Las cuestiones que deben resolverse antes de solicitar un presupuesto
El coste y la duración del TLPT de DORA dependen de los sistemas objetivo, las funciones, los flujos de trabajo, las condiciones de acceso y los requisitos de elaboración de informes. El número de sistemas por sí solo no permite determinar el esfuerzo. Utilice las preguntas siguientes para preparar el alcance e identificar los supuestos que debe abordar una propuesta.
Preguntas antes de contratar
¿Qué son las pruebas de penetración basadas en amenazas?
Una TLPT es una prueba controlada e informada por inteligencia que utiliza escenarios realistas de adversarios contra los sistemas críticos de producción en activo de una entidad financiera. Examina a las personas, los procesos y la tecnología, incluida la prevención, la detección y la respuesta.
¿Todas las organizaciones comprendidas en el ámbito de DORA necesitan un TLPT?
No. La obligación de realizar pruebas avanzadas se aplica a las entidades financieras identificadas, con arreglo al artículo 26 y a los criterios de selección de las RTS del TLPT. Las obligaciones generales de pruebas de DORA son más amplias. Confirme su situación con la autoridad competente.
¿Con qué frecuencia se exige un TLPT de DORA?
El artículo 26 establece, como referencia, una frecuencia mínima de una vez cada tres años para las entidades identificadas. La autoridad competente puede ajustar la frecuencia. Esto no crea un plazo universal para la primera prueba.
¿Cuánto dura un TLPT?
La fase activa de pruebas del equipo rojo dura al menos 12 semanas, conforme al artículo 11, apartado 5, de las RTS. La preparación, la inteligencia sobre amenazas, la elaboración de informes, el cierre y la planificación de medidas correctivas requieren tiempo adicional. El calendario realista se elabora teniendo en cuenta el alcance y el procedimiento de la autoridad competente.
¿Puede una prueba de penetración ordinaria cumplir los requisitos de una TLPT?
Una prueba de penetración ordinaria no cumple automáticamente los requisitos de TLPT. TLPT añade inteligencia sobre amenazas dirigida, alcance de funciones críticas, gobernanza, escenarios de adversario controlados, participación de las autoridades y requisitos específicos de cierre.
¿Es TIBER-EU lo mismo que DORA?
No. DORA y las RTS del TLPT establecen requisitos legales. TIBER-EU es un marco operativo con orientaciones y plantillas que puede ayudar a aplicarlos. Los requisitos de la autoridad competente siguen rigiendo el encargo.
¿Se realizarán las pruebas en producción?
La TLPT de DORA abarca los sistemas de producción en vivo pertinentes que sustentan las funciones incluidas en el alcance. La prueba requiere autorización expresa, controles de riesgo, restricciones acordadas y procedimientos de escalado. Un ejercicio realizado únicamente en un entorno de preproducción no debe presentarse como equivalente sin el acuerdo de la autoridad competente.
¿Da lugar un TLPT a un certificado de cumplimiento de DORA?
No. Un proveedor no certifica el cumplimiento de todas las obligaciones de DORA mediante una sola prueba. El proceso de la autoridad competente puede emitir una atestación relativa al TLPT, también a efectos de reconocimiento mutuo. La entidad sigue siendo responsable del cumplimiento general y de la corrección de deficiencias.
¿De qué depende el precio?
El alcance, las entidades y funciones, los proveedores pertinentes, los escenarios, los recursos de prestación, la elaboración de informes y las tareas de cierre influyen en el precio. La propuesta acordada debe detallar las hipótesis, lo incluido y el control de cambios.
¿Qué debemos incluir en una consulta inicial?
Su organización, un contacto profesional, si ha recibido una notificación de la autoridad competente, una descripción general del posible alcance y un plazo orientativo. No envíe credenciales, diagramas de red, vulnerabilidades ni información sensible de producción.
Fuentes primarias
- DORA · Reglamento (UE) 2022/2554
- RTS sobre TLPT · Reglamento Delegado (UE) 2025/1190
- BCE · Marco y directrices de TIBER-EU
Información general, no constituye asesoramiento jurídico. Confirme los requisitos aplicables y los acuerdos de pruebas con la autoridad competente.
