RTS de TLPT de DORA: requisitos y plazos de 2025/1190

La decisión que le ayudará a tomar esta guía

Las normas técnicas de regulación (RTS) definitivas sobre TLPT convierten la obligación de DORA en un proceso de ejecución específico. Empiece por separar los plazos de preparación, pruebas activas y cierre; después, asigne las decisiones y pruebas documentales requeridas a responsables concretos. Esta guía se basa en el Reglamento (UE) 2025/1190 y no trata un borrador anterior como si fuera la norma vigente.

¿Qué son las normas técnicas de regulación (RTS) de TLPT de DORA?

Las RTS de TLPT de DORA son el Reglamento Delegado (UE) 2025/1190 de la Comisión. Este Reglamento desarrolla la obligación de DORA de realizar pruebas de penetración avanzadas basadas en amenazas mediante un proceso detallado: qué entidades financieras se seleccionan, cómo se gobierna y delimita una prueba, qué deben demostrar los proveedores, cómo se llevan a cabo las pruebas y qué evidencias se aportan después.

Para un CISO, un responsable de equipo de control o una persona responsable de compras, el reto práctico consiste en integrar estos requisitos en un único programa viable. Un excelente informe técnico no puede compensar la falta de autorizaciones de las autoridades, un alcance insuficientemente justificado o un proceso de cierre que nunca se planificó. Del mismo modo, un conjunto completo de documentos sirve de poco si no explica qué ocurrió con las funciones críticas sometidas a prueba.

Esta guía se basa en las RTS definitivas y distingue los requisitos legales de nuestras sugerencias prácticas de planificación. Para obtener una visión general del encargo, visite la página de inicio de nuestros servicios de TLPT conforme a DORA. Si prefiere una introducción más breve, consulte la guía de requisitos de TLPT de DORA.

Fuentes: RTS definitivas sobre TLPT, incluido el artículo 17; artículo 26 de DORA. Las dos fotografías son ilustraciones generadas por IA, no registros de un encargo de cliente.

DORA, las RTS sobre TLPT y TIBER-EU: ¿qué prevalece?

DORA es el reglamento marco. Los artículos 26 y 27 abordan las pruebas avanzadas y los requisitos aplicables a los evaluadores. Las RTS sobre TLPT añaden las normas detalladas establecidas en virtud de ese mandato. TIBER-EU proporciona un marco operativo consolidado y orientaciones complementarias para las pruebas de red team basadas en inteligencia.

El BCE actualizó TIBER-EU en 2025 para adaptarlo a DORA. Su guía de aplicación para entidades significativas distingue expresamente entre la legislación vinculante y el marco utilizado para aplicarla. La guía se refiere al procedimiento del BCE para las entidades significativas identificadas; no debe presentarse como el procedimiento de la autoridad competente aplicable a todas las entidades financieras de Europa.

En el proceso de contratación, exija que la propuesta identifique los tres niveles: los requisitos legales, el procedimiento de la autoridad competente y el método de prestación. «TIBER-style» no es un estado de aprobación. Un ejercicio voluntario de equipo rojo, aunque sea riguroso, no obtiene automáticamente el reconocimiento como TLPT de DORA exigido a la entidad.

Referencias oficiales útiles: el anuncio del BCE sobre el marco TIBER-EU actualizado, la biblioteca del marco y las directrices TIBER-EU y la guía de implementación de TIBER-EU en el MUS.

¿Quién debe realizar TLPT conforme a las RTS?

El artículo 2 combina criterios de selección con una evaluación por parte de la autoridad del impacto, la importancia sistémica y el riesgo de TIC. La población comprendida no se define mediante un número universal de empleados, un umbral genérico de ingresos ni por el mero hecho de que una empresa comercialice un producto financiero. Tampoco quedar por debajo de un único umbral numérico resuelve todas las cuestiones de aplicabilidad.

