RTS : Regulatory Technical Standards (normes techniques de réglementation)
Sécurité
RTS : Regulatory Technical Standards, en français normes techniques de réglementation. « Le texte qui transforme une obligation générale d'une directive ou d'un règlement européen en exigences techniques précises et vérifiables », par analogie avec la notice de montage livrée avec le meuble : la loi dit « une armoire », la RTS dit quelle vis va dans quel trou, et c'est évidemment là que tout se joue.
Procédure : Les projets sont rédigés par les autorités européennes de surveillance (EBA, ESMA, EIOPA), puis adoptés par la Commission européenne sous forme de règlements délégués, directement applicables dans tous les États membres. Ils se distinguent des ITS (Implementing Technical Standards, normes techniques d'exécution), qui fixent surtout des formats et des procédures.
Dans les paiements : Les RTS sur l'authentification forte et la communication sécurisée, prises en application de la deuxième directive sur les services de paiement (DSP2), forment le règlement délégué (UE) 2018/389, applicable depuis septembre 2019. Elles imposent notamment la liaison dynamique : le code d'authentification d'un paiement à distance est calculé sur le montant et le bénéficiaire, si bien qu'un code intercepté ne sert à rien pour un autre virement.
Dans DORA : Le règlement DORA s'accompagne de plusieurs RTS, par exemple sur le cadre de gestion du risque informatique, la classification des incidents ou les tests de pénétration fondés sur la menace (TLPT).
Homonyme : En réseau, RTS désigne aussi le signal Request To Send (demande d'émission), utilisé avec CTS (Clear To Send) dans le Wi-Fi et les liaisons série ; sans rapport avec la réglementation, sinon que les deux demandent la permission avant de parler.
Ce qui arrive si on s'en passe
Un établissement de paiement qui applique la directive sans lire les RTS met en place une authentification forte qui coche les cases générales mais oublie la liaison dynamique : le code reçu par l'utilisateur ne dépend ni du montant ni du bénéficiaire, et un attaquant placé entre l'utilisateur et la banque peut le réutiliser pour son propre virement. Les exemptions prévues (petits montants, bénéficiaires de confiance, analyse de risque) appliquées hors de leurs conditions ouvrent les mêmes brèches, avec en prime la responsabilité du remboursement. Le superviseur, qui lit les RTS, le fait remarquer à sa manière.
Explication de la marmotte
Les lois européennes donnent souvent des obligations générales, comme « les paiements en ligne doivent être bien protégés ». Les RTS sont des textes qui viennent ensuite préciser exactement comment faire, de manière technique. Par exemple, pour un paiement en ligne, ils exigent que le code de confirmation reçu par le client dépende du montant et du destinataire. Ainsi, même si un pirate vole ce code, il ne peut pas s'en servir pour un autre paiement.
Où ce terme est utilisé
- Sécuriser une transaction bancaire contre rejeu et falsification (3 occurrences)