Des tests DORA pour les applications que vos clients utilisent.

1. 01

   DORA, article 8

   Savoir quelles applications et quels composants soutiennent des fonctions critiques

   Ce que dit le texte

   Identifiez, classez et documentez toutes les fonctions « métiers » s'appuyant sur les TIC ainsi que les actifs informationnels et les actifs de TIC qui les soutiennent, y compris leurs dépendances et les processus qui dépendent de prestataires tiers de services TIC. Réexaminez la classification au moins une fois par an, et évaluez en continu les cybermenaces et les vulnérabilités des TIC.

   Source :DORA, article 8

   Ce que cela implique pour votre application mobile

   Une application bancaire mobile que les clients utilisent pour se connecter, payer et gérer leurs comptes soutient généralement une fonction critique ou importante, tout comme les API qu'elle appelle et les SDK qu'elle intègre. Cette classification détermine la fréquence et la profondeur des tests que vous devez mener.

   Comment Ostorlab vous aide

   Ostorlab montre ce que contient chaque version de votre application : les SDK tiers et les bibliothèques natives, avec leurs versions et leur emplacement dans le bundle de l'application, ce que l'application et ses SDK échangent avec les backends sur le réseau, et les données personnelles que l'application collecte et partage.

   Ce qui reste de votre ressort

   La classification des fonctions métiers, l'inventaire lui-même et son réexamen annuel.

2. 02

   Règlement délégué (UE) 2024/1774, article 10

   Scanner automatiquement les actifs critiques, au moins une fois par semaine

   Ce que dit le texte

   Les procédures de gestion des vulnérabilités doivent prévoir des scans et évaluations automatisés des vulnérabilités, au moins une fois par semaine pour les actifs de TIC qui soutiennent des fonctions critiques ou importantes. Vous devez aussi tracer les bibliothèques tierces et open source, prioriser les correctifs selon leur criticité, vérifier la correction et enregistrer chaque vulnérabilité détectée jusqu'à sa résolution.

   Source :Règlement délégué (UE) 2024/1774, article 10

   Ce que cela implique pour votre application mobile

   Votre application mobile et ses API ont besoin d'une fréquence de scan automatisé qui se maintient même les semaines sans nouvelle version, et d'une trace de chaque résultat, de sa détection à sa correction.

   Comment Ostorlab vous aide

   Lancez des scans automatisés depuis votre pipeline CI/CD à chaque build et surveillez les versions publiées sur les stores sans déclenchement manuel. Des exécutions planifiées de votre pipeline maintiennent une fréquence hebdomadaire entre deux versions. Les résultats reçoivent un niveau critique, élevé, moyen ou faible, sont suivis sous forme de tickets dans la plateforme ou dans Jira et ServiceNow, et sont retestés une fois le correctif livré.

   Ce qui reste de votre ressort

   Les délais de correction et les procédures d'escalade, ainsi que le scan du reste de votre parc TIC.

3. 03

   Règlement délégué (UE) 2024/1774, article 16

   Tester le code de manière statique et dynamique avant la production

   Ce que dit le texte

   Testez et approuvez chaque système de TIC avant sa mise en service et après maintenance, en proportion de sa criticité. Les tests comprennent des examens du code source couvrant à la fois les tests statiques et dynamiques, des tests de sécurité pour les systèmes et applications exposés à Internet, et un plan d'action pour les vulnérabilités détectées. Le code tiers et open source est analysé et testé, dans la mesure du possible, avant son déploiement en production.

   Source :Règlement délégué (UE) 2024/1774, article 16

   Ce que cela implique pour votre application mobile

   Une application bancaire mobile est une application exposée à Internet. Chaque version devrait passer des tests de sécurité statiques et dynamiques avant d'arriver sur le store, et les SDK qu'elle contient sont du code tiers soumis à la même règle.