Las RTS contemplan categorías como las entidades de crédito de importancia sistémica, las entidades cualificadas de pago y de dinero electrónico, los depositarios centrales de valores, las entidades de contrapartida central, determinados centros de negociación electrónica y las empresas de seguros o reaseguros que cumplan los requisitos. Las condiciones detalladas varían según la categoría. Además, las autoridades tienen competencias dentro del marco de selección que hacen poco fiable una calculadora en línea de respuestas simples de sí o no.

Considere estos ejemplos como puntos de partida para revisar la aplicabilidad, no como una determinación completa. Registre la persona jurídica, el perímetro de supervisión, la notificación pertinente, la autoridad principal y cualquier acuerdo a nivel de grupo. No dé por supuesto que una instrucción dirigida a una empresa del grupo se aplica a todas las filiales o plataformas compartidas.

Criterios de selección: artículo 2 de las RTS sobre TLPT.

Nuestra guía sobre quién necesita un TLPT ayuda a organizar las preguntas iniciales. Confirme la conclusión a través del procedimiento de la autoridad competente antes de comprometerse con una fecha de ejecución.

Roles, confidencialidad y toma de decisiones

El artículo 3 exige que la autoridad designe a un responsable de pruebas y al menos un suplente. El artículo 4 exige que la entidad financiera nombre a una persona responsable del equipo de control y establezca salvaguardias organizativas. Esta persona necesita el mandato para tomar decisiones oportunas; la función no puede limitarse a gestionar el calendario.

La confidencialidad es importante porque la prueba examina la respuesta defensiva real. Limite la información sobre las pruebas previstas y en curso a las personas pertinentes que necesiten conocerla. Acuerde cómo se informa al equipo de control de las detecciones sin revelar innecesariamente el ejercicio, y cómo se comunica con los responsables de las pruebas antes de involucrar al equipo azul. Utilice de forma coherente el nombre en clave acordado y canales seguros.

Un paquete práctico de gobernanza debe identificar quién puede aprobar una adaptación, pausar la actividad, involucrar a un proveedor de servicios de TIC, gestionar un incidente real y autorizar la reanudación. Designe suplentes y contactos fuera del horario laboral. Cuando una decisión afecte al alcance o al plan de pruebas, siga la vía de aprobación de las NTR en lugar de confiar en una conversación informal entre los equipos de ejecución.

• Órgano de dirección: apruebe la especificación del alcance y asigne recursos a las responsabilidades de la entidad.
• Equipo de control: mantener la visión de riesgos, la confidencialidad y las decisiones durante toda la prueba.
• Responsables de pruebas de la autoridad: supervisan el cumplimiento y participan en el proceso de aprobación definido.
• Proveedor de inteligencia sobre amenazas: desarrollar inteligencia específica para la entidad y estar disponible durante las pruebas.
• Equipos rojo y azul: aportan evidencias complementarias de la actividad ofensiva y la respuesta defensiva.

Requisitos organizativos: artículo 4 de las RTS sobre TLPT.

Consulte cómo organizar el equipo de control del TLPT para obtener más detalles sobre la preparación.

Plazos de las RTS sobre TLPT de DORA: no confunda los cómputos

Los dos últimos plazos suelen interpretarse mal. El punto de partida es la notificación de la autoridad de que ha evaluado los informes del equipo rojo y del equipo azul para comprobar que incluyen el contenido exigido en los anexos. No coincide automáticamente con el último día de las operaciones del equipo rojo. Conserve la propia notificación en el expediente del proyecto para que la fecha pueda auditarse.

El plazo de seis meses para definir el alcance no significa que deba esperar seis meses antes de actuar. La contratación de proveedores, el mapeo de dependencias, la aprobación de la dirección y los permisos de terceros pueden convertirse en factores limitantes. Planifique hacia atrás desde las fechas de entrega requeridas y reserve tiempo para consultas y revisiones. Las RTS no convierten todo el encargo en un paquete fijo de doce semanas.

Requisitos de cierre: artículo 12 de las RTS sobre TLPT.

Para obtener información útil para la planificación, consulte nuestra guía sobre el calendario de TLPT.

