DORA: las pruebas de resiliencia (TLPT) explicadas
El TLPT de DORA es una prueba de penetración basada en amenazas sobre sistemas en producción, y solo deben hacerlo las entidades que designe su supervisor. Además, casi todas las entidades financieras deben probar cada año sus sistemas críticos. Aquí tienes qué exigen los artículos 24 a 27, quién debe hacer un TLPT, cómo se desarrolla y cómo prepararte.
En 30 segundos: DORA exige un programa de pruebas con revisiones al menos anuales de los sistemas que soportan funciones críticas o importantes. Además, las entidades identificadas por su autoridad competente deben hacer un TLPT de DORA como mínimo cada tres años. Esa prueba se basa en TIBER-EU e incluye al menos 12 semanas de red team y purple teaming obligatorio. Después llegan un plan de corrección y una atestación de la autoridad, reconocida en toda la UE.
Marco legal y programa general de pruebas
Las pruebas están en el capítulo IV del Reglamento (UE) 2022/2554 (DORA). Se aplica desde el 17 de enero de 2025. Si quieres antes una visión de conjunto, la tienes en DORA explicado.
- Artículo 24: requisitos generales. Programa de pruebas basado en el riesgo, dentro del marco de gestión del riesgo TIC. Además, exige probadores independientes y corregir todo lo detectado.
- Artículo 25: el catálogo de pruebas de herramientas y sistemas TIC.
- TLPT (artículo 26): pruebas avanzadas basadas en amenazas.
- Artículo 27: requisitos de los probadores.
El artículo 25 cita, entre otras, evaluaciones y escaneos de vulnerabilidades, análisis de código abierto y evaluaciones de seguridad de la red. También incluye análisis de deficiencias, revisiones de seguridad física y revisiones del código fuente cuando sea factible. Por último, menciona pruebas basadas en escenarios, de compatibilidad, de rendimiento, de extremo a extremo y pruebas de penetración.
Además, el artículo 24.6 fija la frecuencia mínima. Salvo las microempresas, todas deben probar al menos una vez al año los sistemas y aplicaciones TIC que soportan funciones críticas o importantes.
El TLPT de DORA: quién está obligado y qué exige el artículo 26
Un TLPT de DORA reproduce las tácticas de atacantes reales, identificados con inteligencia de amenazas. Lo hace contra los sistemas en producción que soportan las funciones críticas, sin que los defensores lo sepan.
Quién debe hacerlo
En primer lugar, quedan fuera las microempresas y las entidades del régimen simplificado del artículo 16. Del resto, la autoridad competente identifica a las obligadas. Para ello, valora su impacto en el sector, el riesgo para la estabilidad financiera y su perfil de riesgo TIC.
Además, las normas técnicas presumen obligadas, salvo que la evaluación diga lo contrario, a las entidades de crédito G-SII y O-SII. También lo están las entidades de pago y de dinero electrónico con más de 150.000 millones de euros en operaciones de pago. Ese umbral debe superarse en cada uno de los dos años anteriores. Para el dinero electrónico, el umbral alternativo es de 40.000 millones de euros en circulación. Asimismo, la presunción alcanza a los depositarios centrales de valores, las entidades de contrapartida central y ciertos centros de negociación electrónicos. Por último, incluye a las aseguradoras y reaseguradoras de mayor tamaño. Si trabajas en banca y fintech o en aseguradoras, comprueba dónde te sitúas.
Frecuencia y alcance del TLPT de DORA
El TLPT se repite al menos cada tres años. Sin embargo, la autoridad puede ajustar esa frecuencia según el perfil de riesgo. Cubre varias o todas las funciones críticas o importantes y se ejecuta sobre sistemas en producción. Además, la entidad identifica los sistemas, procesos y tecnologías subyacentes, también los externalizados. Después, la autoridad valida el alcance.
Terceros TIC y pruebas agrupadas
Si un proveedor TIC entra en el alcance, la entidad asegura su participación y conserva toda la responsabilidad. Cuando esa participación pudiera perjudicar a otros clientes del proveedor, cabe acordar por escrito una prueba agrupada. Así, el proveedor contrata a un probador externo. La prueba, dirigida por una entidad designada, cuenta como TLPT para todas las participantes.
Informe, atestación y reconocimiento mutuo
Al terminar, la entidad entrega a la autoridad un resumen de hallazgos y los planes de corrección. También aporta la documentación del cumplimiento. Después, la autoridad emite una atestación que permite el reconocimiento mutuo del TLPT entre Estados miembros. Sin embargo, la entidad sigue respondiendo del impacto de la prueba.
Requisitos de los probadores (artículo 27)
- Máxima idoneidad y reputación.
- Capacidad técnica y organizativa y experiencia en inteligencia de amenazas, pruebas de penetración y red team.
- Certificación por un organismo de acreditación de un Estado miembro o adhesión a códigos de conducta o marcos éticos formales.
- Garantía independiente o informe de auditoría sobre la gestión de los riesgos de la prueba y la protección de la información confidencial.
- Seguro de responsabilidad profesional que cubra mala conducta y negligencia.
También se admiten probadores internos si la autoridad lo aprueba. Para ello, verifica que hay recursos suficientes y sin conflictos de interés. Además, la inteligencia de amenazas debe aportarla un proveedor externo. Quien use probadores internos debe contratar externos cada tres pruebas. Por otro lado, las entidades de crédito significativas del Mecanismo Único de Supervisión solo pueden usar externos. Las normas técnicas exigen, por ejemplo, que el equipo interno tenga un responsable y al menos dos miembros más. Asimismo, piden 12 meses previos de empleo en la entidad o en su proveedor intragrupo.
