TLPT au Japon : ce que la FSA attend, comparé à DORA et TIBER-EU

Votre groupe bancaire ou d’assurance a été désigné pour un test de pénétration fondé sur la menace (TLPT) au titre de DORA, ou s’y prépare. Il possède aussi une filiale ou une succursale au Japon. Une question revient alors : le test conduit au niveau du groupe suffit-il pour l’entité japonaise, ou celle-ci doit-elle répondre à ses propres attentes locales ?

Au Japon, le TLPT figure depuis octobre 2024 dans les lignes directrices de cybersécurité de l’Agence des services financiers (Financial Services Agency, FSA), le régulateur financier japonais. Mais il n’y est pas rendu obligatoire. Il n’existe ni procédure de désignation, ni fréquence imposée, ni attestation comparables à celles de DORA. Cet article présente ce que la FSA attend, le compare au cadre européen (DORA, ses normes techniques sur le TLPT, TIBER-EU et TIBER-FR) et indique ce qu’il faut clarifier avant d’étendre un test de groupe au Japon.

Il s’agit d’une présentation générale, fondée sur les textes disponibles en octobre 2026. Elle ne remplace pas l’échange avec vos autorités : la FSA au Japon, et votre autorité TLPT en Europe.

L’essentiel en trois points

• Au Japon, le TLPT est une « mesure recommandée », pas une obligation. Les lignes directrices de la FSA du 4 octobre 2024 demandent de mener « régulièrement » des TLPT, mais visent surtout les grands établissements, les grandes infrastructures de marché et les acteurs importants pour l’économie locale. Elles ne fixent ni fréquence, ni liste d’entités désignées.
• Dans l’Union, le TLPT est une obligation pour les entités désignées. DORA impose un test au moins tous les trois ans, sur des systèmes en production, avec une attestation de l’autorité. Le règlement délégué (UE) 2025/1190 en précise la méthode, alignée sur TIBER-EU.
• Aucun texte ne prévoit de reconnaissance mutuelle entre l’Union et le Japon. La reconnaissance mutuelle prévue par DORA et TIBER-EU joue entre autorités européennes. Un test de groupe qui inclut le périmètre japonais peut répondre en pratique aux attentes de la FSA, mais aucun texte ne le garantit. Il faut en parler en amont avec les deux régulateurs.

TLPT : de quoi parle-t-on ?

Un TLPT (Threat-Led Penetration Testing) est un exercice d’équipe rouge (red team) fondé sur le renseignement sur la menace. Un fournisseur de renseignement identifie les attaquants les plus susceptibles de viser l’établissement et leurs modes opératoires. Des testeurs reproduisent ensuite ces attaques, en production, sans prévenir les équipes de défense (l’équipe bleue). Une équipe restreinte, informée du test, le pilote et gère les risques : DORA et TIBER-EU l’appellent « équipe chargée du contrôle », la pratique japonaise « équipe blanche ».

La version française de DORA parle de « test de pénétration fondé sur la menace » ; celle du règlement délégué de 2025 parle de « test d’intrusion fondé sur la menace » (TIFM). Il s’agit du même exercice. Nous employons ici le sigle TLPT, commun aux textes japonais et européens.

Ce que l’Agence des services financiers attend au Japon

Les lignes directrices de 2024 : une mesure recommandée

Le 4 octobre 2024, la FSA a publié des lignes directrices sur la cybersécurité du secteur financier (Guidelines on Cybersecurity for the Financial Sector). Elles s’appliquent à l’ensemble des établissements supervisés par la FSA : banques, assureurs, entreprises d’investissement, établissements de paiement, plateformes d’échange de crypto-actifs, entre autres. Une modification technique a suivi le 4 juillet 2025, et la FSA en a publié une traduction anglaise provisoire le 20 octobre 2025.

Chaque thème distingue deux niveaux :

• les mesures fondamentales (Fundamental response measures), c’est-à-dire l’hygiène de base que tout établissement doit en principe mettre en place ;
• les mesures recommandées (Recommended measures), des pratiques avancées « souhaitables » pour les établissements dont un incident aurait un impact important sur l’économie locale, que les grands établissements et les grandes infrastructures de marché « devraient envisager ».

