Norme TLPT DORA | Articoli 26–27 e Regolamento 2025/1190

Che cosa comporta per il suo test

Utilizzi gli articoli 26 e 27 del DORA, le RTS definitive sul TLPT e la procedura applicabile dell’autorità competente come riferimento normativo. Questa pagina organizza le fonti e i rispettivi ruoli. Per una guida pratica, consulti la guida ai requisiti; prima dell’affidamento, chiarisca la posizione specifica dell’autorità e dell’entità.

Articolo 26 — Test avanzati

L’articolo 26 stabilisce l’obbligo di TLPT per le entità finanziarie individuate. Disciplina la frequenza, la copertura delle funzioni critiche o importanti, i sistemi di produzione live, la partecipazione di terzi, gli accordi con i tester, la documentazione e il riconoscimento reciproco.

L’entità finanziaria valuta e propone l’ambito. L’autorità competente lo convalida. Se sono inclusi fornitori terzi di servizi TIC, la loro partecipazione e le misure di salvaguardia devono essere considerate prima dell’avvio dei test. L’entità resta responsabile dei propri obblighi.

Articolo 27 — Requisiti dei tester

La selezione del fornitore deve considerare idoneità e reputazione, capacità tecniche e organizzative e competenze specifiche in threat intelligence, penetration testing e red teaming.

L’articolo tratta inoltre la certificazione da parte di un organismo di accreditamento di uno Stato membro o l’adesione a codici di condotta formali o quadri etici, la verifica indipendente o l’audit della gestione dei rischi pertinente e l’assicurazione di responsabilità civile professionale. Un badge sul sito web, da solo, non dimostra l’idoneità.

I tester interni sono soggetti a condizioni aggiuntive e all’approvazione dell’autorità competente. Gli enti significativi devono utilizzare tester esterni secondo quanto previsto dall’articolo 26. Verificate le disposizioni precise applicabili al vostro ente.

Le RTS TLPT — Regolamento (UE) 2025/1190

Le RTS definiscono requisiti dettagliati in materia di selezione, tester interni, ambito e processo di test, risultati, chiusura, remediation e cooperazione tra autorità.

Tra le implicazioni pratiche: la fase attiva di test red team dura almeno 12 settimane; i rapporti devono contenere informazioni specifiche; e la chiusura include il coinvolgimento del blue team e attività di purple teaming. La pianificazione deve considerare l’intero processo, non solo i test attivi.

TIBER-EU e l’attuazione nazionale

TIBER-EU fornisce un quadro, indicazioni per i partecipanti e modelli per rendere operativi i test basati sulle minacce. Supporta i TLPT previsti da DORA, ma non sostituisce la normativa, le RTS o le istruzioni applicabili delle autorità competenti.

Per gli enti significativi sottoposti alla vigilanza della BCE, la guida all’attuazione della BCE fornisce ulteriore contesto operativo. Gli accordi nazionali e la cooperazione transfrontaliera dovrebbero essere chiariti all’avvio.

Cosa non è possibile decidere sulla base di questo riferimento

Questa pagina non può determinare la vostra designazione, approvare il vostro ambito né valutare la piena idoneità di un fornitore. Tali decisioni richiedono l’esame dell’entità concreta, delle evidenze e della procedura dell’autorità competente. Il TLPT è una componente del DORA, che comprende anche la gestione più ampia del rischio ICT, la segnalazione degli incidenti e il rischio di terze parti.

Prosegui con chi ha bisogno di TLPT o con la guida agli acquisti.