   Comment Ostorlab vous aide

   Mobile SAST analyse directement l'APK, l'AAB ou l'IPA, sans besoin du code source, y compris par une analyse de propagation (taint) à travers les SDK intégrés. Mobile DAST exécute l'application, maintient les sessions authentifiées et capture le trafic, les traces d'appels et les captures d'écran. SCA identifie par empreinte les bibliothèques compilées statiquement que les scanners basés sur les manifestes peuvent manquer.

   Ce qui reste de votre ressort

   Les examens du code source hors de l'application, l'étape d'approbation des mises en production et la responsabilité du plan d'action.

4. 04

   DORA, article 9, paragraphe 4, point d) ; règlement délégué (UE) 2024/1774, article 21

   Une authentification forte, testée comme tout autre contrôle

   Ce que dit le texte

   Mettez en œuvre des politiques et des protocoles pour des mécanismes d'authentification forte, fondés sur des normes pertinentes. Le RTS impose des méthodes d'authentification proportionnées à la classification et au profil de risque de chaque actif de TIC, et une authentification forte pour l'accès aux actifs qui soutiennent des fonctions critiques ou importantes ou qui sont accessibles au public.

   Source :DORA, article 9, paragraphe 4, point d) ; règlement délégué (UE) 2024/1774, article 21

   Ce que cela implique pour votre application mobile

   La connexion, les codes à usage unique et les vérifications d'authentification renforcée sont des contrôles d'authentification, et une faille dans la manière dont le backend les applique est une faille de ces contrôles. Ils relèvent du périmètre de votre programme de tests.

   Comment Ostorlab vous aide

   Ostorlab se connecte avec vos comptes de test, saisit les codes à usage unique reçus par SMS, e-mail ou TOTP, et teste la connexion et la déconnexion, le renouvellement des jetons, les délais d'expiration, l'invalidation des sessions et l'application effective de la MFA, y compris les parcours d'authentification renforcée.

   Ce qui reste de votre ressort

   Les accès du personnel et les accès à privilèges, la gestion du cycle de vie des identités et le choix des normes d'authentification.

5. 05

   DORA, articles 24 et 25

   Mener un programme de tests fondé sur les risques, avec des tests annuels

   Ce que dit le texte

   Établissez, maintenez et réexaminez un programme de tests de résilience opérationnelle numérique intégré à votre cadre de gestion du risque lié aux TIC. Il prévoit des tests appropriés, tels que des évaluations et des analyses de vulnérabilité, des analyses de sources ouvertes, des examens du code source lorsque cela est possible, des tests fondés sur des scénarios, des tests de bout en bout et des tests de pénétration, avec des tests au moins une fois par an de tous les systèmes et applications de TIC qui soutiennent des fonctions critiques ou importantes.

   Source :DORA, articles 24 et 25

   Ce que cela implique pour votre application mobile

   Votre application mobile a besoin d'une place définie dans le programme : quels tests sont exécutés, à quelle fréquence et sur quel build. Un pentest annuel à lui seul laisse sans test toutes les versions intermédiaires.

   Comment Ostorlab vous aide

   Les scans rapides se terminent généralement en 1 à 5 minutes et les scans complets en 15 à 45 minutes : ils s'intègrent donc à chaque version. Un pentest par agents IA va plus loin, généralement en quelques heures, avec un exploit fonctionnel à rejouer pour chaque résultat d'un agent IA, pour les changements critiques et vos tests approfondis périodiques.

   Ce qui reste de votre ressort

   Le document de programme, sa conception fondée sur les risques, et les tests hors de la couche applicative, comme les tests réseau, physiques et de performance.

6. 06

   DORA, article 24, paragraphes 4 et 5

   Faire appel à des testeurs indépendants et prouver chaque correction

   Ce que dit le texte

   Les tests doivent être effectués par des parties indépendantes, internes ou externes, disposant de ressources suffisantes et sans conflit d'intérêts. Vous devez hiérarchiser, classer et résoudre chaque problème révélé par les tests, et disposer de méthodes de validation interne pour confirmer que chaque faiblesse est entièrement corrigée.