Definir el alcance: empezar por las funciones y seguir las dependencias

El artículo 26 de DORA exige probar varias o todas las funciones críticas o importantes en los sistemas de producción en vivo que las sustentan. El artículo 9 y el anexo II de las RTS concretan la especificación del alcance. El documento enumera las funciones críticas o importantes identificadas por la entidad y explica su inclusión o exclusión. Para las funciones incluidas, identifica los sistemas de TIC que las sustentan, la externalización, las jurisdicciones y las indicaciones preliminares.

Un indicador es un objetivo de prueba acordado y vinculado a un aspecto de seguridad, como la confidencialidad, la integridad, la autenticidad o la disponibilidad. Debe permitir comprender qué prueba se pretende obtener. «Comprometer el banco» es demasiado impreciso para regir la actividad de forma segura; un objetivo definido asociado a un servicio de negocio concreto ofrece al equipo algo que evaluar y al equipo de control algo que autorizar.

Para una función de pago ilustrativa, trace el canal del cliente, la capa de identidad, el flujo de aprobación, el procesamiento de transacciones, las operaciones privilegiadas y la conectividad externa. Identifique quién es responsable de cada dependencia y qué acuerdos con proveedores afectan a las pruebas. Distinga entre un componente probado directamente y una dependencia documentada pero sujeta a una limitación acordada. No presente esta última como probada sin indicarlo.

Mantenga un registro de las decisiones sobre el alcance. Cada entrada puede recoger la función, los sistemas, el motivo de su inclusión, el responsable, los terceros, las dependencias geográficas, las marcas propuestas y los permisos pendientes. Es un formato de trabajo práctico, no un sustituto del anexo II ni de la plantilla de la autoridad competente. Facilita la revisión de los cambios cuando la información o los hallazgos técnicos modifican el enfoque propuesto.

Preparación y aprobación del alcance: artículo 9 de las RTS sobre TLPT.

Relacionado: definición del alcance de un TLPT de DORA y lista de verificación de preparación para TLPT.

Requisitos para los proveedores: qué exige realmente el artículo 7

La diligencia debida del proveedor debe evaluar al personal asignado a la prueba y las evidencias que respaldan la propuesta. El artículo 7 complementa el artículo 27 de DORA con requisitos específicos para el proveedor de inteligencia sobre amenazas y los equipos externos de pruebas. Un logotipo de certificación en un sitio web no constituye una evaluación completa.

Pida al proveedor que vincule las evidencias con cada apartado pertinente, en lugar de afirmar sin más que «cumple con las RTS». Verifique la disponibilidad durante el periodo exigido, los controles aplicables al personal sustituto, las responsabilidades relativas a los informes y la interacción prevista con los responsables de pruebas de la autoridad. Las referencias y la experiencia son cuestiones distintas: la trayectoria histórica de una empresa no demuestra que el equipo designado cumpla los requisitos de dotación de personal.

El artículo 7 contempla circunstancias excepcionales que permiten apartarse de determinados criterios, siempre que se adopten medidas de mitigación adecuadas y se deje constancia de ellas. No lo considere un atajo habitual en la contratación ni se conceda una exención general. Someta cualquier excepción prevista al procedimiento de la autoridad y documente los motivos antes de confirmar los nombramientos.

Requisitos para la selección del proveedor: artículo 7 de las RTS sobre TLPT.

Utilice nuestra guía de contratación y nuestra explicación de los requisitos para los probadores del artículo 27 de DORA para estructurar sus preguntas. Este artículo describe criterios de evaluación; no formula afirmaciones no verificadas sobre las credenciales de ningún proveedor.

Evaluadores internos, evaluadores externos y equipos del grupo

Las pruebas internas son una opción sujeta a control, no un derecho general. DORA establece las condiciones relativas a la aprobación de la autoridad competente, la separación, los recursos y la prevención de conflictos de intereses. Cuando se emplean evaluadores internos, exige inteligencia sobre amenazas externa y evaluadores externos al menos en una de cada tres pruebas. Las entidades de crédito significativas sujetas al Mecanismo Único de Supervisión deben utilizar evaluadores externos.

