Con esta entrada completamos la publicada ayer sobre el Reglamento Delegado 2025/1190 de la Comisión, de 13 de febrero de 2025, que desarrolla el Reglamento (UE) 2022/2554 (DORA) en cuanto a las pruebas de penetración basadas en amenazas, el uso de probadores internos y la adopción de medidas correctoras. Nos permitimos insistir en su complejidad técnica y su importancia para el organigrama de supervisión del control de riesgos digitales de las autoridades competentes y de las entidades financieras en un futuro inmediato a resultas de la obligatoria inserción, en el organigrama de las autoridades competentes, de un equipo de ciberseguridad; y, en de las entidades financieras, de un equipo de control responsable de la gestión de las pruebas de penetración basada en amenazas digitales.
(…)
B.4) Cronología de las pruebas de penetración basadas en amenazas
Esta cronología de las pruebas de penetración basadas en amenazas se articula en tres fases:
a) Fase de preparación
Una entidad financiera seleccionada de acuerdo con el artículo 26.8.3º del DORA iniciará una prueba de penetración basada en amenazas tras la notificación de la autoridad competente en la materia sobre la conveniencia de llevar a cabo ese tipo de prueba. En el plazo de tres meses a partir de la recepción de la notificación, la entidad financiera presentará a los gestores de la prueba de penetración basada en amenazas toda la información relativa a la puesta en marcha de la prueba (art.9).
A estos efectos, el Reglamento Delegado 2025/1190 detalla, en su Anexo I, el “Contenido de la carta del proyecto [artículo 9, apartado 2, letra a)]” y, en su Anexo II, el “Contenido del documento de especificación del alcance de la prueba (artículo 9, apartado 6)” que contendrá una lista de todas las funciones esenciales o importantes señaladas por la entidad financiera y, para cada función esencial o importante, se incluirá la información especificada.
b) Fase de prueba
Esta fase de prueba puede descomponerse en otras dos que son:
b.1) La fase de inteligencia sobre amenazas, que se desarrollará tras la aprobación del documento de especificación del alcance de la prueba por parte de la autoridad competente. Entonces, el proveedor de inteligencia sobre amenazas analizará la inteligencia sobre amenazas genérica y sectorial pertinente para la entidad financiera.
Cuando la autoridad competente en relación con la prueba haya facilitado un panorama genérico de amenazas para el sector financiero de un Estado miembro, el proveedor de inteligencia sobre amenazas podrá utilizar dicho panorama como base de referencia para el panorama nacional de amenazas.
El proveedor de inteligencia sobre amenazas detectará las ciberamenazas y las vulnerabilidades existentes o potenciales que afecten a la entidad financiera. Además, el proveedor de inteligencia sobre amenazas recopilará información y analizará inteligencia concreta, ejecutable y contextualizada sobre los objetivos y amenazas relativos a la entidad financiera, consultando en particular al equipo de control y a los gestores de la prueba (art.10). A estos efectos, el Reglamento Delegado 2025/1190 detalla, en su Anexo III, el “Contenido del informe de inteligencia sobre amenazas específicas (artículo 10, apartado 5)”.
b.2) La fase de pruebas del equipo rojo porque, tras la aprobación del informe de inteligencia sobre amenazas específicas por parte de la autoridad competente, los probadores elaborarán el plan de pruebas del equipo rojo, que contendrá la información que figura en el anexo IV. Los probadores utilizarán el documento de especificación del alcance y el informe de inteligencia sobre amenazas específicas como base para elaborar los escenarios de ataque (art.11). A estos efectos, el Reglamento Delegado 2025/1190 detalla, en su Anexo IV, el “Contenido del plan de pruebas del equipo rojo (artículo 11, apartado 1)”.
c) Fase de conclusión
Una vez finalizada la fase activa de pruebas del equipo rojo, el responsable del equipo de control informará al equipo azul de que se ha llevado a cabo una prueba de penetración basada en amenazas.
