Normas de TLPT de DORA | Artículos 26–27 y Reglamento 2025/1190

Qué implica esto para su prueba

Utilice los artículos 26 y 27 de DORA, las RTS definitivas sobre TLPT y el procedimiento aplicable de la autoridad competente como referencia regulatoria. Esta página organiza las fuentes y sus respectivas funciones. Para una guía práctica, consulte la guía de requisitos; antes de contratar, determine la posición específica de la autoridad y de la entidad.

Artículo 26 — Pruebas avanzadas

El artículo 26 establece la obligación de realizar TLPT para las entidades financieras identificadas. Aborda la frecuencia, la cobertura de funciones críticas o importantes, los sistemas de producción en vivo, la participación de terceros, los requisitos de los proveedores de pruebas, la documentación y el reconocimiento mutuo.

La entidad financiera evalúa y propone el alcance. La autoridad competente lo valida. Si se incluyen proveedores terceros de servicios de TIC, deben tenerse en cuenta su participación y las salvaguardias antes de iniciar las pruebas. La entidad sigue siendo responsable de sus obligaciones.

Artículo 27 — Requisitos de los proveedores de pruebas

La selección del proveedor debe tener en cuenta su idoneidad y reputación, sus capacidades técnicas y organizativas y su experiencia específica en inteligencia sobre amenazas, pruebas de penetración y red teaming.

El artículo también aborda la certificación por parte de un organismo de acreditación de un Estado miembro o la adhesión a códigos formales de conducta o marcos éticos, la verificación independiente o auditoría de la gestión de riesgos pertinente y el seguro de responsabilidad civil profesional. Un distintivo en un sitio web, por sí solo, no acredita la idoneidad.

Los evaluadores internos están sujetos a condiciones adicionales y a la aprobación de la autoridad competente. Las entidades significativas deben utilizar evaluadores externos conforme al artículo 26. Revise las disposiciones precisas aplicables a su entidad.

Las RTS de TLPT — Reglamento (UE) 2025/1190

Las RTS establecen requisitos detallados sobre la selección, los evaluadores internos, el alcance y el proceso de pruebas, los resultados, el cierre, la subsanación y la cooperación entre autoridades.

Entre sus implicaciones prácticas: la fase activa de pruebas de red team dura al menos 12 semanas; los informes deben incluir información específica; y el cierre incluye la participación del blue team y ejercicios de purple teaming. La planificación debe tener en cuenta todo el proceso, no solo las pruebas activas.

TIBER-EU y la implementación nacional

TIBER-EU proporciona un marco, orientaciones para los participantes y plantillas para poner en práctica las pruebas basadas en amenazas. Sirve de apoyo a las TLPT de DORA, pero no sustituye a la legislación, las RTS ni las instrucciones aplicables de las autoridades competentes.

Para las entidades significativas supervisadas por el BCE, la guía de aplicación del BCE aporta contexto operativo adicional. Los acuerdos nacionales y la cooperación transfronteriza deben aclararse al inicio.

Qué no puede determinarse a partir de esta referencia

Esta página no puede determinar su designación, aprobar su alcance ni evaluar plenamente la idoneidad de un proveedor. Esas decisiones requieren conocer la entidad concreta, las evidencias y el procedimiento de la autoridad competente. TLPT es un componente de DORA, que también abarca la gestión más amplia del riesgo de las TIC, la notificación de incidentes y el riesgo de terceros.

Continúe con quién necesita TLPT o la guía de contratación.