El artículo 15 de las RTS añade requisitos para los acuerdos de pruebas internas. Los probadores empleados por un proveedor de servicios TIC intragrupo se consideran probadores internos. El reglamento también aborda la comunicación del uso de probadores internos en la información de inicio, el informe del equipo rojo y el informe resumido. Un equipo no pasa a ser externo por el mero hecho de pertenecer a otra empresa del grupo.

A efectos de planificación, separe la capacidad de la independencia. Un equipo rojo interno con gran capacidad técnica puede tener responsabilidades incompatibles o ser necesario para tareas defensivas esenciales. Documente cómo se evitará que el ejercicio debilite las operaciones de seguridad habituales de la entidad. Si se combinan evaluadores internos y externos, revise el tratamiento aplicable a los evaluadores internos en lugar de dar por hecho que la presencia de los externos elimina esos requisitos.

Fuentes: artículo 26 de DORA, artículo 27 y artículo 15 de las RTS.

Inteligencia sobre amenazas y las tres dimensiones del escenario

El artículo 10 exige inteligencia dirigida una vez que la autoridad haya aprobado el alcance. La inteligencia sectorial es un elemento de partida, pero el resultado debe centrarse en la entidad concreta: su información expuesta, los perfiles de amenaza pertinentes, sus dependencias y las vías de ataque plausibles. Un catálogo genérico de las ciberamenazas actuales no basta como base para un TLPT adaptado a la entidad.

El anexo III exige al menos tres escenarios de amenazas de principio a fin para los perfiles de amenazas pertinentes de mayor gravedad, que cubran la disponibilidad, la integridad de los datos y la confidencialidad de la información. Cada escenario puede abarcar más de una dimensión de seguridad. Estos requisitos no autorizan demostraciones destructivas; los controles de riesgo determinan cómo se persigue un objetivo y cómo se aportan evidencias.

Pregunte para cada escenario: ¿por qué este actor de amenazas o perfil, por qué esta función, por qué esta ruta y qué observación haría que el resultado fuese útil? A continuación, siga la hipótesis de inteligencia hasta el plan de pruebas del equipo rojo. Si durante las pruebas se demuestra que una hipótesis era incorrecta, registre el cambio y la aprobación aplicable en lugar de sustituirla discretamente por un ataque más conveniente.

Una fila práctica de trazabilidad puede incluir la referencia de inteligencia, la función, el escenario, la marca de planificación, las técnicas permitidas, las restricciones de riesgo, las evidencias de ejecución y el resultado final. Incluya un espacio para explicar la incertidumbre. La inteligencia puede indicar que una vía es plausible; no demuestra de antemano que el objetivo sea vulnerable.

Fase de inteligencia sobre amenazas y anexo III: artículo 10 de las RTS sobre TLPT.

Pruebas activas, controles de riesgo y accesos adicionales

El artículo 11 exige el plan de pruebas del equipo rojo y las aprobaciones pertinentes antes de iniciar la ejecución activa. El anexo IV aborda la comunicación, las técnicas permitidas y prohibidas, los límites éticos de la ingeniería social, las medidas de riesgo y los demás elementos exigidos del plan. Durante las pruebas activas, se deben comunicar los avances al equipo de control y a los responsables de las pruebas al menos semanalmente.

Un apoyo controlado (leg-up) permite explorar fases posteriores cuando, de otro modo, el escenario no podría avanzar según lo previsto. No demuestra que la fase anterior haya tenido éxito. Si se facilita acceso para continuar un escenario, el informe final debe distinguir esa ayuda del acceso obtenido realmente mediante las pruebas. Así, las conclusiones siguen siendo útiles para la dirección y los equipos defensivos.

El equipo de control debe mantener actualizada la evaluación del riesgo operacional. El artículo 5 contempla expresamente los riesgos derivados de la actividad tanto del equipo rojo como del equipo azul, la escalada de incidentes y una restauración incompleta. Una reacción defensiva también puede causar interrupciones. Acuerden cómo distinguir los incidentes reales de los eventos de prueba, qué contactos pueden detener la actividad y cómo se documenta la limpieza posterior.

