Articolo 27 del DORA: quali evidenze devono fornire i tester TLPT?

La decisione che questa guida vi aiuta a prendere

Valutate le persone e gli accordi di erogazione rispetto all’articolo 27, non soltanto la presentazione del fornitore. Richiedete evidenze di idoneità, competenze pertinenti, quadri etici, indipendenza e garanzie sul rischio. Rivalutate le evidenze se cambiano il team o l’accordo di subappalto.

Una descrizione della metodologia non equivale a una due diligence

L’articolo 27 del DORA stabilisce i requisiti per i tester incaricati di svolgere il TLPT. In fase di acquisto è opportuno ottenere evidenze rispetto a tali requisiti e valutare le modalità effettive di erogazione. Un badge, una dichiarazione generica di esperienza o un riferimento a TIBER-EU non sono sostitutivi.

La valutazione deve riguardare l’organizzazione e le persone indicate per nome e proposte per svolgere il lavoro. Assicuratevi che le evidenze restino pertinenti se il fornitore cambia il proprio team o introduce un subappaltatore.

Idoneità e competenze specifiche

L’articolo 27 riguarda l’idoneità e la reputazione, le capacità tecniche e organizzative e le competenze specifiche in threat intelligence, penetration test e test red team. Chiedete in che modo tali competenze corrispondano ai ruoli e agli scenari proposti.

L’esperienza pertinente dovrebbe essere descritta con un livello di dettaglio adeguato, senza violare la riservatezza di altri clienti. Il team acquisti può concordare un canale sicuro per referenze, documentazione di supporto e informazioni sul team, invece di affidarsi esclusivamente alle pagine di marketing pubbliche.

Certificazioni e quadri etici

La disposizione giuridica fa riferimento alla certificazione da parte di un organismo di accreditamento in uno Stato membro oppure all’adesione a codici di condotta o quadri etici formali. Non riduca questa formulazione all’affermazione che un particolare certificato commerciale sia universalmente obbligatorio o sufficiente.

Chiedete a quale base si affida il fornitore, cosa copre e come si applica al lavoro. Le qualifiche personali possono costituire prove pertinenti delle competenze, ma non soddisfano automaticamente tutti i requisiti organizzativi.

Presidi del rischio e copertura assicurativa

Le attestazioni indipendenti o le evidenze di audit devono riguardare la corretta gestione dei rischi associati al TLPT, compresa la protezione delle informazioni riservate e la gestione dei rischi aziendali. L’entità finanziaria dovrebbe conoscere l’ambito, la data e la pertinenza dell’attestazione fornita.

Anche la polizza di responsabilità civile professionale è importante. Verificate se le attività, le parti e i rischi previsti rientrano nella copertura. La sola esistenza di una polizza non dimostra che l’incarico sia adeguatamente coperto.

I tester interni richiedono un’analisi separata

I test interni sono soggetti a condizioni, tra cui la pertinente approvazione dell’autorità competente, l’indipendenza e le garanzie previste da DORA e dalle RTS. Gli enti significativi devono utilizzare tester esterni ai sensi dell’articolo 26. La scelta non può dipendere esclusivamente dalla disponibilità di risorse.

Per gli altri enti che si avvalgono di tester interni nell’ambito di accordi consentiti, i requisiti applicabili prevedono l’impiego periodico di tester esterni. Prima di scegliere il modello, verificate le condizioni giuridiche precise e le aspettative dell’autorità per l’ente interessato.

Predisponga una decisione di approvvigionamento tracciabile

Registrare il requisito, le evidenze richieste, la valutazione, eventuali lacune e il responsabile della decisione. Rendere esplicite le condizioni irrisolte nella governance degli acquisti. Gli impegni contrattuali, le risorse designate e gli accordi sulla gestione delle evidenze dovrebbero corrispondere a quanto valutato.

Adattare la risposta all’incarico proposto

Chiedete al fornitore di indicare i ruoli previsti per l’erogazione, l’esperienza pertinente, le modalità di supervisione e le prove a supporto dei requisiti che dichiara di soddisfare. Chiarite se le persone indicate per nome sono effettivamente assegnate o rappresentano soltanto esempi di personale disponibile. Documentate come verrebbero valutate e approvate le sostituzioni. L’entità finanziaria ha bisogno di una base comprensibile per la propria decisione, non di una garanzia incondizionata che il fornitore sia «conforme a DORA».

Per garantire confronti coerenti, la guida all’approvvigionamento dei test di penetrazione per le banche mostra come uniformare l’ambito, le ipotesi di accesso e le aspettative relative alle evidenze. Utilizzate questa struttura insieme ai requisiti specifici TLPT, senza sostituire la revisione prevista dall’articolo 27 con un normale questionario sui test tecnici.

Esaminare come saranno gestite le evidenze

Discutete la gestione, durante l’intero incarico, delle informazioni sensibili sulle minacce, delle osservazioni operative, delle credenziali e del materiale del rapporto. Definite le restrizioni di accesso, le modalità di archiviazione e trasferimento, la conservazione, la cancellazione e il coinvolgimento dei subappaltatori. Chiedete come verrebbero gestiti un incidente rilevante o un effetto operativo imprevisto. Queste domande rendono concrete le misure di salvaguardia proposte e aiutano l’entità a comprendere le proprie responsabilità e dipendenze.

Esaminare un rapporto fittizio o adeguatamente anonimizzato e seguire un rilievo dalla posizione iniziale alle evidenze, all’impatto e al trattamento proposto. La guida ai rapporti fintech e ai nuovi test propone domande utili sulla qualità delle evidenze. La sola qualità del rapporto non dimostra l’idoneità dei tester né assolve tutti gli obblighi TLPT; è una componente di una valutazione documentata che deve considerare i requisiti effettivi e gli accordi applicabili con le autorità competenti.

Continua la preparazione

• La checklist per l’approvvigionamento
• Requisiti TLPT del DORA