La decisión que le ayudará a tomar esta guía
Un programa TLPT completo integra la selección de la autoridad, el alcance de las funciones críticas, proveedores cualificados, pruebas controladas en sistemas en producción y el cierre. Utilice los requisitos siguientes para asignar responsables de las decisiones y las evidencias; una prueba de penetración convencional por sí sola no completa este proceso.
Qué exige el TLPT de DORA
Las pruebas de penetración basadas en amenazas de DORA son un ejercicio supervisado por la autoridad para determinadas entidades financieras. Combinan inteligencia sobre amenazas específica, pruebas controladas de sistemas de producción en funcionamiento, aprendizaje defensivo y una remediación sujeta a responsabilidades. Encargar una prueba de penetración convencional no satisface por sí solo el proceso TLPT.
Esta guía explica los principales requisitos de los artículos 26 y 27 de DORA y del Reglamento Delegado (UE) 2025/1190 de la Comisión, las normas técnicas de regulación (RTS) de TLPT. Para planificar un encargo, consulte nuestros servicios de TLPT conforme a DORA. Las sugerencias de preparación que figuran a continuación son formas prácticas de organizar el trabajo y se distinguen de los requisitos normativos a los que sirven de apoyo.
| Pregunta | Requisito que debe tenerse en cuenta |
|---|---|
| ¿Quién debe realizar TLPT? | Entidades financieras identificadas por la autoridad competente conforme a los criterios de selección aplicables; no todas las organizaciones sujetas a DORA. |
| ¿Con qué frecuencia? | Al menos cada tres años para las entidades obligadas a realizar TLPT; la autoridad puede ajustar la frecuencia cuando sea necesario. |
| ¿Qué se somete a prueba? | Varias o todas las funciones críticas o importantes, a través de los sistemas de producción en funcionamiento que las soportan, dentro de un alcance validado. |
| ¿Cuánto duran las pruebas activas? | Al menos 12 semanas; la preparación, la inteligencia sobre amenazas y el cierre requieren tiempo adicional. |
| ¿Qué ocurre después de la prueba? | Informes de los equipos rojo y azul, reproducción de la actividad, purple teaming, un informe resumen y un plan de remediación. |
1. Confirmar la aplicabilidad y la intervención de las autoridades
El programa más amplio de pruebas de resiliencia de DORA y su obligación de TLPT avanzado son distintos. El artículo 26 prevé que las autoridades identifiquen las entidades que deben realizar TLPT. El artículo 2 de las RTS establece criterios de selección, incluidos criterios cuantitativos específicos del sector y la evaluación de la autoridad sobre el impacto, las implicaciones para la estabilidad financiera y el riesgo de las TIC.
No dé por hecho que un umbral de número de empleados, una petición de un cliente o el hecho de ser un banco resuelven por sí solos la cuestión. Confirme cuál es la entidad jurídica pertinente, qué autoridad es responsable del TLPT, si se ha recibido alguna notificación y si una estructura de grupo o de servicios compartidos afecta al ejercicio propuesto.
La frecuencia mínima habitual es de una vez cada tres años. La autoridad competente puede reducir o aumentar esa frecuencia cuando sea necesario, en función del perfil de riesgo y las circunstancias operativas de la entidad. Incluya el calendario confirmado en su registro de planificación, en lugar de considerar los tres años como un derecho incondicional.
2. Delimitar las funciones críticas y sus dependencias
El artículo 26 de DORA exige que las TLPT abarquen varias o todas las funciones críticas o importantes y se realicen sobre los sistemas de producción en vivo que las sustentan. La entidad financiera identifica los sistemas, procesos, tecnologías y servicios de TIC externalizados pertinentes; el alcance concreto queda sujeto a la validación de la autoridad competente.
Un mapa de trabajo útil relaciona cada función candidata con sus aplicaciones, identidades, redes, flujos de datos, procesos del personal y dependencias de terceros. Registre por qué se incluye o excluye una función y concilie el mapa con la especificación del alcance exigida por el artículo 9 y el anexo II de las RTS. El artículo 9, apartado 6, exige presentar a los responsables de las pruebas la especificación del alcance aprobada por el órgano de dirección en un plazo de seis meses desde la notificación de la autoridad a la que se refiere el artículo 9, apartado 1.
