Los dos niveles de pruebas en DORA
El capítulo IV del Reglamento (UE) 2022/2554 sobre la resiliencia operativa digital del sector financiero, DORA, regula las pruebas de resiliencia operativa digital. Establece dos niveles. El primero se aplica a todas las entidades financieras incluidas en su ámbito: un programa de pruebas, descrito en los artículos 24 y 25, proporcional al tamaño y al riesgo de la entidad. El segundo se aplica solo a un grupo de entidades que identifica su autoridad competente: las pruebas avanzadas basadas en pruebas de penetración guiadas por amenazas, conocidas como TLPT, descritas en los artículos 26 y 27.
La mayoría de las entidades financieras de tamaño medio, y casi todos los proveedores TIC que les dan servicio, están en el primer nivel. El segundo se lleva la atención porque es el más exigente, pero es en el primero donde recae la mayor parte de las obligaciones de prueba. Las pruebas son una de las cinco áreas que repasamos en nuestro artículo sobre los cinco pilares de DORA.
El programa de pruebas que necesita toda entidad financiera
El artículo 24 exige a las entidades financieras, salvo las microempresas, establecer, mantener y revisar un programa de pruebas de resiliencia operativa digital sólido y completo, como parte de su marco de gestión del riesgo TIC. El programa sigue un enfoque basado en el riesgo y tiene en cuenta la evolución de las amenazas. Las pruebas las realizan partes independientes, que pueden ser internas o externas, y la entidad necesita procedimientos para priorizar, clasificar y corregir los problemas detectados.
El artículo 24 fija además una frecuencia. Todos los sistemas y aplicaciones TIC que dan soporte a funciones críticas o importantes deben probarse al menos una vez al año. Las entidades que aplican el marco simplificado de gestión del riesgo TIC del artículo 16 también hacen pruebas, con requisitos más ligeros.
Qué puede incluir el programa
El artículo 25 enumera los tipos de prueba entre los que puede elegir el programa: evaluaciones y análisis de vulnerabilidades, análisis de código abierto, evaluaciones de la seguridad de la red, análisis de deficiencias, revisiones de la seguridad física, cuestionarios y soluciones de software de escaneo, revisiones del código fuente cuando sea viable, pruebas basadas en escenarios, pruebas de compatibilidad, pruebas de rendimiento, pruebas de extremo a extremo y pruebas de penetración.
La lista es un menú, no una lista de comprobación. La entidad elige la combinación que encaja con sus riesgos y documenta por qué. En la práctica, el programa de una entidad de tamaño medio suele combinar el análisis continuo de vulnerabilidades, pruebas de intrusión periódicas sobre las aplicaciones expuestas, pruebas de copias de seguridad y recuperación, y un ejercicio de escenarios para los servicios más importantes. La diferencia entre analizar y probar se explica en nuestro artículo sobre pentest y análisis de vulnerabilidades.
Qué es TLPT y en qué se diferencia de una prueba de intrusión
TLPT es un intento controlado de comprometer las funciones críticas de una entidad financiera imitando las tácticas, técnicas y procedimientos de atacantes reales. Se diferencia de una prueba de intrusión convencional en cuatro aspectos. Se basa en inteligencia de amenazas específica de la entidad. Se ejecuta sobre sistemas de producción, no sobre entornos de prueba. Cubre varias o todas las funciones críticas o importantes, incluidas las personas y los procesos que las rodean. Y la supervisa la autoridad competente de principio a fin.
El método lo fija el Reglamento Delegado (UE) 2025/1190 de la Comisión, publicado en el Diario Oficial el 18 de junio de 2025, que alinea TLPT con el marco TIBER-EU que usan los bancos centrales europeos. Una prueba tiene tres fases. En la de preparación se fija el alcance y se forma un equipo de control. En la de pruebas, los proveedores de inteligencia de amenazas elaboran un informe de amenazas específico y el equipo rojo ejecuta los escenarios de ataque construidos a partir de él. En la de cierre, el equipo rojo y los defensores de la entidad revisan juntos lo ocurrido, y la entidad elabora un plan de corrección.
Qué entidades tienen que hacer TLPT
El artículo 26 exige TLPT al menos cada tres años a las entidades financieras que identifiquen las autoridades competentes, en función de su impacto, su carácter sistémico y su perfil de riesgo TIC. El reglamento delegado fija los criterios. Algunas categorías entran por defecto cuando superan los umbrales, como las entidades de crédito de importancia sistémica mundial y otras de importancia sistémica, las entidades de pago y de dinero electrónico grandes, los depositarios centrales de valores, las entidades de contrapartida central y las grandes empresas de seguros. Las autoridades también pueden incluir o excluir entidades concretas tras una evaluación caso por caso.
Una entidad que no ha recibido la notificación de su autoridad no está obligada a hacer TLPT. Sigue necesitando el programa del artículo 24, y puede verse implicada en una TLPT a través de sus proveedores o de sus clientes.
Probadores, equipos internos y proveedores TIC
El artículo 27 fija requisitos para los probadores, desde la reputación y la certificación hasta el seguro de responsabilidad profesional. Se admiten probadores internos con condiciones, entre ellas que la entidad recurra a probadores externos cada tres pruebas. Las entidades de crédito clasificadas como significativas en el Mecanismo Único de Supervisión solo pueden usar probadores externos.
Los proveedores terceros de servicios TIC pueden verse implicados. Cuando un proveedor da soporte a funciones críticas o importantes incluidas en el alcance de la TLPT, el artículo 26 obliga a la entidad financiera a asegurarse de que el proveedor participa. Si esa participación pudiera afectar a la confidencialidad de sus otros clientes, el proveedor puede organizar una prueba agrupada con varias entidades financieras. Para un proveedor TIC del sector financiero, esto tiene que estar en el contrato, junto con las demás obligaciones que repasamos en nuestro artículo sobre la gestión de riesgos de terceros con DORA y NIS2.
Dónde encaja Qalea
Para las entidades financieras y los proveedores TIC que quedan fuera del perímetro de TLPT, el trabajo es el programa del artículo 24: un conjunto documentado de pruebas basado en el riesgo, ejecutado según el calendario, con los hallazgos seguidos hasta su corrección. Qalea ejecuta ese programa. La monitorización de la superficie de ataque externa y el análisis de vulnerabilidades funcionan de forma continua, las pruebas de intrusión cubren las aplicaciones críticas, y el SOC y la plataforma de cumplimiento reúnen los hallazgos, las correcciones y las evidencias en un solo lugar para el supervisor o el auditor del cliente. Más sobre el reglamento en nuestro espacio dedicado a DORA.
