Cómo comparar propuestas de forma justa
Pida a cada proveedor que presupueste las mismas funciones críticas, escenarios de amenazas y dependencias de sistemas en producción, y que explique sus supuestos sobre roles, accesos, entornos y ventanas de prueba. Solicite evidencias pertinentes sobre la experiencia del equipo de ejecución y un ejemplo de informe. Compare el trabajo de pruebas y repetición de pruebas propuesto antes de comparar las tarifas diarias; el importe más bajo puede corresponder a un encargo distinto.
Empiece por el equipo que realmente prestará el servicio
Evalúe al proveedor y a las personas identificadas por su nombre que realizarán el trabajo. El material comercial de una empresa no demuestra la disponibilidad, idoneidad ni independencia del equipo propuesto para sus pruebas.
Solicite las pruebas exigidas por el artículo 27 de DORA, las RTS y las expectativas de contratación de su autoridad competente. Acuerde el procedimiento para las sustituciones y la subcontratación antes de que comiencen los trabajos.
Preguntas para su documentación de diligencia debida
- Experiencia: ¿qué experiencia pertinente en inteligencia de amenazas, pruebas de penetración y ejercicios de red team puede acreditar el equipo propuesto?
- Adecuación: ¿Cómo se evalúan la reputación, las referencias y los posibles conflictos de intereses?
- Marco ético: ¿en qué acreditación, certificación o código de conducta formal aplicable se basa?
- Garantía independiente: ¿Qué garantías o evidencias de auditoría respaldan la gestión de los riesgos del TLPT y de la información confidencial?
- Seguro: ¿La cobertura de responsabilidad civil profesional incluye las actividades propuestas y los riesgos asociados?
- Tratamiento de los datos: ¿dónde se tratarán las evidencias, quién podrá acceder a ellas y cómo se conservarán y eliminarán?
- Continuidad del servicio: ¿cómo se gestionan los recursos asignados, la cobertura de escalado y las dependencias del proveedor?
Comparar propuestas con las mismas hipótesis
Facilite un briefing común que incluya las entidades jurídicas, la autoridad competente, las posibles funciones críticas, las dependencias geográficas y de TIC, el calendario previsto y la gobernanza. Exija que las propuestas identifiquen las incógnitas en lugar de ocultarlas tras un compromiso cerrado.
| Elemento contractual | Qué debe aclararse |
|---|---|
| Alcance y autorización | Funciones, sistemas, permisos legales, exclusiones y proceso de validación. |
| Controles de riesgo | Condiciones de parada, gestión de incidentes, coordinación con proveedores y asignación de responsabilidades. |
| Resultados | Informes, plantillas, público destinatario, responsables y transferencia segura. |
| Recursos | Funciones designadas, experiencia, disponibilidad, sustituciones y subcontratación. |
| Condiciones comerciales | Supuestos, tarifas, cambios, retrasos y posibles nuevas pruebas por fase. |
Hable sobre un encargo con Atlant Security
Este sitio presenta un servicio de TLPT conforme a DORA. No publica afirmaciones no verificadas sobre acreditaciones, seguros ni aprobación de las autoridades supervisoras. El equipo propuesto, las pruebas de capacidad, las responsabilidades de ejecución y las condiciones contractuales deben evaluarse durante la definición del alcance y la contratación.
Inicie una conversación sobre contratación con datos no sensibles. Establezca un canal confidencial antes de intercambiar documentación de diligencia debida o información sobre sistemas.
Fuentes primarias
- DORA · Reglamento (UE) 2022/2554
- RTS sobre TLPT · Reglamento Delegado (UE) 2025/1190
- BCE · Marco y directrices de TIBER-EU
Información general, no constituye asesoramiento jurídico. Confirme los requisitos aplicables y los acuerdos de pruebas con la autoridad competente.
Prepare un documento antes de la reunión para definir el alcance
Convierta una notificación a la autoridad o una conversación preliminar de planificación en un informe inicial útil. Identifique las funciones y dependencias que deben aclararse antes de acordar el alcance de un TLPT.
Utilice el generador gratuito de documentos de alcance para TLPT de DORA para registrar objetivos, áreas de evaluación, limitaciones y preferencias sobre el NDA. Revise el alcance propuesto y envíelo directamente a Atlant Security a través del formulario de contacto.
