4 min de lectura<\/p>\n
DORA exige a las entidades financieras sist\u00e9micamente relevantes la realizaci\u00f3n peri\u00f3dica de pruebas de penetraci\u00f3n dirigidas por amenazas (TLPT, por sus siglas en ingl\u00e9s) sobre sistemas productivos. Nada de laboratorios de pruebas ni entornos de ensayo: ataques reales contra infraestructura real, sin que el equipo azul (Blue Team) lo sepa. Las primeras notificaciones oficiales de las autoridades supervisoras comenzar\u00e1n en 2026. Los CIO del sector financiero que no est\u00e9n preparados ya tienen un problema con un horizonte temporal muy corto.<\/strong><\/p>\n La mayor\u00eda de las empresas conocen las pruebas de penetraci\u00f3n: un equipo externo examina sistemas definidos en busca de vulnerabilidades, documenta los resultados y formula recomendaciones. Estas pruebas se llevan a cabo sobre sistemas de prueba o dentro de un alcance acotado; el equipo interno de seguridad (Blue Team) est\u00e1 informado, y los resultados se incorporan al siguiente informe de auditor\u00eda.<\/p>\n El TLPT bajo DORA es algo fundamentalmente distinto. Tres dimensiones diferencian al TLPT de las pruebas de penetraci\u00f3n convencionales. En primer lugar: la confidencialidad. El Blue Team, es decir, el equipo interno de seguridad de TI, no sabe que se est\u00e1 llevando a cabo una prueba. Solo un peque\u00f1o c\u00edrculo dentro de la direcci\u00f3n est\u00e1 informado (el llamado White Team). En segundo lugar: los sistemas productivos. La prueba se ejecuta sobre la infraestructura real, no sobre copias ni entornos de prueba. Los riesgos son reales, los resultados son significativos y un error del equipo rojo puede tener consecuencias efectivas. En tercer lugar: la inteligencia sobre amenazas como punto de partida. Antes de que el equipo rojo inicie el ataque, un proveedor independiente de inteligencia sobre amenazas analiza la situaci\u00f3n espec\u00edfica de amenazas a la que se enfrenta la entidad. El ataque simula actores reales de amenazas con t\u00e1cticas reales, no un manual gen\u00e9rico.<\/p>\n El esfuerzo requerido es, por tanto, considerable: un ciclo completo de TLPT dura entre 6 y 12 meses. Solo la fase del equipo rojo tiene una duraci\u00f3n m\u00ednima de 12 semanas calendario. Adem\u00e1s, se deben considerar la definici\u00f3n del alcance (scoping), el an\u00e1lisis de inteligencia sobre amenazas, el Purple Teaming<\/em> (an\u00e1lisis conjunto con el Blue Team tras finalizar la prueba) y la redacci\u00f3n del informe final. Para los CIO que hasta ahora solo han conocido pruebas de penetraci\u00f3n est\u00e1ndar, el TLPT representa una categor\u00eda completamente distinta.<\/p>\n \n\u00abLas pruebas de penetraci\u00f3n dirigidas por amenazas permiten a las entidades financieras identificar vulnerabilidades de forma temprana y evaluar la resistencia de sus sistemas de TIC en condiciones realistas\u00bb. No todas las entidades financieras est\u00e1n sujetas a la obligaci\u00f3n TLPT. DORA limita este requisito a instituciones con relevancia sist\u00e9mica. Concretamente, est\u00e1n afectadas: las instituciones globalmente sist\u00e9micamente importantes (G-SII) y las instituciones nacionalmente sist\u00e9micamente importantes (O-SII); las entidades que hayan procesado, en cada uno de los \u00faltimos dos ejercicios, m\u00e1s de 150 000 millones de euros en transacciones de pago; los depositarios centrales de valores (CSD) y las contrapartes centrales (CCP).<\/p>\n En Alemania, esto incluye a las grandes entidades: Deutsche Bank, Commerzbank, DZ Bank, los bancos regionales (Landesbanken) y las aseguradoras sist\u00e9micamente relevantes. Pero tambi\u00e9n pueden verse afectados prestadores especializados de servicios de pago que superen el umbral de transacciones. Las autoridades supervisoras (en Alemania, BaFin y el Banco Central Alem\u00e1n) designan individualmente a las entidades obligadas. La primera oleada de notificaciones tendr\u00e1 lugar en 2026.<\/p>\n Para los CIO fuera del sector financiero, el TLPT sigue siendo relevante: NIS2<\/a> contiene requisitos similares respecto a pruebas de seguridad peri\u00f3dicas para entidades esenciales. Se prev\u00e9 que la metodolog\u00eda TLPT se convierta tambi\u00e9n fuera del \u00e1mbito de DORA en el est\u00e1ndar de oro para las pruebas de resiliencia.