En bref : le 3 juillet 2026, l’ANSSI, l’ACPR et la Banque de France ont signé un accord de coopération renforçant l’échange d’informations et la gestion de crise cyber pour le secteur financier, dans le cadre de NIS2 et de DORA. L’accord introduit notamment un cadre commun pour les tests d’intrusion avancés fondés sur la menace (TLPT — Threat Led Penetration Testing). Pour toute organisation soumise à DORA ou NIS2, ce type d’accord signale une chose : la robustesse technique réelle des systèmes, pas seulement la documentation de conformité, devient l’objet direct du contrôle réglementaire — et le hardening endpoint en est le socle.

Que prévoit l’accord ANSSI / ACPR / Banque de France ?

Le 3 juillet 2026, l’Agence nationale de la sécurité des systèmes d’information (ANSSI), l’Autorité de contrôle prudentiel et de résolution (ACPR) et la Banque de France ont signé un accord de coopération visant à renforcer l’échange d’informations et la coordination face à la menace cyber dans le secteur financier, dans le respect de la directive NIS2 et du règlement DORA. Cet accord, qui prolonge une coopération engagée dès 2018, répartit les rôles : l’ANSSI conduit la réponse technique aux incidents via le CERT-FR, l’ACPR s’assure du respect de DORA par les entités financières, et la Banque de France a en charge la résilience des infrastructures financières elles-mêmes.

La collaboration s’organise autour de quatre axes : les incidents et cybermenaces, les contrôles et l’assistance mutuelle, la gestion de crise cyber, et surtout les tests d’intrusion avancés fondés sur la menace (TLPT), qui visent à évaluer concrètement la robustesse des systèmes d’information plutôt que leur seule conformité documentaire. Source : actualité ANSSI du 6 juillet 2026.

Pourquoi ce type d’accord dépasse le seul secteur financier ?

À première vue, cet accord ne concerne directement que les entités financières soumises à DORA. Mais il illustre une tendance de fond que la directive NIS2 porte pour un périmètre bien plus large — plus de 15 000 entités réparties dans dix-huit secteurs en France, PME et ETI comprises dès lors qu’elles opèrent dans un secteur régulé ou qu’elles sont fournisseur critique d’une entité régulée : le contrôle réglementaire ne se limite plus à vérifier l’existence d’une politique de sécurité sur le papier. Il cherche à vérifier, par des exercices comme le TLPT, que les systèmes résistent effectivement à une attaque simulée réaliste.

Pour une organisation qui découvrirait le jour d’un test d’intrusion avancé que ses postes et serveurs Windows n’appliquent pas les contrôles de base — droits d’administration locaux non restreints, journalisation d’audit absente, services exposés inutilement — la démonstration de non-conformité est immédiate, et potentiellement coûteuse.

Comment le hardening endpoint prépare-t-il concrètement un TLPT ou un audit NIS2/DORA ?

Un test d’intrusion fondé sur la menace suit généralement le même chemin qu’un attaquant réel : accès initial, puis élévation de privilèges et mouvement latéral à partir d’un poste de travail ou d’un serveur compromis. Le hardening endpoint agit précisément sur cette chaîne :

  • Réduction des droits locaux administrateur : sans compte local à privilèges disponible, un testeur (ou un attaquant) ne peut pas élever facilement ses privilèges après un accès initial — c’est souvent le premier obstacle mesuré lors d’un TLPT.
  • Journalisation d’audit conforme aux exigences réglementaires : NIS2 et DORA exigent tous deux une capacité de détection et de notification rapide des incidents ; un audit Windows correctement configuré (créations de processus, élévations de privilèges, connexions) est la donnée brute sur laquelle repose cette capacité.
  • Alignement sur un référentiel reconnu : documenter la conformité aux CIS Benchmarks ou au guide de durcissement Windows de l’ANSSI donne aux auditeurs (internes, ACPR, ou tiers mandatés pour un TLPT) une base de comparaison objective plutôt qu’une déclaration d’intention.
  • Réduction de la surface d’attaque avant le test : désactivation des services inutiles et restriction des protocoles hérités (SMBv1, NTLM non contraint) limite le nombre de chemins d’attaque qu’un testeur — ou un attaquant réel — peut exploiter.

Le hardening remplace-t-il un audit ou un TLPT réglementaire ?

Non. Le hardening endpoint est une condition nécessaire mais pas suffisante : un TLPT reste un exercice mené par des prestataires qualifiés, encadré par l’ACPR pour les entités financières concernées, avec sa propre méthodologie. Ce que le hardening apporte, c’est la garantie que les contrôles de base sont déjà en place avant l’exercice — évitant qu’un test coûteux ne se limite à confirmer des lacunes élémentaires déjà connues. Une plateforme de hardening agentless comme Cyberlib, en vérifiant en continu la conformité des postes et serveurs Windows aux baselines CIS et ANSSI, permet à une équipe IT de PME-ETI d’aborder un audit NIS2, un contrôle DORA ou un TLPT avec une visibilité déjà établie sur l’état réel du parc, plutôt que de le découvrir le jour J.

FAQ

Cet accord ANSSI/ACPR/Banque de France concerne-t-il ma PME si je ne suis pas dans le secteur financier ?

Pas directement, mais il illustre l’orientation générale de la réglementation cyber européenne (NIS2, DORA) : le contrôle porte de plus en plus sur la robustesse technique démontrée, pas seulement sur la documentation. Toute entité soumise à NIS2, ou fournisseur d’une entité qui l’est, est concernée par cette même logique.

Qu’est-ce qu’un TLPT (Threat Led Penetration Testing) ?

C’est un test d’intrusion avancé fondé sur des scénarios de menace réalistes, propres au secteur ou à l’organisation testée, conçu pour évaluer la résistance effective des systèmes plutôt qu’une simple recherche de vulnérabilités génériques. DORA en fait une exigence pour certaines entités financières.

Le hardening endpoint aide-t-il à réussir un audit NIS2 ?

Oui, dans la mesure où l’article 21 de NIS2 impose une gestion des risques et une cyberhygiène incluant la configuration sécurisée des systèmes. Un parc durci et documenté selon un référentiel reconnu (CIS, ANSSI) facilite la démonstration de conformité lors d’un audit.

Quelle est la différence entre l’ACPR et l’ANSSI dans ce nouvel accord ?

L’ACPR contrôle le respect de la réglementation DORA par les entités financières ; l’ANSSI, via le CERT-FR, intervient sur la réponse technique aux incidents de cybersécurité. La Banque de France complète le dispositif sur la résilience des infrastructures financières elles-mêmes.

Faut-il attendre un contrôle réglementaire pour durcir son parc Windows ?

Non — attendre expose à découvrir des lacunes lors d’un audit ou d’un incident réel, moment où leur correction est la plus coûteuse et la plus visible. Un contrôle continu permet de corriger les écarts au fil de l’eau.

Sources

Aborder un audit NIS2, un contrôle DORA ou un test d’intrusion avancé suppose de savoir, en continu, où en est réellement votre parc Windows par rapport aux référentiels CIS et ANSSI — pas seulement le jour du contrôle. Cyberlib automatise ce contrôle de conformité en continu, sans agent, sur l’ensemble de votre parc.