Por ejemplo, una función de pago puede depender de un canal de atención al cliente, servicios de identidad, procesamiento de transacciones y una conexión externalizada. Limitarse a enumerar el sitio web público dejaría el proceso empresarial mal explicado. Se trata de un ejemplo ilustrativo para definir el alcance, no de un escenario prescrito.
Aclare pronto la participación y los permisos de terceros. El artículo 26 aborda la participación de proveedores y, en determinadas condiciones, las pruebas agrupadas. La externalización de un servicio de apoyo no elimina la responsabilidad de la entidad financiera respecto al TLPT. Consulte nuestro guía para delimitar el alcance del TLPT para conocer un enfoque de preparación más detallado.
3. Verificar la capacidad del equipo de pruebas y de inteligencia de amenazas
El artículo 27 de DORA exige que los probadores sean adecuados y cuenten con los conocimientos, capacidades y reputación necesarios. También aborda la certificación o adhesión a marcos profesionales formales o códigos de conducta, el aseguramiento independiente, el seguro de responsabilidad profesional y la protección de la información confidencial. El artículo 7 de las RTS añade requisitos para los proveedores.
Solicite pruebas sobre las personas que ejecutarán el encargo, su experiencia en pruebas basadas en amenazas para el sector financiero, el método de trabajo, las medidas para el tratamiento de la información y los conflictos de intereses. Un folleto corporativo genérico no basta para evaluar al equipo propuesto.
Los evaluadores internos solo pueden utilizarse en las condiciones aplicables y con la aprobación de la autoridad competente. DORA exige un proveedor externo de inteligencia sobre amenazas cuando se emplean evaluadores internos, así como evaluadores externos al menos en una de cada tres pruebas. Las entidades de crédito significativas sujetas al Mecanismo Único de Supervisión deben utilizar evaluadores externos. El artículo 15 de las RTS añade requisitos de gobernanza, dotación de personal y capacidades del equipo interno.
El informe de inteligencia sobre amenazas sirve de base para los escenarios de ataque y el plan de red team. El artículo 10 de las RTS exige que el responsable del equipo de control seleccione al menos tres escenarios. Como máximo uno podrá recurrir al enfoque prospectivo sin orientación por amenazas que está permitido. Los artículos 10 y 11 establecen el proceso de revisión y aprobación. La documentación del encargo debe mostrar con claridad la relación entre la inteligencia, el escenario, la función objetivo y el objetivo de la prueba.
Artículo 26, apartado 8, y artículo 27 de DORA: requisitos para los equipos evaluadores
4. Gobernar la prueba en producción
Las RTS establecen un equipo de control restringido dentro de la entidad financiera y responsables de las pruebas por parte de la autoridad. La confidencialidad es importante, ya que conocer de antemano el ejercicio puede alterar el comportamiento defensivo. La gestión de riesgos es esencial porque el ejercicio afecta a servicios en producción.
Antes de la ejecución, convierta el alcance aprobado y el plan de red team en acuerdos operativos viables: objetivos autorizados, canales de comunicación, responsables de la toma de decisiones, escalada, condiciones de parada, tratamiento de evidencias y cualquier asistencia acordada. Estos preparativos ayudan a los equipos a operar de forma segura; no sustituyen las aprobaciones formales.
De conformidad con el artículo 11 de las RTS, las pruebas activas de red team duran al menos 12 semanas. Los evaluadores informan del progreso al menos semanalmente al equipo de control y a los responsables de las pruebas. Los cambios en el plan aprobado y el uso de asistencia deben seguir los procedimientos de autorización especificados. El responsable del equipo de control puede suspender las pruebas en las circunstancias excepcionales de riesgo descritas en dicho artículo.
Presupueste por separado la preparación, la recopilación de inteligencia y el cierre. Una fase activa de 12 semanas no garantiza que todo el encargo finalice en 12 semanas. Consulte nuestra guía sobre el calendario TLPT de DORA.