   Source :DORA, article 24, paragraphes 4 et 5

   Ce que cela implique pour votre application mobile

   L'équipe qui développe l'application ne devrait pas être la seule à la tester, et un ticket clos ne constitue pas une preuve : il vous faut la démonstration que le correctif fonctionne.

   Comment Ostorlab vous aide

   Votre équipe sécurité ou de deuxième ligne exécute les tests et détient les résultats. Chaque résultat s'accompagne d'un niveau de risque, d'étapes de reproduction, des journaux de requêtes et de réponses et de captures d'écran, et le retest confirme si le problème sous-jacent est résolu.

   Ce qui reste de votre ressort

   Déterminer qui est considéré comme indépendant dans votre organisation, et la validation finale.

7. 07

   DORA, articles 26 et 27 ; règlement délégué (UE) 2025/1190

   TLPT au moins tous les 3 ans, si votre entité est identifiée

   Ce que dit le texte

   Les entités identifiées par leur autorité compétente doivent effectuer des tests de pénétration fondés sur la menace au moins tous les 3 ans, sur des systèmes en environnement de production en direct qui soutiennent des fonctions critiques ou importantes. Les testeurs doivent satisfaire aux exigences de l'article 27, et les établissements de crédit importants doivent faire appel à des testeurs externes. À l'issue du test, les plans de mesures correctives et la documentation sont transmis à l'autorité TLPT.

   Source :DORA, articles 26 et 27 ; règlement délégué (UE) 2025/1190

   Ce que cela implique pour votre application mobile

   Un TLPT est un exercice red team fondé sur le renseignement qui se déroule sur plusieurs mois (voir les phases ci-dessous). Les faiblesses des applications et des API que des tests courants auraient pu détecter consomment le temps de l'équipe rouge et finissent dans le plan de mesures correctives.

   Comment Ostorlab vous aide

   Ostorlab ne réalise pas de TLPT et ne le remplace pas. Il vous aide à aborder un TLPT avec les problèmes connus des applications et des API déjà corrigés, puis à retester ensuite les éléments de votre plan de mesures correctives qui concernent les applications et les API.

   Ce qui reste de votre ressort

   Le TLPT lui-même : l'équipe chargée du contrôle, le fournisseur de renseignements sur les menaces, les testeurs de l'équipe rouge et le dialogue avec l'autorité TLPT.

8. 08

   DORA, articles 28 à 30

   Gérer les prestataires de tests comme des prestataires tiers de services TIC

   Ce que dit le texte

   Les entités financières restent pleinement responsables du respect de leurs obligations lorsqu'elles recourent à des prestataires tiers de services TIC, et tiennent un registre d'informations sur ces accords. Les contrats doivent couvrir la protection des données et, pour les services qui soutiennent des fonctions critiques ou importantes, des droits illimités d'accès, d'inspection et d'audit, ainsi que la participation du prestataire aux TLPT.

   Source :DORA, articles 28 à 30

   Ce que cela implique pour votre application mobile

   Une plateforme de tests SaaS qui reçoit les binaires de votre application et vos identifiants de test est un fournisseur que votre processus de gestion du risque lié aux tiers examinera.

   Comment Ostorlab vous aide

   Ostorlab a fait l'objet d'un audit SOC 2 Type II. Avec l'offre Enterprise, vous pouvez choisir la résidence des données dans l'UE ou lancer les scans on-premises, et avec BYOK, l'IA s'exécute sur votre propre compte auprès de votre fournisseur, avec un plafond de dépense par scan. SSO/SAML, le contrôle d'accès basé sur les rôles et les journaux d'audit sont disponibles en option et inclus dans l'offre Enterprise.

   Ce qui reste de votre ressort

   Vos vérifications préalables (due diligence), les clauses contractuelles et le registre d'informations.

Synthèse du règlement (UE) 2022/2554 et des règlements délégués (UE) 2024/1774 et 2025/1190. Les microentreprises et les entités relevant du cadre simplifié ont des obligations allégées. Cette page ne constitue pas un avis juridique.