<\/p>\n El TLPT bajo DORA se basa en el marco TIBER-EU (Threat Intelligence-Based Ethical Red Teaming), introducido por el Banco Central Europeo en 2018. En Alemania, el Banco Central Alem\u00e1n implementa dicho marco como TIBER-DE, actualmente en su versi\u00f3n 4.0 (julio de 2025).<\/p>\n Los requisitos de TIBER-DE coinciden plenamente con las disposiciones de DORA sobre TLPT, aunque en algunos aspectos imponen requisitos previos m\u00ednimos ligeramente m\u00e1s estrictos. El Banco Central Alem\u00e1n asume la responsabilidad operativa de apoyo a las pruebas, mientras que BaFin es la autoridad supervisora competente para las tareas de supervisi\u00f3n. Las entidades que ya hayan realizado una prueba TIBER-DE cuentan con una ventaja sustancial frente a aquellas que comienzan desde cero.<\/p>\n Es fundamental para los CIO: el proveedor de inteligencia sobre amenazas debe ser siempre externo. Uno de cada tres tests debe llevarse a cabo con un equipo rojo externo (los dem\u00e1s pueden ser internos, siempre que el equipo rojo interno cumpla los requisitos de DORA). El Purple Teaming<\/em> es obligatorio en la fase final. Esto significa que el equipo rojo y el equipo azul analizan conjuntamente qu\u00e9 ha funcionado y qu\u00e9 no. Esta fase constituye la parte m\u00e1s valiosa de la prueba, porque aporta mejoras concretas.<\/p>\n Fuentes: DORA (UE 2022\/2554), EBA Final RTS on TLPT, Banco Central Alem\u00e1n TIBER-DE v4.0<\/p>\n 1. Determinar si se est\u00e1 afectado.<\/strong> \u00bfSu entidad queda sujeta a la obligaci\u00f3n TLPT? Los criterios son claros (G-SII\/O-SII, volumen de transacciones superior a 150 000 millones de euros, CSD\/CCP). En caso de duda, contacte proactivamente a BaFin. Quien descubra su condici\u00f3n de afectado \u00fanicamente al recibir la notificaci\u00f3n oficial dispondr\u00e1 de muy poco tiempo de antelaci\u00f3n.<\/p>\n 2. Constituir un White Team.<\/strong> El White Team gestiona internamente el TLPT. Suele estar compuesto por el CIO\/CISO, el responsable de gesti\u00f3n de riesgos y un representante del Consejo de Administraci\u00f3n. El White Team debe encargar la prueba, definir su alcance y garantizar la confidencialidad frente al Blue Team. Su composici\u00f3n debe quedar fijada con anterioridad, no solo cuando llegue la notificaci\u00f3n oficial.<\/p>\n 3. Evaluar proveedores externos.<\/strong> Los proveedores de inteligencia sobre amenazas y los prestadores de servicios de equipos rojos deben seleccionarse con mucha antelaci\u00f3n. La disponibilidad de proveedores TLPT cualificados es limitada, especialmente si la primera oleada de notificaciones activa simult\u00e1neamente a muchas entidades. Los CIO deben preparar contratos marco con, al menos, dos proveedores. Los criterios de cualificaci\u00f3n incluyen: certificaci\u00f3n CREST, experiencia con TIBER, referencias en entidades comparables.<\/p>\n 4. Preparar el alcance (scope).<\/strong> El alcance del TLPT debe cubrir funciones empresariales cr\u00edticas y los sistemas de TI que las soportan. Esto requiere una documentaci\u00f3n actualizada de los servicios cr\u00edticos, de la infraestructura subyacente y de las dependencias. Las entidades que no hayan documentado recientemente su arquitectura de ciberseguridad<\/a> tendr\u00e1n dificultades para definir adecuadamente el alcance.<\/p>\n 5. Evaluar la resiliencia interna.<\/strong> El TLPT revela debilidades que posteriormente deben corregirse. Los CIO deben cerrar, antes de la prueba, lagunas obvias: sistemas sin parches, segmentaci\u00f3n de red insuficiente, derechos de acceso obsoletos. No para \u00abaprobar\u00bb la prueba, sino porque dichas lagunas representan riesgos reales. Un TLPT que detecte vulnerabilidades triviales desperdicia el presupuesto en lo evidente, en lugar de centrarse en los riesgos sutiles que aportan el verdadero valor a\u00f1adido.<\/p>\n El TLPT no concluye con la entrega del informe final. Los resultados deben traducirse en un plan de medidas concreto, cuya implementaci\u00f3n ser\u00e1 supervisada por la autoridad reguladora. BaFin espera que las vulnerabilidades identificadas se corrijan dentro de plazos definidos. El Consejo de Administraci\u00f3n debe aprobar dicho plan de medidas y supervisar su ejecuci\u00f3n.