TIBER-EU e TLPT DORA: come si integrano i requisiti

La decisione che questa guida vi aiuta a prendere

TIBER-EU è un framework operativo; DORA e i relativi standard tecnici di regolamentazione per il TLPT stabiliscono requisiti giuridici. Applicarli congiuntamente alle indicazioni pertinenti dell'autorità competente. Un'esercitazione volontaria ispirata a TIBER non diventa automaticamente un TLPT DORA riconosciuto.

La legge e le indicazioni operative svolgono ruoli diversi

DORA e gli RTS TLPT stabiliscono i requisiti giuridici per i test avanzati basati sulle minacce. TIBER-EU fornisce un quadro pratico per organizzare e condurre esercitazioni di red team basate su intelligence. Sono collegati, ma le denominazioni non sono intercambiabili.

Per un incarico DORA, il quadro deve essere applicato in modo coerente con la normativa, gli standard tecnici e il processo dell’autorità competente. Un’esercitazione volontaria ispirata a TIBER non costituisce automaticamente un TLPT riconosciuto ai sensi di DORA.

Comprendere chi partecipa

Un test threat-led coinvolge più soggetti dei tester e di un referente del cliente. L’entità finanziaria ha bisogno di un control team ad accesso riservato e di un responsabile del control team. I fornitori di threat intelligence sviluppano la base di minaccia; i tester del red team eseguono gli scenari concordati; il blue team fornisce la prospettiva difensiva durante la chiusura.

I test manager dell’autorità competente hanno un proprio ruolo di supervisione. La procedura di acquisto e la pianificazione dovrebbero esplicitare queste responsabilità, compresi i canali di comunicazione e i partecipanti che ricevono informazioni sensibili in ciascuna fase.

Utilizzate modelli per far emergere le domande senza risposta.

TIBER-EU pubblica indicazioni e modelli che possono strutturare la definizione dell’ambito, la threat intelligence, i test, la rendicontazione e la correzione delle vulnerabilità. Il loro valore risiede nelle decisioni e nelle evidenze che organizzano, non nel semplice uso di un titolo di documento noto.

Mappi ogni risultato ai requisiti di contenuto RTS applicabili e alle indicazioni delle autorità competenti. Un modello compilato che ometta una dipendenza rilevante o una questione di autorizzazione irrisolta non risolve il problema di fondo.

Verificare l’implementazione applicabile al proprio caso

Le autorità possono applicare accordi operativi nazionali o specifici del settore. I test transfrontalieri sollevano questioni di vigilanza, coordinamento e riconoscimento. Chiaritele all’avvio, affinché l’esercitazione non venga pianificata sulla base di presupposti incompatibili.

Per gli enti significativi sottoposti alla vigilanza della BCE, la guida attuativa della BCE è un utile riferimento ufficiale. Gli altri enti finanziari dovrebbero individuare l’autorità e le linee guida pertinenti, invece di presumere che lo stesso modello operativo si applichi in ogni caso.

Chieda la mappatura

Una proposta utile del fornitore spiega come ambito, scenari, controlli dei rischi, esecuzione e chiusura si collegano a DORA, alle RTS e al quadro applicabile. Indica inoltre quali responsabilità restano in capo all’entità finanziaria e all’autorità.

Chiedete al fornitore di individuare eventuali ipotesi o scostamenti che richiedano approvazione. «Allineato a TIBER» è una descrizione che dovrebbe essere supportata da un modello di erogazione comprensibile; non costituisce un avallo normativo.

Predisponga una mappatura pratica dei requisiti

Predisponete una mappa operativa che colleghi il requisito o la fase del framework pertinente a un responsabile, un’attività e le evidenze attese. Includete le dipendenze dall’entità, dai fornitori e dai responsabili dei test. Lo scopo è individuare le responsabilità mancanti prima dell’esecuzione, non creare un secondo insieme di documenti generici. Se una disposizione nazionale o settoriale modifica la gestione di una fase, indicate la fonte e chiaritene le implicazioni operative con i partecipanti competenti.

Le valutazioni ordinarie del settore finanziario possono fornire utili elementi tecnici, ma i loro risultati hanno uno scopo diverso. Il confronto tra penetration test bancario e TLPT spiega perché un metodo tecnico familiare non rende equivalenti i processi di governance.

Distinguere gli obblighi relativi al prodotto da quelli relativi all’esercitazione

Un servizio fintech può richiedere anche attività di assurance relative ai rilasci applicativi, ai contratti con i clienti o ai dati delle carte di pagamento. Descriva il rapporto tra questi filoni di lavoro senza affermare che un framework soddisfi automaticamente i requisiti di un altro. Riutilizzi, ove utile, informazioni accurate sull’architettura e sulle responsabilità, preservando l’obiettivo e i criteri di accettazione di ciascuna valutazione. La guida alla definizione dell’ambito fintech, DORA e PCI approfondisce questa distinzione per i team di prodotto.

In fase di approvvigionamento e alla chiusura, chiedete una spiegazione chiara di come il lavoro proposto e quello completato si rapportino al processo applicabile. Registrate le ipotesi rilevanti, le modifiche approvate e i limiti di copertura. In questo modo, l’uso della terminologia del framework è verificabile nella documentazione dell’incarico e non si deve fare affidamento su una generica dichiarazione di «allineamento» dal significato pratico non concordato.

Continua la preparazione

• La metodologia dell’incarico
• Risorse ufficiali