La FSA précise que ses lignes directrices n’imposent pas de réponse uniforme : chaque établissement applique une approche fondée sur les risques, et la FSA vérifie cette approche lors de ses contrôles.

Le TLPT figure dans la section 2.2.4 (évaluation des vulnérabilités et tests d’intrusion), parmi les mesures recommandées. Le texte demande de mener régulièrement des TLPT en tenant compte de six points :

• choisir des prestataires ayant l’expérience et les compétences nécessaires, y compris par une vérification du parcours des testeurs ;
• utiliser des techniques au niveau des attaquants réels, sur la base du renseignement sur la menace ;
• retenir des scénarios graves mais réalistes, susceptibles d’affecter les services rendus ;
• évaluer la capacité de l’équipe bleue à détecter, signaler, contenir et atténuer les attaques ;
• tester en production, sans prévenir l’équipe bleue ;
• rendre compte des problèmes identifiés à la direction et mener les améliorations.

Les mesures fondamentales de la même section demandent, elles, des évaluations de vulnérabilités et des tests d’intrusion réguliers, adaptés au niveau de risque et à l’importance des systèmes. Les mesures recommandées suggèrent aussi de faire évoluer périodiquement les méthodes et de changer de prestataire pour garder un regard neuf.

Ce que fait la FSA en pratique

La FSA promeut le TLPT par l’analyse de cas et par des tests pilotes plutôt que par une obligation. Son rapport d’analyse sur la résilience informatique du secteur financier de juin 2025 décrit ces actions :

• une analyse des TLPT menés par des banques (exercice administratif 2023-2024), puis par des compagnies d’assurance (2024-2025), dont les bonnes pratiques et les insuffisances ont été publiées sous forme anonymisée ;
• un programme pilote de TLPT auprès de quelques établissements financiers régionaux en 2024-2025, pour montrer que l’exercice est faisable et utile à leur échelle.

Le même rapport juge le TLPT particulièrement souhaitable pour les grands établissements financiers, les infrastructures de marché, les opérateurs d’infrastructures critiques et les établissements qui jouent un rôle important dans l’économie locale. Il formule six recommandations issues des tests pilotes. Le TLPT doit d’abord mettre les risques en évidence avant de mesurer les capacités de détection et de réponse. Le périmètre doit couvrir toute l’organisation, et non un seul système. Le test se fait en production. La direction le pilote, sans chercher à sanctionner les équipes quand une attaque réussit. L’équipe bleue n’est pas prévenue. Enfin, les systèmes partagés entre plusieurs établissements doivent être inclus dans la mesure du possible.

Le mouvement s’étend : dans sa politique du 3 avril 2026 sur la cybersécurité des plateformes d’échange de crypto-actifs, la FSA annonce des TLPT en production chez plusieurs de ces plateformes au cours de 2026. Son rapport de juillet 2026 rappelle que chaque établissement doit planifier ses évaluations (analyse de vulnérabilités, test d’intrusion, TLPT) selon ses risques.

Les référentiels du FISC

Les lignes directrices de la FSA renvoient aussi aux travaux du Centre des systèmes d’information de l’industrie financière (Center for Financial Industry Information Systems, FISC), un organisme du secteur financier japonais. Le FISC a publié en septembre 2019 un guide de mise en œuvre du TLPT pour les établissements financiers. Ses normes de sécurité des systèmes informatiques (FISC Security Guidelines on Computer Systems for Financial Institutions), auxquelles renvoient aussi les principes de supervision de la FSA, en sont à leur 14e édition, parue en 2026.

Une attente de cohérence au niveau du groupe

Les lignes directrices attendent des établissements qui font partie d’un groupe, y compris avec des implantations à l’étranger, un cadre de cybersécurité cohérent à l’échelle du groupe, adapté à la taille et aux caractéristiques de chaque entité. Pour les succursales de banques étrangères, les principes de supervision de la FSA mettent l’accent sur les activités et les risques réels de la succursale et sur la coopération avec l’autorité du pays d’origine. Aucun de ces textes ne traite expressément de la prise en compte d’un TLPT réalisé à l’étranger.