<\/p>\n Por tanto, para los CIO el TLPT no supone simplemente un esfuerzo puntual, sino un ciclo continuo de mejora. La responsabilidad personal<\/a> de la direcci\u00f3n ejecutiva bajo DORA convierte este ciclo en un asunto de m\u00e1xima prioridad estrat\u00e9gica. Los CIO que traten el TLPT como una mera obligaci\u00f3n regulatoria inc\u00f3moda desaprovechan su valor real: una prueba de estr\u00e9s realista de su propia capacidad defensiva, algo que ning\u00fan ejercicio interno puede ofrecer.<\/p>\n El TLPT se lleva a cabo sobre sistemas productivos (no sobre entornos de prueba), el Blue Team no tiene conocimiento alguno de su realizaci\u00f3n (confidencialidad), y el ataque se basa en un an\u00e1lisis individualizado de inteligencia sobre amenazas realizado espec\u00edficamente para la entidad. Una prueba de penetraci\u00f3n convencional se ejecuta sobre sistemas de prueba definidos y con el conocimiento de todos los implicados.<\/p>\n<\/details>\n Instituciones global y nacionalmente sist\u00e9micamente relevantes (G-SII\/O-SII), entidades con m\u00e1s de 150 000 millones de euros en transacciones de pago durante los \u00faltimos dos a\u00f1os, depositarios centrales de valores y contrapartes centrales. BaFin designa individualmente a las entidades obligadas.<\/p>\n<\/details>\n Todo el ciclo dura entre 6 y 12 meses. Solo la fase del equipo rojo tiene una duraci\u00f3n m\u00ednima de 12 semanas. Adem\u00e1s, se deben sumar el an\u00e1lisis de inteligencia sobre amenazas (4 a 8 semanas), la definici\u00f3n del alcance (2 a 4 semanas), el Purple Teaming<\/em> (2 a 4 semanas) y la redacci\u00f3n del informe final.<\/p>\n<\/details>\n El Purple Teaming<\/em> es el an\u00e1lisis conjunto del equipo rojo (atacante) y el equipo azul (defensor) tras la finalizaci\u00f3n de la prueba. El equipo azul se entera por primera vez de que se ha llevado a cabo una prueba. Juntos analizan las brechas en la detecci\u00f3n, los tiempos de respuesta y los procesos de escalado. El Purple Teaming<\/em> es obligatorio bajo DORA.<\/p>\n<\/details>\n Bajo DORA, no. Sin embargo, NIS2 contiene requisitos similares respecto a pruebas de seguridad peri\u00f3dicas para entidades esenciales. Se prev\u00e9 que la metodolog\u00eda TLPT se convierta tambi\u00e9n fuera del sector financiero en el est\u00e1ndar de oro para las pruebas de resiliencia.<\/p>\n<\/details>\n Fuente de imagen: Sora Shimazaki \/ Pexels<\/em><\/p>\n","protected":false},"excerpt":{"rendered":" 4 min de lectura DORA exige a las entidades financieras sist\u00e9micamente relevantes la realizaci\u00f3n peri\u00f3dica de pruebas de penetraci\u00f3n dirigidas por amenazas (TLPT, por sus siglas en ingl\u00e9s) sobre sistemas productivos. Nada de laboratorios de pruebas ni entornos de ensayo: ataques reales contra infraestructura real, sin que el equipo azul (Blue Team) lo sepa. Las […]<\/p>\n","protected":false},"author":114,"featured_media":12809,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"tlpt","_yoast_wpseo_title":"TLPT: Supera la prueba de ciberresiliencia DORA ahora","_yoast_wpseo_metadesc":"TLPT bajo DORA: garantiza la ciberresiliencia de tu entidad financiera. Descubre c\u00f3mo los CIO lideran estas pruebas y aseguran el cumplimiento. Lee m\u00e1s.","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"featured_post_sortierung":0,"featured_post":0,"pre_headline":"","bildquelle":"","teasertext":"","language":"de","_evm_slot_owner":"","_evm_translation_lang":"","_wp_old_slug":[],"footnotes":""},"categories":[667],"tags":[],"class_list":["post-14976","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-ciberseguridad","entry"],"wpml_language":"es","wpml_translation_of":12810,"yoast_head":"\nEn resumen<\/h2>\n
\n
En qu\u00e9 se diferencia el TLPT de una prueba de penetraci\u00f3n convencional<\/h2>\n
\nBaFin, \u00abSimulating attacks to enhance security\u00bb (diciembre de 2024)<\/cite>\n<\/p><\/blockquote>\n\u00bfQui\u00e9nes deben realizar el TLPT?<\/h2>\n
TIBER-DE: el marco alem\u00e1n<\/h2>\n
Preparaci\u00f3n: qu\u00e9 deben hacer los CIO ahora<\/h2>\n
Qu\u00e9 ocurre tras la prueba<\/h2>\n
Preguntas frecuentes<\/h2>\n
\u00bfCu\u00e1l es la diferencia entre TLPT y una prueba de penetraci\u00f3n convencional?<\/strong><\/summary>\n
\u00bfQu\u00e9 entidades financieras deben realizar el TLPT?<\/strong><\/summary>\n
\u00bfCu\u00e1nto dura un TLPT?<\/strong><\/summary>\n
\u00bfQu\u00e9 es el Purple Teaming<\/em>?<\/strong><\/summary>\n
\u00bfDeben realizar el TLPT tambi\u00e9n las entidades no financieras?<\/strong><\/summary>\n
Recomendaciones de lectura de la redacci\u00f3n<\/h2>\n
\n
M\u00e1s contenido de la red MBF Media<\/h2>\n
\n