El artículo 11 permite suspender el ejercicio en circunstancias de riesgo excepcionales y, como último recurso y previa validación de la autoridad competente, continuar con una actividad limitada de purple teaming cuando no sea posible proseguir de otro modo. Este ejercicio limitado cuenta para el mínimo establecido de la fase activa. Es una excepción sujeta a gobernanza, no una justificación general para vender un taller como doce semanas de pruebas activas.

Pruebas activas, adaptación y medidas excepcionales: artículo 11 de las RTS sobre TLPT.

Nuestra guía sobre la metodología TLPT explica cómo se integran la gobernanza y la ejecución técnica.

Terceros, pruebas agrupadas y pruebas conjuntas

La externalización no elimina la responsabilidad sobre la función. Si el alcance incluye a un proveedor de servicios TIC, determine cómo participará, cómo se establecerá la comunicación con la autoridad competente, a qué entornos se podrá acceder y cómo se evitarán impactos en otros clientes. Resuelva estas cuestiones antes de que el calendario de ejecución dependa de ellas.

Las pruebas TLPT agrupadas y conjuntas requieren una coordinación específica. Los artículos 6 y 8 abordan la gestión de riesgos y las particularidades procedimentales, mientras que el artículo 16 regula la cooperación entre autoridades. Por lo general, cada entidad participante sigue los pasos definidos, salvo que la autoridad principal decida otra cosa. El equipo de control de cada entidad financiera realiza su propia evaluación de riesgos; un plan de proyecto común no elimina los riesgos específicos de cada entidad.

Para una plataforma compartida, una matriz de planificación útil relaciona cada entidad jurídica con sus funciones críticas, sistemas de soporte, contactos de proveedores, jurisdicciones, responsabilidades de aprobación y evidencias previstas. Destaque qué hallazgos son comunes y qué conclusiones solo pueden extraerse para una entidad concreta. Evite que un informe de todo el grupo formule afirmaciones más amplias de lo que permite el alcance probado.

Fuentes: artículo 26 de DORA y artículo 16 de las RTS. Orientación relacionada: proveedores externos en las pruebas TLPT.

Los ocho anexos de las RTS: guía de documentos

Utilice los anexos como matriz de control de contenidos, no como ocho plantillas vacías que se rellenan al final. Asigne a cada documento una persona responsable, una revisora, el desencadenante de la fecha límite y el estado de aprobación. Acuerde la ubicación de almacenamiento segura y las normas de gestión documental antes de iniciar la recopilación de información. Registre las versiones para poder seguir los cambios de alcance en el plan de pruebas y en los informes.

En particular, concilie las marcas y los escenarios del informe de inteligencia sobre amenazas, el plan de pruebas, el informe del equipo rojo y el resumen. Tanto los objetivos alcanzados como los no alcanzados son relevantes. Mantenga la distinción entre un control que resistió la acción probada, una acción que no se intentó por motivos de seguridad y una acción que falló porque faltaba un requisito previo.

Fuente: anexos I–VIII de las RTS. Nuestra descripción general de los entregables y el informe ficticio de muestra sobre TLPT de DORA muestran el contexto de elaboración de informes. Un informe de muestra no sustituye al expediente completo que debe presentarse a la autoridad competente.

Cierre: informe del equipo rojo, informe del equipo azul, reproducción y colaboración Purple Team

El cierre comienza cuando el responsable del equipo de control informa al equipo azul de que se ha realizado un TLPT. El informe del equipo rojo documenta las acciones ofensivas. A continuación, el equipo azul expone la perspectiva defensiva. El objetivo es conciliar ambas perspectivas sobre la misma actividad, incluidas las diferencias entre la telemetría disponible, la detección efectiva y las decisiones adoptadas.