Le cadre européen : DORA, le règlement délégué et TIBER-EU

DORA, articles 26 et 27

Le règlement (UE) 2022/2554 (DORA), applicable depuis le 17 janvier 2025, impose un TLPT aux entités financières désignées par leur autorité compétente. L’autorité tient compte de l’impact de l’entité sur le secteur financier, de son caractère systémique et de son profil de risque lié aux TIC. Les principales règles :

• un test au moins tous les trois ans, fréquence que l’autorité peut réduire ou augmenter ;
• un périmètre couvrant plusieurs, voire toutes les fonctions critiques ou importantes, sur des systèmes en production, y compris ceux externalisés auprès de prestataires TIC ; le périmètre est validé par l’autorité ;
• à l’issue du test, une synthèse et des plans de mesures correctives remis à l’autorité, qui délivre une attestation « afin de permettre la reconnaissance mutuelle » entre autorités compétentes ;
• un testeur externe au moins tous les trois tests, et uniquement des testeurs externes pour les établissements de crédit importants supervisés par la BCE ;
• des exigences envers les testeurs (article 27) : expertise en renseignement sur la menace et en red team, certification ou code de conduite, assurance de responsabilité civile professionnelle.

Le règlement délégué (UE) 2025/1190

Adoptées le 13 février 2025 et publiées au Journal officiel le 18 juin 2025, ces normes techniques de réglementation détaillent le dispositif. Elles prévoient notamment :

• la désignation, sauf appréciation contraire de l’autorité, des établissements d’importance systémique mondiale ou nationale et des entités qui en font partie, des contreparties centrales, des dépositaires centraux de titres, ainsi que de certains établissements de paiement, de certaines plateformes de négociation et de certains assureurs au-delà de seuils ;
• un « TIFM commun » pour les entités d’un même groupe qui partagent des systèmes TIC, avec une autorité chef de file, à privilégier lorsqu’il réduit les coûts sans nuire à l’efficacité du test ;
• une phase active de red team d’au moins 12 semaines, un rapport de l’équipe rouge sous quatre semaines, puis un exercice de rejeu entre équipes rouge et bleue au plus tard dix semaines après la fin des tests.

TIBER-EU et TIBER-FR

Le cadre TIBER-EU a été publié par la Banque centrale européenne en mai 2018. Selon la BCE, il a été mis à jour en 2024 pour s’aligner pleinement sur les normes techniques de DORA. En France, la Banque de France, l’ACPR et l’AMF l’appliquent sous le nom de TIBER-FR, avec un guide national de mise en œuvre (version 2, 2025). Selon ce guide, les autorités TLPT françaises sont la Banque de France, l’ACPR ou l’AMF selon l’entité, et la BCE pour les établissements de crédit importants. Les trois autorités ont créé une équipe commune, la TCT-FR. Le guide précise qu’un test TIBER-FR est reconnu dans les juridictions de l’Union qui appliquent TIBER-EU.

Japon et Union européenne : le comparatif

Un TLPT DORA de groupe couvre-t-il l’entité japonaise ?

Les textes ne répondent pas directement à cette question. Voici ce qu’ils permettent d’affirmer.

Côté européen

DORA s’applique aux entités financières de l’Union. Une filiale de droit japonais, agréée au Japon, n’en fait pas partie. Ses systèmes peuvent toutefois entrer dans le périmètre du test de groupe s’ils soutiennent une fonction critique ou importante d’une entité européenne, par exemple comme prestataire TIC intra-groupe. Une succursale à Tokyo, elle, fait partie de l’entité juridique française : ses systèmes peuvent donc figurer dans le périmètre si elle contribue aux fonctions testées. Dans les deux cas, c’est l’autorité TLPT qui valide le périmètre.

En revanche, les mécanismes de coordination et de reconnaissance mutuelle prévus par DORA, le règlement délégué et TIBER-FR concernent les autorités de l’Union. Une attestation européenne n’a pas, en tant que telle, de valeur juridique pour la FSA.

