Tu resultado
Estás en el grupo del que se designa. Hoy no tienes obligación de TLPT.
Por tipo de entidad, por dónde estás autorizada y por tamaño, encajas en el conjunto del que las autoridades competentes eligen qué entidades tienen que realizar un TLPT. Que encajes no significa que te toque.
Quién tiene que hacerlo lo determina la autoridad competente, entidad por entidad. El artículo 26, apartado 8, párrafo tercero, de DORA lo dice así: «Las autoridades competentes determinarán qué entidades financieras deberán realizar pruebas de penetración basadas en amenazas». El artículo 2 del RTS de TLPT desarrolla con qué criterios: impacto, carácter sistémico y perfil de riesgo relacionado con las TIC. No hay un umbral que cruces solo ni una lista pública en la que te apuntes.
La notificación llega por escrito de tu autoridad competente y se dirige a la entidad, no a una persona. Si nadie de la entidad la ha recibido, no estáis determinados. Y desde que llega se nota: el artículo 9, apartado 2, del RTS os da tres meses para presentar la carta del proyecto, los datos del responsable del equipo de control, los canales de comunicación y el nombre clave de la prueba. Si hubiese llegado, en la casa se sabría.
No te hemos preguntado por el tamaño porque en tu caso no cambia nada. El artículo 3, punto 60, de DORA deja fuera de la definición de microempresa a los centros de negociación, las entidades de contrapartida central, los registros de operaciones y los depositarios centrales de valores. Esa salida no existe para ti.
Lo que puedes hacer hoy, y no depende de nadie más:
- Contrastar el umbral de arriba con tus propias cifras. Es el primer criterio que tu autoridad mira.
- Revisar los requisitos contractuales con tus proveedores TIC, que es la parte de DORA que ya te aplica hoy.
- Si lo que quieres saber es cuánto tardaría tu equipo en detectar a alguien dentro, eso se mide con un red team, con reglamento o sin él.
Esto no es asesoramiento jurídico. Es el reglamento leído contra lo que has respondido, con los artículos citados para que lo compruebes tú mismo. Quien decide es tu autoridad competente.
Tu resultado
Os han notificado. A partir de ahí el calendario lo marca el reglamento.
Desde la notificación, la prueba tiene que cumplir el artículo 26 de DORA y el Reglamento Delegado (UE) 2025/1190, que son las normas técnicas de TLPT. Los plazos que ya corren, con el artículo de cada uno para que no tengáis que fiaros de nuestra palabra:
- Tres meses desde la notificación para presentar la carta del proyecto, los datos del responsable del equipo de control, la información sobre si vais con probadores internos o externos, los canales de comunicación y el nombre clave de la prueba (artículo 9, apartado 2, del RTS).
- Un equipo de control formado por personal vuestro, con su responsable, que se constituye después de que la autoridad valide esa información de puesta en marcha (artículo 9, apartado 4).
- Un gestor de pruebas y al menos un sustituto, que designa la autoridad. No lo pone la entidad ni el proveedor (artículo 3, apartado 2).
- Una fase activa de pruebas de equipo rojo de 12 semanas como mínimo (artículo 11, apartado 5).
- Replay y trabajo en equipo morado dentro de las diez semanas siguientes al fin de la fase activa (artículo 12, apartado 5).
- El informe de validación lo emite la autoridad, no el proveedor, y no os traslada la responsabilidad sobre las repercusiones de la prueba (artículo 26, apartado 7, de DORA).
- Y la prueba se repite al menos cada tres años (artículo 26, apartado 1, de DORA).
Sobre a quién podéis contratar.
