Pentests et DORA : pourquoi vos tests d’intrusion deviennent indispensables

Pendant longtemps, les tests d’intrusion ont été perçus comme un “nice to have” dans la cybersécurité.

Avec le Digital Operational Resilience Act (DORA), ils deviennent un must have — et surtout un must prove.

À partir de janvier 2025, les entreprises financières ne devront plus seulement être sécurisées… elles devront le démontrer, preuves à l’appui.

L’exigence DORA : tester en conditions réelles

DORA (Articles 24 à 27) introduit une obligation claire :

• Réaliser des tests réguliers de résilience numérique.

• Utiliser des scénarios réalistes, basés sur les menaces réelles observées.

• Documenter les résultats et prouver la mise en œuvre de mesures correctives.

Exemple : un établissement de paiement victime d’un ransomware devra montrer, rapport à l’appui, qu’il avait testé sa capacité à résister à ce type d’attaque.

TLPT et red teaming : la nouvelle norme

DORA s’aligne sur le cadre TIBER-EU (Threat Intelligence-Based Ethical Red Teaming).

• Les entités critiques devront passer un Threat-Led Penetration Test au moins tous les 3 ans.

• Ces tests seront menés par des prestataires qualifiés et supervisés par les régulateurs.

• Objectif : simuler une attaque réelle ciblant les systèmes les plus sensibles.

Exemple concret : une chambre de compensation devra réaliser un exercice red team complet, avec intrusion simulée, tests sociaux et compromission d’infrastructures internes.

Les preuves à fournir aux régulateurs

Les entreprises devront être capables de montrer :

• Des rapports de pentest annuels, réalisés par des experts indépendants.

• Des comptes rendus documentés des mesures correctives prises.

• Une traçabilité complète entre vulnérabilités détectées et actions menées.

Sans cela, le régulateur pourra estimer que l’entreprise n’est pas conforme.

Les erreurs à éviter

1. Confondre pentest et scan automatique : un Nessus ou Qualys ne suffit pas.

2. Négliger la correction : faire un test sans appliquer les correctifs est inutile.

3. Penser que le pentest est purement technique : les régulateurs veulent un rapport accessible au management.

Pourquoi choisir Safercy ?

Notre approche du pentest répond parfaitement aux attentes DORA :

• Experts certifiés : OSCP, CEH, CREST.

• Méthodologies variées : black box, grey box, red teaming.

• Accompagnement complet : de l’exécution technique jusqu’au reporting réglementaire.

• Vision stratégique : nous savons transformer un test en argument commercial auprès de vos clients.

Conclusion

Avec DORA, le pentest devient une obligation réglementaire et un enjeu de confiance.

Ne pas s’y préparer, c’est risquer des sanctions… mais aussi donner une image de fragilité à vos clients.

Avec Safercy, faites du pentest votre meilleure arme de conformité et de compétitivité.

Contactez nos équipes dès aujourd’hui pour préparer vos tests DORA.