipe rouge visé à l’article 12, paragraphe 2; c) le rapport de synthèse résumant les conclusions pertinentes du TIFM visé à l’article 26, paragraphe 6, du règlement (UE) 2022/2554.

4 Les testeurs salariés d’un prestataire de services TIC intra-groupe sont considérés comme des testeurs internes de l’entité financière.

1 Aux fins de l’exécution d’un TIFM concernant une entité financière qui fournit des services dans plus d’un État membre, y compris par l’intermédiaire d’une succursale, l’autorité TIFM de ladite entité: a) détermine quelles autorités TIFM des États membres d’accueil doivent être impliquées, en tenant compte du fait qu’une ou plusieurs fonctions critiques ou importantes sont ou non exploitées dans les États membres d’accueil ou partagées à travers les États membres d’accueil; b) informe les autorités TIFM identifiées conformément au point a) de la décision de procéder à un TIFM sur l’entité financière; c) sauf accord contraire des autorités TIFM, l’autorité TIFM de l’entité financière dirige le TIFM. Les autorités TIFM des États membres d’accueil peuvent, dans un délai de 20 jours ouvrables à compter de la réception des informations relatives à la conduite future d’un TIFM, soit faire part de leur intérêt à suivre le TIFM en qualité d’observatrices, soit affecter un gestionnaire de test à ce TIFM. L’autorité TIFM chef de file fournit à toutes les autorités TIFM agissant en qualité d’observatrices dans le cadre du TIFM le document de spécification du périmètre du test, le rapport de synthèse du test, le plan de mesures correctives et l’attestation. L’autorité TIFM chef de file coordonne toutes les autorités TIFM participantes tout au long du test et adopte toutes les décisions nécessaires pour exécuter le TIFM de manière appropriée et efficace. L’autorité TIFM chef de file peut fixer un nombre maximal d’autorités TIFM participantes, dans l’hypothèse où le bon déroulement du TIFM risquerait être compromis en l’absence d’une telle mesure.

2 Lorsqu’une entité financière recourt au même prestataire de services TIC intra-groupe que d’autres entités financières établies dans d’autres États membres, ou appartient à un groupe et partage des systèmes de TIC avec d’autres entités financières du même groupe établies dans d’autres États membres, l’autorité TIFM de l’entité financière prend contact avec les autorités TIFM de ces autres entités financières et évalue avec elles la faisabilité et l’opportunité d’un TIFM commun en ce qui les concerne. Il convient de donner la préférence à un TIFM commun plutôt qu’à un TIFM individuel s’il peut permettre de réduire les coûts et les ressources à la charge des entités financières et des autorités TIFM, pour autant que l’intégrité et l’efficacité du test n’en pâtissent pas.

3 Aux fins de la réalisation d’un TIFM commun: a) les autorités TIFM des entités financières conviennent de l’entité financière qui sera désignée pour réaliser le TIFM, en prenant en considération la structure du groupe et l’efficacité du test; b) l’autorité TIFM de l’entité financière désignée conformément au point a) dirige le TIFM, sauf accord contraire des autorités TIFM des entités financières participant au TIFM commun; c) les autorités TIFM des entités financières autres que l’entité financière désignée pour diriger le TIFM commun peuvent soit faire part de leur intérêt à suivre le TIFM en qualité d’observatrices, soit affecter un gestionnaire de test à ce TIFM. L’autorité TIFM chef de file coordonne toutes les autorités TIFM impliquées dans le TIFM commun et adopte toutes les décisions nécessaires pour exécuter le TIFM commun de manière rationnelle et efficace.

4 Lorsqu’une entité financière entend réaliser un TIFM groupé, au sens de l’article 26, paragraphe 4, du règlement (UE) 2022/2554, qui pourrait impliquer des entités financières établies dans d’autres États membres, son autorité TIFM prend contact avec les autorités TIFM de ces autres entités financières et évalue avec elles la faisabilité et l’opportunité d’un TIFM groupé en ce qui les concerne conformément à l’article 26, paragraphe 4, du règlement (UE) 2022/2554.

5 Aux fins de la conduite d’un TIFM groupé au sens de l’article 26, paragraphe 4, du règlement (UE) 2022/2554: a) les autorités TIFM des entités financières conviennent de l’entité financière qui sera désignée pour conduire le TIFM groupé, en prenant en considération les services TIC fournis par le prestataire tiers de services TIC aux entités financières et l’efficacité du test; b) l’autorité TIFM de l’entité financière désignée conformément au point a) dirige le TIFM, sauf accord contraire des autorités TIFM des entités financières participant au TIFM groupé; c) les autorités TIFM des entités financières autres que l’entité financière désignée pour diriger le TIFM groupé peuvent soit faire part de leur intérêt à suivre le test en qualité d’observatrices, soit affecter un gestionnaire de test à ce TIFM. L’autorité TIFM chef de file coordonne toutes les autorités TIFM impliquées dans le TIFM groupé et adopte toutes les décisions nécessaires pour exécuter le TIFM groupé de manière rationnelle et efficace.

6 S’agissant d’une entité financière tenue d’effectuer un TIFM, lorsque son autorité TIFM est différente de son autorité compétente au sens de l’article 46 du règlement (UE) 2022/2554, ces autorités partagent toute information pertinente concernant l’ensemble des questions liées aux TIFM aux fins de l’exécution des tests ou de l’accomplissement de leurs tâches conformément audit règlement.

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.