Côté japonais

La FSA n’impose pas de TLPT à votre entité japonaise et n’a publié aucune règle sur la prise en compte d’un test réalisé à l’étranger. Elle attend une approche fondée sur les risques et un cadre cohérent à l’échelle du groupe. Un TLPT de groupe dont le périmètre inclut réellement les fonctions et systèmes japonais peut donc être un argument solide lors d’un contrôle. Mais c’est à la FSA d’en juger, au cas par cas.

Un point d’appui commun : les principes du G7

En 2018, le groupe d’experts cyber du G7, dont font partie le Japon et la France, a publié des principes fondamentaux pour le TLPT (G7 Fundamental Elements for Threat-Led Penetration Testing). Pour les groupes multinationaux, ils invitent les autorités à coordonner le calendrier, le périmètre et la conduite des tests. Une entité qui veut faire valoir un test auprès de plusieurs juridictions doit associer toutes les autorités concernées dès la définition du périmètre. C’est la démarche la plus sûre pour votre entité japonaise.

Ce qu’il faut faire

1. Clarifier le statut de l’entité japonaise

Filiale agréée au Japon ou succursale, l’analyse n’est pas la même. Identifiez les fonctions critiques ou importantes du groupe que l’entité japonaise soutient, et les systèmes qu’elle partage avec le groupe.

2. Interroger les deux régulateurs avant de figer le périmètre

Demandez à votre autorité TLPT européenne si les systèmes japonais peuvent ou doivent entrer dans le périmètre. Demandez à la FSA comment elle prendrait en compte un test de groupe. Ces échanges doivent avoir lieu avant la validation du périmètre.

3. Adapter le renseignement sur la menace au Japon

Un TLPT vaut par la pertinence de ses scénarios. Les attaquants qui visent des établissements au Japon, les leurres d’hameçonnage en japonais et les prestataires locaux ne sont pas ceux d’un scénario européen. Le volet japonais du test doit s’appuyer sur un renseignement qui tient compte du panorama local des menaces.

4. Prévoir les systèmes partagés et les prestataires locaux

Au Japon, de nombreux établissements utilisent des systèmes partagés ou des prestataires locaux. La FSA recommande de les inclure dans la mesure du possible, ou de limiter le test à la partie que vous utilisez, ou à défaut de vérifier leurs garanties de sécurité. DORA impose de son côté d’organiser la participation des prestataires TIC inclus dans le périmètre.

5. Organiser la gouvernance locale

Une partie de l’équipe chargée du contrôle doit se trouver au Japon : un responsable capable de distinguer une alerte liée au test d’une véritable attaque, de prévenir les bonnes personnes en cas d’incident et d’arrêter le test si nécessaire. Faites aussi valider le cadre juridique et contractuel du test en droit japonais.

6. Si le test de groupe ne couvre pas le Japon

Selon la taille et le rôle de votre entité japonaise, la FSA peut attendre un TLPT local, ou au minimum des tests d’intrusion réguliers. Un test local construit sur la même méthode (TIBER-EU, complété par les recommandations de la FSA) facilite la consolidation des résultats au niveau du groupe.

Questions fréquentes

Q1. Notre entité japonaise est-elle obligée de réaliser un TLPT ?

Pas au sens d’une obligation légale. Le TLPT est une mesure recommandée des lignes directrices de la FSA, surtout attendue des grands établissements, des infrastructures de marché et des acteurs importants pour l’économie locale. La FSA vérifie lors de ses contrôles si votre approche est adaptée à vos risques. Si votre entité japonaise est de grande taille ou joue un rôle important sur son marché, attendez-vous à ce que la question soit posée.

Q2. Une attestation TLPT obtenue au titre de DORA est-elle reconnue par la FSA ?

Aucun texte publié ne le prévoit. La reconnaissance mutuelle de DORA et de TIBER-EU joue entre autorités de l’Union. Si le périmètre du test inclut réellement l’entité japonaise, présentez les résultats à la FSA et demandez-lui comment elle les prend en compte. Selon les principes du G7, le mieux est de l’associer dès la définition du périmètre.

Q3. À quelle fréquence la FSA attend-elle un TLPT ?