El artículo 27, apartado 1, de DORA no dice quién se somete a la prueba: fija el listón que deben cumplir los probadores. Pide idoneidad y prestigio del más alto grado; capacidades técnicas y organizativas con conocimientos especializados demostrados en inteligencia sobre amenazas, pruebas de penetración y pruebas de equipo rojo; acreditación por un órgano de certificación de un Estado miembro o adhesión a códigos de conducta o marcos éticos oficiales; una garantía independiente o informe de auditoría; y seguro de responsabilidad civil profesional que cubra también los riesgos de falta intencionada y negligencia. El artículo 7 del RTS añade la documentación concreta que vuestro equipo de control tendrá que archivar de cada proveedor, incluidos currículos, certificaciones y referencias de encargos anteriores. Pedídselo por escrito a quien se presente. A nosotros los primeros.
Dónde estamos nosotros.
De ese listón, hoy os podemos acreditar dos: la garantía independiente o informe de auditoría de la letra d), y el seguro de responsabilidad civil profesional con cobertura de falta intencionada y negligencia de la letra e). Las demás no os las podemos dar por buenas hoy. Así que no os vamos a decir que os podemos ejecutar el TLPT regulado ni que cumplimos el listón del artículo 27.
Lo que sí hacemos es red team no regulado: medir cuánto tarda vuestro equipo en detectar y contener a alguien que ya está dentro. Es otro producto y se compra por otro motivo. Si es lo que buscáis, escribidnos a [email protected].
Esto no es asesoramiento jurídico. Es el reglamento leído contra lo que has respondido, con los artículos citados para que lo compruebes tú mismo. Quien decide es tu autoridad competente.
Tu resultado
Un ejercicio TIBER puede ser justo la vía por la que se ejecuta vuestro TLPT. Quien lo determina es vuestra autoridad competente.
TIBER-EU y el TLPT de DORA no son dos mundos separados. El artículo 26, apartado 11, de DORA encarga a las Autoridades Europeas de Supervisión desarrollar las normas técnicas de TLPT «de conformidad con el marco TIBER-EU». Y el marco TIBER-EU actualizado en febrero de 2025 lo dice desde el otro lado: los requisitos de TLPT de DORA están incorporados a su proceso de prueba, de forma que una entidad que complete una prueba bajo una implantación nacional o europea de TIBER-EU cumplirá el TLPT de DORA, siempre que satisfaga los requisitos formales que fije la autoridad competente. Ese mismo marco añade que, cuando se usa para las obligaciones de TLPT de DORA, las autoridades de TLPT se consideran autoridades TIBER para esa prueba.
O sea: el mismo ejercicio puede ser voluntario o puede ser vuestro TLPT regulado. Lo que cambia no es el método, es el título bajo el que se ejecuta, y eso lo determina la autoridad, no el proveedor y no vosotros.
La pregunta útil es esta, y os toca hacerla a vosotros:
Preguntad a vuestro gestor de pruebas, o al equipo de la autoridad que lleva el ejercicio, si vuestra prueba se está ejecutando como el TLPT de DORA o al margen de él. De la respuesta dependen los plazos del reglamento, quién firma el informe de validación y si la prueba cuenta para el ciclo de al menos tres años del artículo 26, apartado 1.
Sobre TIBER-ES en concreto.
Su autoridad propietaria es el Banco de España, con la participación de la CNMV y de la DGSFP cuando las entidades que vayan a someterse a las pruebas pertenezcan a sus respectivos ámbitos de competencia. La guía de implementación publicada es de enero de 2022 y describe la participación como voluntaria, pero es anterior a DORA, a las normas técnicas de TLPT y a la actualización de TIBER-EU de febrero de 2025. No deduzcas de esa guía que tu ejercicio queda fuera de DORA.
Dónde estamos nosotros.
De los requisitos que el artículo 27, apartado 1, de DORA impone a los probadores, hoy os podemos acreditar dos: la garantía independiente o informe de auditoría de la letra d), y el seguro de responsabilidad civil profesional con cobertura de falta intencionada y negligencia de la letra e). Por eso no os vamos a decir que os podemos ejecutar un TLPT regulado. Red team no regulado sí hacemos, y es otro producto.
Esto no es asesoramiento jurídico. Es el reglamento leído contra lo que has respondido, con los artículos citados para que lo compruebes tú mismo. Quien decide es tu autoridad competente.