Normas técnicas, TIBER-EU 2025 y TIBER-ES
El detalle está en el Reglamento Delegado (UE) 2025/1190 de la Comisión, de 13 de febrero de 2025. Después, se publicó en el DOUE el 18 de junio de 2025. Está en vigor desde el 8 de julio de 2025. Concreta qué entidades deben hacer el TLPT de DORA, la metodología de cada fase y la cooperación entre autoridades.
El Eurosistema actualizó TIBER-EU en febrero de 2025 para alinearlo con esas normas. Así, incorporó sus plazos, hizo obligatorio el purple teaming y rebautizó el «White Team» como «Control Team». En España, el Banco de España adoptó el marco como TIBER-ES y es su autoridad propietaria. Además, colabora estrechamente con la CNMV y la Dirección General de Seguros y Fondos de Pensiones (DGSFP). Asimismo, las pruebas TIBER-ES se reconocen en otras jurisdicciones que aplican TIBER-EU.
Fases y plazos de un TLPT según DORA
El Reglamento Delegado (UE) 2025/1190 fija estos plazos. Sin embargo, la duración total depende del alcance y de las validaciones de la autoridad.
| Fase | Qué se hace | Plazo fijado |
|---|---|---|
| Preparación | Información de inicio, equipo de control, selección de proveedores y documento de alcance aprobado por el órgano de dirección | Inicio en 3 meses y alcance en 6 meses desde la notificación de la autoridad |
| Inteligencia de amenazas | Análisis de amenazas y al menos tres escenarios; informe aprobado por la autoridad | Sin plazo propio |
| Red team | Plan de pruebas aprobado, ataques sobre producción, informes semanales | Mínimo 12 semanas de prueba activa |
| Cierre | Informes de red team y blue team, repetición conjunta de ataques y defensas, purple teaming | Informe red team en 4 semanas; informe blue team y purple teaming en 10 semanas desde el fin de la prueba |
| Corrección y atestación | Informe resumen, planes de corrección con causa raíz y responsables, atestación | Resumen y planes en 8 semanas desde que la autoridad da por completos los informes |
Equipos y confidencialidad
El equipo de control (antes, equipo blanco) dirige la prueba desde la entidad. Mientras, el red team ataca y el blue team defiende sin saber que hay una prueba. Además, la información se limita a quien necesita conocerla y se usa un nombre en clave. Si surge un incidente real, se aplica el procedimiento habitual. Por eso, repasa cómo notificar una brecha en 72 horas.
Cómo preparar el TLPT de DORA: checklist
- Primero, inventaría tus funciones críticas o importantes y los sistemas, procesos y proveedores que las soportan.
- Después, ejecuta y documenta las pruebas anuales del artículo 25 antes de pensar en el TLPT de DORA.
- Define cómo priorizas, clasificas y cierras hallazgos y cómo validas las correcciones.
- Revisa los contratos con proveedores TIC críticos: participación en pruebas, pruebas agrupadas y confidencialidad.
- Identifica quién formaría el equipo de control y si usarías probadores internos o externos.
- Por último, implica al órgano de dirección: aprueba el alcance y responde del plan de corrección.
Tu registro de información de terceros TIC es el punto de partida del alcance. De hecho, ya relaciona proveedores, servicios y funciones críticas o importantes, justo lo que el TLPT de DORA obliga a identificar.
Preguntas frecuentes
¿Todas las entidades financieras tienen que hacer un TLPT de DORA?
No. El programa general de pruebas de DORA se aplica a casi todas, pero el TLPT solo a las designadas. Las designa su autoridad competente según el impacto, el carácter sistémico y el perfil de riesgo TIC.
¿Qué diferencia hay entre un pentest y un TLPT?
Un pentest busca vulnerabilidades en un alcance técnico acotado y conocido por el equipo. En cambio, un TLPT parte de inteligencia de amenazas. Después, ataca producción durante al menos 12 semanas sin que el blue team lo sepa. Además, mide también la detección y la respuesta.
¿Cada cuánto hay que hacer un TLPT?
Al menos cada tres años. Sin embargo, la autoridad competente puede aumentar o reducir esa frecuencia según el perfil de riesgo y las circunstancias operativas.
¿Se pueden usar probadores internos?
Sí, con aprobación de la autoridad e inteligencia de amenazas externa, y contratando externos cada tres pruebas. En cambio, las entidades de crédito significativas solo pueden usar externos.
¿Un test TIBER-ES vale como TLPT de DORA?
TIBER-EU se actualizó en 2025 para recoger los pasos y entregables del TLPT de DORA. Además, TIBER-ES lo aplica en España. Aun así, lo que acredita el cumplimiento es la atestación de la autoridad.
Revisado el 14 de octubre de 2026. Divulgación informativa, no asesoramiento jurídico.
Cómo ayuda Atalaya GRC con las pruebas y el TLPT de DORA
Atalaya GRC planifica las pruebas anuales de DORA por sistema y función crítica. Además, registra hallazgos y planes de corrección con responsables y fechas, y guarda las evidencias. Asimismo, el registro de terceros TIC aporta el inventario para el alcance y el reloj regulatorio avisa de los plazos. Por último, un mismo control sirve para DORA, NIS2 e ISO 27001. Consulta la ficha de DORA o solicita una demo.
