Qué implica esto para su prueba
Estar sujeto a DORA no significa automáticamente que una entidad haya sido seleccionada para un TLPT. Determine cuál es la autoridad competente, la decisión de selección y los requisitos aplicables antes de contratar un encargo. Las demás obligaciones de pruebas de resiliencia siguen siendo una parte independiente del programa.
La respuesta breve
No todas las entidades financieras incluidas en el ámbito de DORA deben realizar TLPT. El artículo 26 se aplica a las entidades financieras identificadas mediante el proceso de la autoridad competente, con las exclusiones previstas en dicho artículo. Las RTS sobre TLPT especifican los criterios de selección.
Ser un banco, una aseguradora, una empresa de pagos o un proveedor de servicios TIC no basta por sí solo para determinar sus obligaciones individuales. Confirme la clasificación de su entidad, los criterios aplicables y cualquier designación o notificación de su autoridad competente.
Cómo funciona la selección
DORA pide a las autoridades competentes que tengan en cuenta, entre otros factores pertinentes, el impacto de la entidad en el sector financiero, las implicaciones para la estabilidad financiera, el perfil de riesgo de las TIC y la madurez tecnológica. Las RTS añaden criterios para el proceso de identificación.
El artículo 26 excluye de esta obligación de pruebas avanzadas a las microempresas y a las entidades mencionadas en el párrafo primero del artículo 16, apartado 1. Aplique estas categorías con cuidado; la descripción comercial de una organización no constituye una clasificación jurídica.
¿Con qué frecuencia se exige un TLPT?
La frecuencia de referencia es, como mínimo, una vez cada tres años para las entidades sujetas al artículo 26. La autoridad competente puede ajustar la frecuencia en función del perfil de riesgo y de las circunstancias operativas.
La fecha de aplicación de DORA, el 17 de enero de 2025, no constituye una fecha universal para la primera prueba. La notificación y el proceso de su autoridad determinan el calendario práctico de pruebas. No deduzca que existe un plazo automático hasta el 17 de enero de 2028 para todas las entidades financieras.
Si su entidad no ha sido seleccionada
Los requisitos generales de pruebas de resiliencia operativa digital pueden seguir siendo aplicables. Las pruebas de penetración convencionales, las evaluaciones de vulnerabilidades y otros métodos de prueba pueden formar parte de ese programa, de acuerdo con DORA y el perfil de riesgo de la entidad.
Un ejercicio voluntario basado en amenazas puede resultar útil, pero deben quedar claros su estatus y su posible reconocimiento. No denomine «TLPT de DORA» a una prueba de penetración ordinaria solo porque se realice en una entidad financiera.
Qué debe comprobarse internamente
- La entidad jurídica y la autoridad competente responsable de ella
- Cualquier notificación de selección, comunicación de supervisión o ventana de pruebas prevista.
- Las funciones críticas o importantes que probablemente se incluyan en el alcance.
- Ejercicios TIBER o TLPT anteriores y documentación pertinente de reconocimiento.
- ¿Quién dirigirá el equipo de control y la coordinación regulatoria?
Utilice la lista de preparación para organizar la información y, después, hable sobre el alcance de su TLPT.
Fuentes primarias
Información general, no constituye asesoramiento jurídico. Confirme los requisitos aplicables y los acuerdos de pruebas con la autoridad competente.