La reproducción y el purple teaming deben generar aprendizajes concretos. Seleccione eventos en los que hubiera diferencias entre las expectativas y lo ocurrido: una acción simulada que no generó una alerta útil, una alerta sin contexto suficiente para el triaje o una escalación que llegó al responsable equivocado. Explique qué parte de la cadena debe cambiarse. Una conclusión titulada «El SOC no detectó el ataque» resulta menos práctica que una descripción fundamentada del evento, la correlación o la decisión de respuesta que faltó.

Distinga el ejercicio de purple teaming de cierre del purple teaming limitado y excepcional permitido durante las pruebas activas. Cumplen funciones distintas en las RTS. Planifique el trabajo de cierre requerido durante la contratación, incluido el acceso a los equipos defensivos adecuados y tiempo suficiente para conciliar las cronologías. No dé por hecho que se trata de un extra opcional una vez que el equipo rojo se haya marchado.

Mantenga los detalles sensibles en los registros controlados adecuados. El artículo 12 permite que la autoridad pertinente solicite información sensible incluida en los informes. Un resumen para la dirección debe comunicar las consecuencias y las decisiones necesarias sin convertirse en un canal de difusión sin control de detalles operativos del ataque.

Cierre e informes: artículo 12 de las RTS sobre TLPT.

Para ampliar información: elaboración de informes TLPT y remediación.

Remediación y confirmación: evidencias tras el ejercicio

El artículo 13 exige que el plan aborde cada hallazgo: la deficiencia, las medidas propuestas, la prioridad y la fecha prevista de finalización, la causa raíz, el personal o las funciones responsables y los riesgos de no aplicar las medidas o, cuando corresponda, de aplicarlas. No convierta un fallo transversal en una lista de correcciones inconexas solo porque resulte fácil contar los tickets de cada parche.

Considere una debilidad ilustrativa en los controles de identidad que afecta a varios sistemas. La acción inmediata podría consistir en restringir un permiso, pero la causa subyacente podría ser una laguna de responsabilidad en el ciclo de vida de los accesos. Un plan útil registra ambos aspectos, asigna a los responsables adecuados y define una condición de cierre observable. De lo contrario, el mismo problema podría reaparecer en otro sistema antes del siguiente TLPT.

Repetir las pruebas y revisar las evidencias son formas prácticas de distinguir entre «cambio implementado» y «reducción del riesgo demostrada». Vincule las evidencias de aceptación con el hallazgo original y la limitación acordada. Si una medida aún no puede completarse, documente la decisión, las medidas compensatorias y la exposición restante mediante el proceso de gobernanza de la entidad.

La atestación conforme al artículo 26, apartado 7, de DORA, al artículo 14 del RTS y al anexo VIII respalda el reconocimiento mutuo del TLPT. Se emite a través del procedimiento de la autoridad. Un proveedor no puede sustituirla simplemente por un distintivo genérico de «certificado en DORA». La atestación tampoco afirma que la organización carezca de vulnerabilidades ni que haya cumplido todos los aspectos de DORA.

Requisitos del plan de subsanación: artículo 13 de las RTS sobre TLPT.

Requisitos de la declaración: artículo 14 de las RTS sobre TLPT.

Un plan práctico de preparación de 30 días

La siguiente propuesta de movilización interna no constituye un nuevo plazo reglamentario ni afirma que un TLPT pueda completarse en treinta días. Su objetivo es convertir una obligación en un proceso controlado de contratación y preparación antes de iniciar la actividad técnica.

Presupueste el programa completo. Pida que las propuestas desglosen el trabajo de inteligencia, las pruebas activas, el apoyo al equipo de control, la coordinación con terceros, la elaboración de informes, la repetición de escenarios, las actividades de Purple Team y el apoyo a la remediación. No existe una tarifa universal de RTS. Un precio aparentemente atractivo que excluya trabajos obligatorios puede provocar costosos cambios de alcance más adelante.

Utilice el generador de documentos de alcance para DORA TLPT para organizar información general de cara a una conversación. No incluya credenciales, diagramas sensibles ni datos de clientes en un formulario inicial. Adjunte un NDA o una RFP existente a través del proceso de contacto antes de compartir material detallado.