En el plazo de cuatro semanas a contar desde la finalización de la fase activa de pruebas del equipo rojo, los probadores presentarán al equipo de control un informe de pruebas del equipo rojo, que contendrá la información establecida en el anexo V (art.12). A estos efectos, el Reglamento Delegado 2025/1190 detalla, en su Anexo V, el “Contenido del informe de pruebas del equipo rojo (artículo 12, apartado 2)” y, en su Anexo VI, el “Contenido del informe de pruebas del equipo azul (artículo 12, apartado 4)”.
B.5) Consecuencias de las pruebas de penetración basadas en amenazas: el Plan corrector e Informe de validación
En el plazo de ocho semanas a contar desde la notificación a que se refiere el artículo 12.7 del Reglamento Delegado, la entidad financiera presentará los planes correctores y la documentación a que se refiere el artículo 26.6 del DORA a la autoridad competente en relación con las pruebas de penetración basadas en amenazas y, cuando sea diferente, a la autoridad competente sobre la entidad financiera. A estos efectos, el Reglamento Delegado 2025/1190 enumera, en su Anexo VII, los “Detalles del informe de síntesis de los hallazgos pertinentes de la prueba de penetración basada en amenazas a que se refiere el artículo 26, apartado 6, del Reglamento (UE) 2022/2554”
El informe de validación a que se refiere el artículo 26.7, del DORA contendrá la información que figura en el Anexo VIII de este el Reglamento Delegado 2025/1190 que precisa los “Detalles del informe de validación de la prueba de penetración basada en amenazas a que se refiere el artículo 26, apartado 7, del Reglamento (UE) 2022/2554”.
B.6) Cooperación y reconocimiento mutuo
Cuando una entidad financiera preste servicios en más de un Estado miembro, incluso a través de una sucursal, su autoridad competente, respecto de la realización de una prueba de penetración basada en amenazas determinará qué autoridades competentes en relación con este tipo de pruebas deberán participar en la prueba en el Estado miembro de acogida, teniendo en cuenta si se ejerce o comparte una o varias funciones esenciales o importantes en los Estados miembros de acogida; informará a las autoridades competentes determinadas de conformidad con la letra a) de la decisión de someter a una prueba de penetración basada en amenazas a la entidad financiera; y dirigirá la prueba, a menos que las autoridades competentes en relación con las pruebas de penetración basadas en amenazas acuerden otra cosa (art.16).
Nota bibliográfica: el lector interesado en profundizar en el conocimiento de esta materia y, especialmente, en el DORA puede consultar:
Las entradas que publicamos en este blog los días 6,7,9 y 10 de febrero de este año con el título común de “DORA. Ley Europea de Resiliencia Operativa Digital del Sector Financiero. Reglamento (UE) 2022/2554”; la entrada del 17 de marzo pasado, dedicada a dar cuenta de “La nueva Ley de los Mercados de Valores y de los Servicios de Inversión: aprobación del Proyecto de Ley por los Plenos del Congreso y del Senado (2): Aspectos generales y ejes cardinales” y la de 13 de abril de 2023 “DORA llega a España: La nueva Ley de los Mercados de Valores y de los Servicios de Inversión adapta el régimen de las empresas de servicios de inversión al Reglamento de la UE sobre la resiliencia operativa digital en el sector financiero (DORA)”. Y las entradas de 30 y 31 de octubre de 2023 sobre “El Reglamento de la UE sobre la resiliencia operativa digital en el sector financiero (DORA): Conferencias recientes impartidas sobre la materia”.
Nuestros estudios sobre “DORA. La Ley europea de resiliencia operativa digital del sector financiero. Reglamento (UE) 2022/2554” en La Ley Unión Europea, nº 113, abril 2023; “Los 20 principios básicos de la ley europea de resiliencia Operativa Digital del Sector Financiero (DORA)”, publicado en el Diario La Ley, n.º 10262, Sección Tribuna, 5 de abril de 2023; y la “Supervisión y sanción de la resiliencia operativa digital del sector financiero en Europa. Reglamento (UE) 2022/2554. DORA”, publicado en la Revista Iberoamericana del Mercados de Valores (RIMV) n.º 68 (2023), pp. 24-32.