Art. 36 Tests de sécurité des TIC | RTS on ICT risk management framework | DORA

This article sits within the simplified ICT risk management framework applicable to smaller financial entities under Article 16(1) of DORA, and directly validates the ICT security measures established across several other articles in that framework.

It requires financial entities to establish and implement an ICT security testing plan, grounded in the threats and vulnerabilities already identified through the simplified risk management process.

The article follows a logical cycle: build security measures, test them, evaluate the results, and update accordingly.

Important points:

Establish and implement an ICT security testing plan that reflects the threats and vulnerabilities identified under the simplified ICT risk management framework.
Review, assess, and test ICT security measures taking into consideration the overall risk profile of your ICT assets.
Monitor and evaluate test results and update security measures without undue delay for ICT systems supporting critical or important functions.

1. Les entités financières visées à l’article 16, paragraphe 1, du règlement (UE) 2022/2554 établissent et mettent en œuvre un plan de tests de sécurité des TIC afin de confirmer l’efficacité de leurs mesures de sécurité des TIC élaborées conformément aux articles 33, 34 et 35 et aux articles 37 et 38 du présent règlement. Les entités financières veillent à ce que ce plan tienne compte des menaces et des vulnérabilités identifiées au titre du cadre simplifié de gestion du risque lié aux TIC visé à l’article 31 du présent règlement.
1. Les entités financières visées au paragraphe 1 examinent, évaluent et testent les mesures de sécurité des TIC, en tenant compte du profil de risque global des actifs de TIC de l’entité financière.
1. Les entités financières visées au paragraphe 1 suivent et évaluent les résultats des tests de sécurité et mettent à jour leurs mesures de sécurité en conséquence, sans retard injustifié, lorsque les systèmes de TIC concernés soutiennent des fonctions critiques ou importantes.