TIBER-EU y TLPT de DORA: cómo encajan los requisitos

La decisión que le ayudará a tomar esta guía

TIBER-EU es un marco operativo; DORA y sus normas técnicas de regulación sobre TLPT establecen requisitos legales. Aplique ambos junto con las orientaciones pertinentes de la autoridad competente. Un ejercicio voluntario inspirado en TIBER no se convierte automáticamente en un TLPT de DORA reconocido.

La legislación y las directrices operativas cumplen funciones distintas

DORA y las RTS sobre TLPT establecen los requisitos legales para las pruebas avanzadas basadas en amenazas. TIBER-EU ofrece un marco práctico para organizar y realizar ejercicios de red team basados en inteligencia. Están relacionados, pero sus denominaciones no son intercambiables.

En un ejercicio DORA, el marco debe aplicarse de forma coherente con la legislación, las normas técnicas y el procedimiento de la autoridad competente. Un ejercicio voluntario inspirado en TIBER no se considera automáticamente un TLPT reconocido conforme a DORA.

Comprenda quiénes participan

Una prueba basada en amenazas implica a más personas que el equipo de pruebas y un contacto del cliente. La entidad financiera necesita un equipo de control con acceso restringido y una persona que lo dirija. Los proveedores de inteligencia de amenazas desarrollan la base de amenazas; el equipo red team ejecuta los escenarios acordados; el equipo blue team aporta la perspectiva defensiva durante el cierre.

Los responsables de pruebas de la autoridad competente tienen una función de supervisión propia. La contratación y la planificación deben explicitar estas responsabilidades, incluidos los canales de comunicación y qué participantes reciben información sensible en cada fase.

Utilice plantillas para poner de manifiesto las preguntas sin respuesta.

TIBER-EU publica orientaciones y plantillas que pueden estructurar la definición del alcance, la inteligencia sobre amenazas, las pruebas, la elaboración de informes y la subsanación. Su valor reside en las decisiones y evidencias que organizan, no en el mero uso de un título de documento conocido.

Asocie cada resultado con los requisitos de contenido de las RTS aplicables y las instrucciones de las autoridades. Una plantilla cumplimentada que omita una dependencia material o una cuestión de autorización sin resolver no soluciona el problema subyacente.

Compruebe la implementación que se aplica a su caso

Las autoridades pueden aplicar acuerdos operativos nacionales o específicos del sector. Las pruebas transfronterizas plantean cuestiones de supervisión, coordinación y reconocimiento. Resuélvalas al inicio para evitar planificar el ejercicio sobre supuestos incompatibles.

Para las entidades significativas bajo la supervisión del BCE, la guía de aplicación del BCE es una referencia oficial útil. Las demás entidades financieras deben identificar la autoridad y las directrices pertinentes, en lugar de suponer que el mismo modelo operativo se aplica en todos los casos.

Solicite la correspondencia

Una propuesta útil del proveedor explica cómo se ajustan el alcance, los escenarios, los controles de riesgos, la ejecución y el cierre a DORA, las RTS y el marco aplicable. También indica qué responsabilidades corresponden a la entidad financiera y a la autoridad.

Pida al proveedor que identifique cualquier supuesto o desviación que requiera aprobación. «Alineado con TIBER» es una descripción que debe respaldarse con un modelo de prestación comprensible; no constituye un aval regulatorio.

Elabore una correspondencia práctica de requisitos

Elabore un mapa de trabajo que vincule el requisito o paso del marco aplicable con una persona responsable, una actividad y las evidencias esperadas. Incluya las dependencias de la entidad, los proveedores y los responsables de las pruebas. El objetivo es detectar responsabilidades pendientes antes de la ejecución, no crear otro conjunto de documentos genéricos. Si una disposición nacional o sectorial modifica la forma de gestionar un paso, identifique la fuente y resuelva sus implicaciones operativas con los participantes pertinentes.

Las evaluaciones habituales del sector financiero pueden aportar información técnica útil, pero sus entregables cumplen una finalidad distinta. La comparación entre las pruebas de penetración bancarias y TLPT explica por qué un método técnico conocido no hace equivalentes los procesos de gobernanza.

Diferenciar las obligaciones del producto de las obligaciones del ejercicio

Un servicio de tecnología financiera también puede requerir trabajos de aseguramiento relacionados con versiones de aplicaciones, contratos con clientes o datos de tarjetas de pago. Describa la relación entre esas líneas de trabajo sin afirmar que un marco satisface automáticamente los requisitos de otro. Reutilice, cuando resulte útil, información precisa sobre arquitectura y responsabilidades, preservando el objetivo y los criterios de aceptación de cada evaluación. La guía de alcance sobre fintech, DORA y PCI desarrolla esta distinción para los equipos de producto.

Durante la contratación y al cierre, solicite una explicación clara de cómo se ajusta el trabajo propuesto y realizado al proceso aplicable. Documente las hipótesis relevantes, los cambios aprobados y las limitaciones de cobertura. Así, el uso de la terminología del marco puede verificarse en el expediente del encargo y se evita depender de una afirmación general de que el trabajo está «alineado» cuyo significado práctico nadie ha acordado.

Continúe con la preparación

• La metodología del encargo
• Recursos oficiales