Les lignes directrices disent « régulièrement », sans fixer de fréquence. Dans l’Union, DORA impose au moins un test tous les trois ans aux entités désignées. Si votre entité japonaise est incluse dans le cycle du groupe, ce rythme peut servir de référence, à confirmer avec la FSA.

Q4. Pouvons-nous réaliser le test japonais en environnement de test ?

Ce n’est pas l’approche attendue. Les lignes directrices de la FSA demandent de tester en production sans prévenir l’équipe bleue, et son rapport de 2025 classe les tests réalisés hors production parmi les cas insuffisants. DORA impose aussi la production.

Q5. Faut-il commencer par des tests d’intrusion classiques ?

C’est recommandé. Les lignes directrices de la FSA font des analyses de vulnérabilités et des tests d’intrusion réguliers une mesure fondamentale, et le TLPT une mesure avancée. Un TLPT mené sur un environnement qui présente encore beaucoup de failles connues révèle surtout ces failles, et peu de choses sur la capacité de détection et de réponse.

Parler à AEVUS

AEVUS est une entreprise de cybersécurité basée au Japon. Nous réalisons des tests d’intrusion et des évaluations de vulnérabilités pour des entreprises présentes au Japon. Si votre groupe prépare un TLPT ou veut savoir où en est son entité japonaise avant d’y étendre un test, nous pouvons vous aider à préparer le volet japonais : état des lieux technique, systèmes et prestataires locaux, coordination sur place. Contactez-nous pour en discuter.

En résumé

• Au Japon, le TLPT est une mesure recommandée des lignes directrices de cybersécurité de la FSA du 4 octobre 2024, sans désignation, sans fréquence fixée et sans attestation.
• La FSA le promeut par des analyses de cas (banques, assureurs), des tests pilotes (établissements régionaux, puis plateformes de crypto-actifs en 2026) et six recommandations publiées en 2025.
• Dans l’Union, DORA et le règlement délégué (UE) 2025/1190 imposent un TLPT au moins tous les trois ans aux entités désignées, selon la méthode TIBER-EU ; en France, les autorités TLPT sont la Banque de France, l’ACPR, l’AMF, ou la BCE pour les établissements importants.
• La reconnaissance mutuelle européenne ne s’étend pas au Japon : un test de groupe peut couvrir des systèmes japonais, mais sa prise en compte par la FSA reste à discuter avec elle.
• Associez les deux régulateurs dès la définition du périmètre et adaptez les scénarios au paysage de menace japonais.

Sources

• FSA, Guidelines on Cybersecurity for the Financial Sector, 4 octobre 2024 (traduction anglaise provisoire publiée le 20 octobre 2025) (PDF)
• FSA, modification technique des lignes directrices de cybersécurité, 4 juillet 2025 (en japonais)
• FSA, rapport d’analyse sur la résilience informatique du secteur financier, juin 2025 (chapitre sur le TLPT) (en japonais, PDF)
• FSA, rapport d’analyse sur la résilience informatique du secteur financier, juillet 2026 (en japonais, PDF)
• FSA, politique de renforcement de la cybersécurité des plateformes d’échange de crypto-actifs, 3 avril 2026 (en japonais, PDF)
• FSA, principes de supervision des succursales de banques étrangères (en japonais)
• FISC, publications (normes de sécurité, 14e édition ; guide de mise en œuvre du TLPT) (en japonais)
• G7, Fundamental Elements for Threat-Led Penetration Testing, octobre 2018 (PDF)
• Règlement (UE) 2022/2554 (DORA), articles 26 et 27
• Règlement délégué (UE) 2025/1190 de la Commission du 13 février 2025 (normes techniques sur le TLPT)
• BCE, page de présentation de TIBER-EU
• Banque de France, surveillance du risque cyber et TIBER-FR
• Banque de France, ACPR, AMF, TIBER-FR National Implementation Guide, version 2 (PDF)

Articles connexes

• Les tests d’intrusion dans les établissements financiers au Japon
• Les cyberattaques contre le secteur financier japonais en 2026
• Se protéger des attaques ciblées (APT)