TLPT raté : anatomie chiffrée d'une mise en cause après un test de résilience non conforme

Parmi les exigences de DORA, les tests de résilience opérationnelle numérique occupent une place centrale. Pour les entités les plus significatives, ils prennent la forme de tests de pénétration fondés sur la menace (TLPT, Threat-Led Penetration Testing) : des simulations d'attaque réalistes, encadrées par des standards techniques précis, conduites sur les systèmes en production qui soutiennent les fonctions critiques.

Le consultant DORA n'exécute pas toujours lui-même l'intrusion technique — c'est souvent le rôle de testeurs spécialisés (red team) — mais il intervient en amont sur les éléments qui déterminent tout : le périmètre du test, le scénario de menace, la méthodologie, la conformité du dispositif aux standards, et l'interprétation des résultats. Or c'est précisément à ces étapes que se logent les erreurs les plus coûteuses.

La particularité du sinistre TLPT, c'est son décalage temporel. Une erreur de cadrage ne provoque aucun dégât immédiat. Le test « passe », le rapport est rendu, l'établissement se croit couvert. Le problème ne surgit que des mois plus tard, lorsqu'un incident réel exploite précisément la zone que le test aurait dû couvrir et n'a pas couverte.

Reconstituons un cas type, représentatif des situations que rencontrent les consultants intervenant auprès d'établissements de taille moyenne.

Un prestataire de services de paiement mandate un consultant DORA pour piloter son programme de tests de résilience. Lors du cadrage, le périmètre du TLPT est défini autour des systèmes de front-office et de l'application mobile. Une passerelle d'échange interbancaire, jugée « historique et stable », est exclue du périmètre pour contenir le budget et le calendrier.

Le test se déroule, le rapport conclut à un niveau de résilience satisfaisant sur le périmètre retenu. Six mois plus tard, un incident exploite une vulnérabilité non corrigée précisément sur cette passerelle exclue. Le service de paiement est interrompu plusieurs heures, l'incident est qualifié de majeur et doit être notifié à l'autorité de supervision dans les délais stricts imposés par DORA.

L'établissement reproche au consultant d'avoir validé un périmètre de test qui excluait un système manifestement critique, sans l'avoir formellement alerté sur ce point aveugle.

La difficulté du dossier tient à la chaîne causale. Le consultant pourra plaider que la vulnérabilité existait indépendamment du test, que c'est l'équipe technique de l'établissement qui aurait dû corriger, que la red team n'avait pas mandat sur ce système. L'établissement répliquera que tout l'objet de la mission était précisément d'identifier les zones à tester, et que l'exclusion d'une passerelle interbancaire d'un programme de résilience relevait d'une erreur d'appréciation que le consultant, en tant qu'expert, ne pouvait commettre. Le débat se déplace alors sur un terrain d'expertise technique pointue — et c'est là que les frais de défense s'envolent.

Pour comprendre pourquoi ce type de dossier se chiffre vite, il faut décomposer le préjudice subi par l'établissement. Voici une estimation illustrative, à vocation pédagogique, des postes typiquement réclamés.

On dépasse aisément les 300 000 € de dommages directs, pour une mission de conseil initialement facturée une fraction de cette somme. C'est l'effet de levier caractéristique du conseil en conformité financière : l'enjeu protégé est sans commune mesure avec les honoraires perçus.

Il faut y ajouter une dimension propre à DORA : l'incident majeur doit être notifié à l'autorité de supervision dans des délais stricts, avec un rapport initial, intermédiaire puis final. Cette obligation de transparence transforme un incident technique en événement réglementaire, exposant l'établissement à un examen renforcé de son dispositif de résilience — et donc de la qualité du conseil qu'il a reçu. Le projecteur du superviseur se braque mécaniquement sur la mission que vous avez conduite.

Face à la réclamation, c'est la RC Pro du consultant qui entre en jeu. Mais tous les postes ne sont pas traités de la même façon, et c'est là que la rédaction du contrat fait toute la différence.

• Les frais de défense sont mobilisés dès la réclamation, avant même que la responsabilité soit établie. Sur un dossier technique de ce niveau (expertise sur le périmètre du test, analyse de la chaîne causale), ils atteignent fréquemment plusieurs dizaines de milliers d'euros. C'est souvent le premier poste qui justifie l'assurance, indépendamment de l'issue.
• Les dommages immatériels (perte d'exploitation, remédiation, nouveau test) sont couverts si le contrat vise explicitement les dommages immatériels non consécutifs et les missions DORA.
• La part de responsabilité du client est déterminante : s'il avait été alerté par écrit de l'exclusion de la passerelle et avait accepté ce périmètre, sa propre faute réduit d'autant votre engagement. D'où l'importance vitale de la documentation.

À l'inverse, un contrat RC Pro générique qui ne mentionne ni les missions de conformité financière ni les dommages immatériels non consécutifs risque d'opposer une exclusion : le sinistre tomberait alors entièrement à votre charge.

Un sinistre comme celui-ci n'est jamais totalement évitable, mais il est largement maîtrisable par la méthode. Quelques réflexes permettent de transformer un point aveugle potentiel en alerte tracée.

1. Faites valider le périmètre par écrit. Toute exclusion du champ de test (système, application, environnement) doit être formalisée, justifiée et contresignée par l'établissement. Une exclusion acceptée en connaissance de cause n'est plus votre faute.
2. Documentez l'analyse de menace. Le scénario TLPT doit s'appuyer sur un renseignement sur la menace réaliste. Conservez les sources et la logique qui ont conduit à retenir tel ou tel scénario.
3. Tracez vos recommandations de remédiation. Si le test a révélé des faiblesses et que le client n'a pas corrigé, votre rapport daté prouve que vous avez fait votre devoir d'alerte.
4. Soignez votre propre sécurité. Vous manipulez des résultats de tests d'intrusion d'établissements financiers : leur fuite serait catastrophique. Une assurance cyber protège ce maillon.

Au-delà de la méthode, gardez à l'esprit que le décalage temporel propre au TLPT a une conséquence assurantielle directe. Un sinistre peut survenir longtemps après la fin de votre mission, parfois après que vous avez cessé de travailler avec ce client, voire changé d'assureur. La continuité de votre couverture dans le temps — reprise du passé, garantie subséquente — devient alors aussi importante que son plafond. Un consultant qui interrompt sa RC Pro sans garantie subséquente suffisante peut se retrouver exposé sur une mission ancienne au moment précis où la réclamation arrive.

L'ensemble des garanties pensées pour ces missions à fort enjeu est détaillé sur la page consultant DORA. Mieux vaut calibrer cette protection avant de signer la première mission DORA qu'après le premier incident.