La decisión que le ayudará a tomar esta guía
Evalúe a las personas y los acuerdos de prestación conforme al artículo 27, no solo la presentación del proveedor. Solicite pruebas de idoneidad, capacidad pertinente, marcos éticos, independencia y garantías de riesgo. Vuelva a evaluar las pruebas si cambia el equipo o el acuerdo de subcontratación.
Para la persona responsable del encargo. Evalúe a las personas propuestas, su independencia y capacidad, y las salvaguardas conforme a los requisitos aplicables. El nombre o el logotipo de un proveedor no constituyen evidencia.
Una descripción de la metodología no constituye una diligencia debida
El artículo 27 de DORA establece requisitos para los probadores que realizan las TLPT. En la contratación conviene solicitar pruebas del cumplimiento de esos requisitos y evaluar las condiciones reales de prestación. Una insignia, una afirmación general sobre experiencia o una referencia a TIBER-EU no las sustituye.
La evaluación debe abarcar a la organización y a las personas identificadas por nombre que se proponen para realizar el trabajo. Asegúrese de que las pruebas sigan siendo pertinentes si el proveedor cambia de equipo o incorpora a un subcontratista.
Leer el texto del diagrama
- Personas
- Roles, capacidades y evidencias pertinentes
- Independencia
- Salvaguardias y divulgaciones aplicables
- Ejecución
- Controles de riesgo y gestión de evidencias
Idoneidad y experiencia específica
El artículo 27 aborda la idoneidad y la reputación, la capacidad técnica y organizativa, y la experiencia específica en inteligencia de amenazas, pruebas de penetración y pruebas de equipo rojo. Pregunte cómo se corresponden esas competencias con las funciones y los escenarios propuestos.
La experiencia pertinente debe describirse con el nivel de detalle adecuado, sin vulnerar la confidencialidad de otros clientes. El equipo de compras puede acordar un canal seguro para referencias, documentación justificativa e información del equipo, en lugar de basarse exclusivamente en páginas de marketing públicas.
Certificaciones y marcos éticos
La disposición legal se refiere a la certificación por un organismo de acreditación de un Estado miembro o a la adhesión a códigos de conducta o marcos éticos formales. No reduzca esta formulación a afirmar que un certificado comercial concreto es obligatorio o suficiente en todos los casos.
Pregunte en qué marco se basa el proveedor, qué abarca y cómo se aplica al trabajo. Las cualificaciones personales pueden aportar evidencias pertinentes de competencias, pero no satisfacen automáticamente todos los requisitos de la organización.
Leer el texto del diagrama
- Personal designado
- Confirmar los roles propuestos y su disponibilidad
- Proceso de sustitución
- Explicar la evaluación y la aprobación
- Subcontratación
- Identificar responsabilidades y salvaguardas
Aseguramiento de riesgos y seguros
La garantía independiente o las evidencias de auditoría deben abordar la gestión adecuada de los riesgos asociados al TLPT, incluida la protección de la información confidencial y la reparación de los riesgos empresariales. La entidad financiera debe conocer el alcance, la fecha y la pertinencia de la garantía proporcionada.
El seguro de responsabilidad civil profesional también es importante. Revise si las actividades, las partes y los riesgos previstos están cubiertos. La mera existencia de una póliza no demuestra que el encargo cuente con una cobertura adecuada.
Leer el texto del diagrama
- Acceso
- Quién puede consultar material sensible
- Transferencia
- Métodos de almacenamiento e intercambio aprobados
- Cierre
- Responsabilidades en materia de conservación, eliminación e incidentes
Los evaluadores internos requieren un análisis específico
Las pruebas internas están sujetas a condiciones, entre ellas la aprobación pertinente de la autoridad competente, la independencia y las salvaguardias previstas en DORA y las RTS. Las entidades significativas deben utilizar evaluadores externos conforme al artículo 26. La decisión no puede basarse únicamente en la disponibilidad de recursos.
Para otras entidades que recurren a probadores internos en el marco de acuerdos permitidos, los requisitos aplicables incluyen el uso periódico de probadores externos. Revise las condiciones legales exactas y las expectativas de la autoridad para la entidad antes de elegir el modelo.
Elabore una decisión de contratación trazable
Registre el requisito, las evidencias solicitadas, la evaluación, cualquier brecha y la persona responsable de la decisión. Explicite las condiciones pendientes en la gobernanza de compras. Los compromisos contractuales, los recursos designados y los acuerdos sobre el tratamiento de evidencias deben corresponderse con lo evaluado.
Adapte la respuesta al encargo propuesto
Pida al proveedor que identifique los roles previstos para la prestación, la experiencia pertinente, los mecanismos de supervisión y las evidencias que respaldan los requisitos que afirma cumplir. Aclare si las personas designadas están comprometidas con el servicio o son solo ejemplos de personal disponible. Documente cómo se evaluarían y aprobarían las sustituciones. La entidad financiera necesita una base comprensible para tomar su decisión, no una garantía sin matices de que el proveedor «cumple con DORA».
Para comparar con criterios homogéneos, la guía de contratación de pruebas de penetración para bancos muestra cómo normalizar el alcance, las hipótesis de acceso y las expectativas sobre las evidencias. Utilice esa estructura junto con los requisitos específicos de TLPT, en lugar de sustituir la revisión del artículo 27 por un cuestionario ordinario de pruebas técnicas.
Examine cómo se gestionarán las evidencias
Comente cómo se gestionarán durante todo el encargo la inteligencia sobre amenazas sensible, las observaciones operativas, las credenciales y el material del informe. Determine las restricciones de acceso, las condiciones de almacenamiento y transferencia, la conservación, la eliminación y la participación de subcontratistas. Pregunte cómo se escalaría un incidente significativo o un efecto operativo imprevisto. Estas preguntas concretan las salvaguardas propuestas y ayudan a la entidad a comprender sus propias responsabilidades y dependencias.
Examine un informe ficticio o debidamente anonimizado y siga un hallazgo desde el punto de partida hasta las evidencias, el impacto y el tratamiento propuesto. La guía de informes y repetición de pruebas para fintech ofrece preguntas útiles sobre la calidad de las evidencias. La calidad del informe por sí sola no demuestra la idoneidad de los evaluadores ni satisface todas las obligaciones del TLPT; es un elemento de una evaluación documentada que debe abordar los requisitos reales y los acuerdos aplicables con las autoridades competentes.
Leer el texto del diagrama
- Mapear los requisitos
- Identificar las evidencias que respaldan cada afirmación
- Aclarar la ambigüedad
- Pregunte por los supuestos y los cambios propuestos
- Conserve el alcance de la evaluación
- Documentar una justificación de selección responsable
Continúe con la preparación
Fuentes primarias
Información general, no constituye asesoramiento jurídico. Confirme los requisitos aplicables y los acuerdos de pruebas con la autoridad competente.
Atlant Security publica esta guía y las publicaciones sectoriales relacionadas enlazadas arriba. Los ejemplos técnicos son ilustrativos para la planificación y no afirman que se hayan realizado pruebas para clientes.
Publicado por Atlant Security. Fuentes, política editorial y correcciones.
