Exigences relatives aux tests d’intrusion fintech | Périmètre DORA et PCI DSS

Ce que cela signifie pour votre test

Le terme fintech ne détermine pas l’applicabilité de la réglementation. Identifiez l’entité juridique et l’activité réglementée, cartographiez séparément les environnements de cartes de paiement et commandez l’évaluation répondant à l’exigence concernée. Les tests techniques constituent une source de preuves, et non une certification de conformité.

L’applicabilité prime sur la dénomination

« Fintech » est une description d'activité, et non une catégorie réglementaire unique. L'applicabilité de DORA dépend de l'entité juridique et de son activité réglementée ; la désignation pour un TLPT est une question distincte. Le périmètre PCI DSS dépend des données de cartes de paiement et des systèmes concernés. Les tests de sécurité des produits doivent être planifiés en tenant compte de ces obligations, du RGPD et des exigences des clients.

Consignez l’entité juridique, les services, les juridictions, les catégories de données et les engagements contractuels. Confirmez le texte officiel en vigueur et les orientations des autorités auprès de l’équipe juridique ou conformité responsable. Une même technologie peut servir des organisations soumises à des obligations différentes.

Ce qu’un test technique peut apporter

Les observations relevant du périmètre convenu peuvent étayer les décisions relatives aux risques de sécurité et démontrer si les contrôles sélectionnés fonctionnent comme prévu. Les éléments probants doivent préciser les dates, les systèmes, les identités et les limites. Un registre des constats aide à relier les mesures correctives à des responsables désignés ; il n’évalue pas l’ensemble des obligations de gouvernance, contractuelles ou organisationnelles.

Utilisez les sources primaires pertinentes

• DORA : règlement (UE) 2022/2554
• Normes techniques de réglementation TLPT de DORA : règlement (UE) 2025/1190
• PCI SSC : normes officielles et bibliothèque de documents
• RGPD : règlement (UE) 2016/679
• OWASP Top 10 des risques de sécurité des API
• NIST SP 800-115 : tests et évaluations de sécurité

Les tests généraux prévus par DORA et le TLPT réglementaire sont distincts. Le périmètre PCI DSS et les attentes en matière d’évaluation doivent être confirmés auprès du programme ou de l’évaluateur responsable. Un test d’intrusion générique ne doit jamais être présenté comme une certification complète de conformité.

Expliciter les limites de l’assurance

Indiquez ce qui a été testé, ce qui ne l'a pas été et ce qui reposait sur un point de départ fourni. Si une coordination avec une autorité, une évaluation indépendante ou une attestation formelle est requise, traitez-la comme un processus distinct. Le rapport d'exemple illustre le format à des fins pédagogiques ; il ne prouve pas la conformité d'une organisation réelle.