Errores frecuentes en la planificación de las NTR y cómo evitarlos

Antes de firmar el pliego de trabajo, plantee una última pregunta: ¿puede vincularse cada resultado requerido a un responsable identificado, una vía de aprobación y una fecha que lo active? Si la respuesta es no, el alcance comercial aún no es lo bastante específico para gestionarlo con confianza.

RTS sobre TLPT de DORA: preguntas frecuentes

¿Qué son las normas técnicas de regulación (RTS) de TLPT de DORA?

Se trata del Reglamento Delegado (UE) 2025/1190 de la Comisión. Complementa DORA con normas sobre la selección de entidades para TLPT, la organización y realización de pruebas, la elección de proveedores, la presentación de informes, la subsanación, la certificación y la cooperación entre autoridades.

¿Las RTS de TLPT de DORA son definitivas o siguen siendo un borrador?

El Reglamento definitivo se publicó en el Diario Oficial el 18 de junio de 2025 y entró en vigor el 8 de julio de 2025. Debe utilizarse el texto adoptado, sin considerar vinculante la consulta anterior ni el proyecto final.

¿Todas las entidades reguladas por DORA necesitan un TLPT?

No. El TLPT avanzado se aplica a las entidades financieras identificadas mediante el proceso de selección pertinente de DORA y las RTS. Las obligaciones más amplias de DORA en materia de pruebas de resiliencia operativa digital son independientes. Confirme su situación con la autoridad competente.

¿El mínimo de 12 semanas cubre todo el proyecto?

No. El artículo 11, apartado 5, de las RTS establece un mínimo de 12 semanas para las pruebas activas de red team. La preparación, la inteligencia sobre amenazas, la elaboración de informes, la repetición de pruebas, el purple teaming y las interacciones con las autoridades requieren tiempo adicional.

¿Cuándo deben entregarse el resumen del TLPT y el plan de corrección?

Ambos tienen un plazo de ocho semanas vinculado a la notificación de la autoridad descrita en el artículo 12, apartado 7, relativa a su evaluación de los informes de los equipos rojo y azul. No se deben contar automáticamente esas ocho semanas desde el final de las pruebas activas.

¿Puede una prueba de penetración ordinaria sustituir a una TLPT de DORA?

Una prueba de penetración ordinaria no es automáticamente un TLPT de DORA. Deben cumplirse la participación exigida de las autoridades, el alcance, la inteligencia, el proceso de pruebas, las evidencias de cierre y otras condiciones. La denominación utilizada por un proveedor no acredita el reconocimiento normativo.

¿Puede un mismo proveedor ofrecer inteligencia sobre amenazas y ejercicios de red team?

Las RTS contemplan proveedores pertenecientes a una misma empresa, pero el personal asignado a inteligencia de amenazas debe estar separado del personal que proporciona evaluadores externos para la misma TLPT y no depender jerárquicamente de este. Siguen siendo aplicables otros requisitos de independencia y gestión de conflictos de intereses.

¿Significa una atestación TLPT que la organización cumple plenamente con DORA?

No. La atestación de la autoridad se refiere al TLPT y facilita el reconocimiento mutuo. No es un certificado universal de cumplimiento de DORA, una declaración de ausencia de problemas ni una garantía de que se hayan eliminado todas las debilidades.

Planifique un ejercicio TLPT de DORA con Atlant Security

El servicio TLPT de DORA de Atlant Security centra la conversación en sus funciones críticas, el contexto de las autoridades, las limitaciones operativas y las evidencias necesarias. Empiece por la persona jurídica, el estado de la notificación, las funciones candidatas, las dependencias de terceros y el plazo previsto. Estos datos permiten mantener una conversación útil sobre el alcance antes de preparar una propuesta.

Explore la página principal de TLPT DORA, prepare un documento de definición del alcance o envíe su solicitud de propuestas o acuerdo de confidencialidad. Si primero desea examinar el estilo de un entregable técnico, solicite el informe de muestra de TLPT DORA; el enlace de descarga se enviará por correo electrónico.