DORA impose deux niveaux de tests de résilience distincts. Le programme de tests annuel qui s'applique à toutes les entités financières, sans exception
de taille, et couvre notamment la restauration des sauvegardes (Article 24-25). Le test de pénétration piloté par la menace, le TLPT, qui ne s'applique qu'aux entités désignées « significatives » par l'ACPR ou l'AMF, sur un cycle de trois ans (Article 26-27). Confondre les deux régimes conduit
soit à sous-tester, soit à engager un chantier TLPT disproportionné pour une entité qui n'y est pas soumise.
Cette confusion revient souvent chez les directions informatiques d'entités financières françaises de taille intermédiaire : sociétés de gestion, établissements de paiement, assureurs régionaux. Le terme TLPT circule largement dans la documentation DORA, au point de faire oublier que l'obligation de test la plus fréquente, et la plus souvent absente lors d'un contrôle, reste le test de restauration de sauvegarde classique.
Le règlement DORA structure ses exigences de test en deux couches, avec des obligations et des populations d'entités très différentes.
Le premier niveau :, le programme de tests de résilience opérationnelle numérique, s'applique uniformément à toutes les entités financières couvertes
par DORA (Article 24). Il couvre les évaluations de vulnérabilité, les analyses de sécurité réseau, les revues de configuration et surtout les tests
de continuité et de restauration.
Le second niveau :, le TLPT (Threat-Led Penetration Testing), est un test de pénétration avancé mené par des testeurs externes accrédités, simulant des scénarios d'attaque réalistes sur les systèmes critiques en production. Il suit la méthodologie européenne TIBER-EU et ne concerne que les entités que l'ACPR ou l'AMF désigne explicitement comme significatives (Article 26-27), en fonction de critères de taille, d'interconnexion et d'importance systémique.
Une société de gestion régionale ou un établissement de paiement de taille intermédiaire relève quasi systématiquement du seul premier niveau. Le TLPT reste réservé à un nombre restreint d'acteurs identifiés par le superviseur, pas une obligation générale du secteur financier.
Pour la structure d'ensemble des obligations DORA sur la sauvegarde, notre Guide DORA et sauvegarde détaille l'Article 12 et son articulation avec
le programme de tests.
L'Article 24 exige un programme de tests fondé sur les risques, revu annuellement et adapté à la taille et au profil
de risque de l'entité.
Pour la majorité des entités financières françaises, ce programme couvre concrètement :
Le principe de proportionnalité (Article 4) permet d'adapter la fréquence et la profondeur de ces tests selon la taille de l'entité, sans dispenser aucune entité de leur réalisation. Une entité plus petite peut espacer certains tests, elle ne peut pas les supprimer.
Le point souvent négligé : les résultats doivent être formalisés dans un rapport, avec une date, une méthodologie décrite et des métriques chiffrées. Un test réalisé sans trace documentée n'a pas de valeur probante lors d'un contrôle, même si la restauration a techniquement fonctionné.
Le TLPT s'adresse aux entités que l'autorité compétente (ACPR pour les banques et assurances, AMF pour les sociétés de gestion) désigne comme significatives au regard de leur importance systémique pour la stabilité financière. Cette désignation n'est pas automatique et fait l'objet d'une notification directe de l'autorité à l'entité concernée.
Pour les entités désignées, le TLPT doit être conduit au minimum tous les trois ans, selon la méthodologie TIBER-EU : définition du périmètre, renseignement sur la menace, simulation d'attaque par une équipe de testeurs accrédités, puis restitution documentée à l'autorité de contrôle.
Les entités non désignées n'ont aucune obligation TLPT. Elles restent en revanche pleinement soumises au programme de tests général de l'Article 24,
y compris ses volets restauration et continuité. Vérifier son statut de désignation auprès de son superviseur évite d'engager, ou à l'inverse de négliger,
un chantier de test disproportionné.
Sur le volet sauvegarde spécifiquement couvert par l'Article 12 §5, un test de restauration documenté doit démontrer trois éléments pour être recevable lors d'un contrôle ACPR ou AMF :
Un test de restauration mené sur un environnement isolé physiquement, distinct du système de production, présente un avantage opérationnel direct :
il peut être répété fréquemment sans risque d'interruption de service, ce qui facilite la constitution d'un historique de tests réguliers plutôt que d'un test annuel unique réalisé dans l'urgence avant un contrôle.
Pour le détail des cinq obligations techniques de l'Article 12, consultez notre Checklist DORA Article 12.
Pour les objectifs RTO/RPO eux-mêmes et leur méthode de calcul, notre article RTO et RPO sous DORAc couvre la question en détail.
Plusieurs erreurs reviennent systématiquement dans les dossiers de conformité DORA examinés par l'ACPR en 2026 :
Ces manquements ne sont pas nécessairement des défaillances techniques. Ils traduisent le plus souvent une absence de formalisation d'un test qui, sur le plan opérationnel, s'est correctement déroulé.
Un calendrier structuré sur trois ans permet d'articuler les tests annuels obligatoires pour toutes les entités avec, le cas échéant, le cycle TLPT des entités désignées, sans dupliquer les efforts entre les deux démarches.
Besoin de caler votre calendrier de tests DORA avant le prochain contrôle ? Réservez 30 minutes avec notre équipe pour structurer
un programme de tests annuel et une méthodologie de reporting recevable.
Les tests de résilience sous DORA se décomposent en deux régimes bien distincts : un programme annuel qui s'applique à toutes les entités financières, incluant les tests de restauration de sauvegarde, et un TLPT réservé aux entités désignées significatives sur un cycle de trois ans. La majorité des entités financières françaises de taille intermédiaire relève du premier régime, avec une obligation de documentation qui reste, en pratique, le point le plus fréquemment défaillant lors d'un contrôle.
La priorité opérationnelle reste la même pour toutes les entités : produire des rapports de test datés, avec des métriques RTO/RPO mesurées et une preuve d'intégrité des données restaurées, plutôt que de se concentrer sur la question du TLPT qui ne concerne qu'une minorité d'acteurs désignés.