Artículos 4–6 y 11 de las RTS sobre TLPT: gobernanza, riesgos y ejecución
5. Completar los informes, la repetición de pruebas y el purple teaming
El ejercicio no termina cuando los equipos de pruebas dejan de actuar. El artículo 12 de las RTS exige un informe del equipo rojo, un informe del equipo azul, una reproducción, trabajo de purple teaming y comentarios. Esto permite a la entidad relacionar el registro del ataque con lo que observaron los defensores y cómo respondieron.
| Hito | Calendario regulatorio |
|---|---|
| Informe del equipo rojo | En un plazo de cuatro semanas desde el fin de la fase activa de pruebas de red team. |
| Informe del equipo azul | Tras recibir el informe del equipo rojo y, como máximo, diez semanas después de que finalicen las pruebas activas. |
| Reproducción | A más tardar diez semanas después de finalizar las pruebas activas; el artículo 12 también exige un ejercicio final de purple teaming. |
| Informe resumido | En un plazo de ocho semanas desde la notificación a la autoridad conforme al artículo 12, apartado 7, relativa al contenido obligatorio de los informes del equipo rojo y del equipo azul. |
| Plan de remediación | En un plazo de ocho semanas desde esa misma notificación conforme al artículo 12, apartado 7, a la autoridad TLPT y, si es distinta, a la autoridad competente. |
El plazo de ocho semanas se vincula a la notificación a la autoridad competente, no automáticamente al último día de pruebas. Anote expresamente estas fechas. Los anexos especifican el contenido de los informes: anexo V para el equipo rojo, VI para el equipo azul y VII para el resumen.
6. Asignar las medidas correctivas y conservar las evidencias
El artículo 13 de las RTS exige que el plan de medidas correctivas aborde, para cada hallazgo, la deficiencia, las medidas propuestas, su priorización y fecha prevista de finalización, la causa raíz, el personal o las funciones responsables y los riesgos asociados a no aplicar las medidas o, cuando proceda, a aplicarlas.
Como medida práctica de ejecución, añada un criterio de aceptación a cada acción. «Mejorar la detección» es difícil de dar por cerrado; un cambio de detección concreto y documentado, acompañado de un ejercicio de verificación, resulta más fácil de evaluar. Mantenga clara la distinción entre una recomendación, un cambio implantado y un resultado verificado.
El artículo 26 de DORA prevé una atestación de la autoridad para facilitar el reconocimiento mutuo. El artículo 14 y el anexo VIII de las RTS especifican dicha atestación. No es un certificado emitido por el proveedor que confirme que la organización es segura o que ha cumplido todas las obligaciones de DORA.
Artículos 13–14 de las RTS de TLPT: subsanación y atestación
Una lista práctica de comprobación antes de la contratación
Para una perspectiva de planificación artículo por artículo, lea nuestra guía sobre las normas técnicas de regulación (RTS) de DORA TLPT, que explica el reglamento definitivo, los supuestos que activan los plazos, los criterios para proveedores y los ocho anexos.
- Confirme la persona jurídica, la autoridad competente y el requisito o la notificación de TLPT.
- Identificar las funciones potencialmente críticas o importantes y asignarles sus dependencias de apoyo.
- Designe a una persona responsable del equipo de control con el mandato y la disponibilidad necesarios.
- Identificar terceros, permisos, contratos y restricciones de servicios compartidos.
- Solicite pruebas del equipo de prestación en relación con los requisitos para el proveedor y los evaluadores.
- Planifique el periodo mínimo de pruebas activas, además de la preparación y el cierre.
- Asigne responsables para los informes, las comunicaciones a las autoridades y las decisiones de corrección.
- Acordar canales seguros antes de compartir información sensible sobre la arquitectura o pruebas técnicas.
Utilice esta lista de verificación para preparar una conversación, no como sustituto del texto normativo completo ni de las instrucciones de su autoridad competente. El resumen de los requisitos de DORA y el informe ilustrativo de TLPT existentes ofrecen contexto adicional.
Planificar su ejercicio TLPT de DORA
Explore nuestros servicios de TLPT conforme a DORA y describa su organización, funciones y contexto de las autoridades en el documento de definición del alcance de TLPT. Puede adjuntar un acuerdo de confidencialidad o una solicitud de propuestas existente al ponerse en contacto con Atlant Security.
Fuentes primarias
Información general, no constituye asesoramiento jurídico. Confirme los requisitos aplicables y los acuerdos de pruebas con la autoridad competente.
Publicado por Atlant Security. Fuentes, política editorial y correcciones.