Tu resultado
DORA te aplica. El TLPT, no.
El artículo 26, apartado 1, de DORA deja fuera de la obligación de TLPT a las microempresas, junto con las entidades del artículo 16, apartado 1, párrafo primero. DORA define microempresa en su artículo 3, punto 60: «una entidad financiera distinta de un centro de negociación, una entidad de contrapartida central, un registro de operaciones o un depositario central de valores, que emplea a menos de diez personas y cuyo volumen de negocios anual o balance anual total es igual o inferior a 2 millones EUR». Con lo que has respondido, ahí estás. No formas parte del grupo del que se designa.
El resto de DORA sí te aplica: gestión del riesgo relacionado con las TIC, notificación de incidentes graves, pruebas de resiliencia operativa digital y los requisitos contractuales con tus proveedores TIC.
Y la pregunta de fondo no depende de DORA.
Los motivos por los que se contrata un red team sin reglamento de por medio suelen ser estos cuatro:
- Una pregunta del consejo sobre la preparación frente al ransomware.
- Un SOC nuevo, propio o subcontratado, que quieres comprobar que funciona.
- Un cliente grande que lo pide en su diligencia de proveedor.
- Un incidente en tu sector que ha cambiado la conversación en casa.
Si lo que quieres es medir detección y respuesta, eso lo hace un red team. Si lo que necesitas es cobertura sobre una superficie concreta, la respuesta es un pentesting. Te decimos cuál te conviene en [email protected].
Esto no es asesoramiento jurídico. Es el reglamento leído contra lo que has respondido, con los artículos citados para que lo compruebes tú mismo. Quien decide es tu autoridad competente.
Tu resultado
Estás en el marco simplificado. El TLPT no va contigo.
El artículo 26, apartado 1, de DORA excluye de la obligación de TLPT a las entidades contempladas en el artículo 16, apartado 1, párrafo primero. Ese párrafo nombra a las empresas de servicios de inversión pequeñas y no interconectadas, las entidades de pago exentas en virtud de la Directiva (UE) 2015/2366, las entidades exentas en virtud de la Directiva 2013/36/UE respecto de las cuales el Estado miembro haya decidido no aplicar la opción del artículo 2, apartado 4, las entidades de dinero electrónico exentas en virtud de la Directiva 2009/110/CE y los fondos de pensiones de empleo pequeños. Con lo que has respondido, estás en ese grupo.
Lo que sí te aplica es el marco simplificado de gestión del riesgo relacionado con las TIC del artículo 16 y los requisitos contractuales con tus proveedores TIC.
Y la pregunta de fondo no depende de DORA.
Los motivos por los que se contrata un red team sin reglamento de por medio suelen ser estos cuatro:
- Una pregunta del consejo sobre la preparación frente al ransomware.
- Un SOC nuevo, propio o subcontratado, que quieres comprobar que funciona.
- Un cliente grande que lo pide en su diligencia de proveedor.
- Un incidente en tu sector que ha cambiado la conversación en casa.
Si lo que quieres es medir detección y respuesta, eso lo hace un red team. Si lo que necesitas es cobertura sobre una superficie concreta, la respuesta es un pentesting. Te decimos cuál te conviene en [email protected].
Esto no es asesoramiento jurídico. Es el reglamento leído contra lo que has respondido, con los artículos citados para que lo compruebes tú mismo. Quien decide es tu autoridad competente.
Tu resultado
DORA no te aplica.
El artículo 2, apartado 3, letra e), de DORA deja fuera del reglamento a «los intermediarios de seguros, los intermediarios de reaseguros y los intermediarios de seguros complementarios que sean microempresas o pequeñas o medianas empresas». DORA define esos tres tamaños en su artículo 3, puntos 60, 63 y 64: mediana empresa es la que emplea a menos de 250 personas y cuyo volumen de negocios anual es igual o inferior a 50 millones EUR o cuyo balance anual es igual o inferior a 43 millones EUR. Con lo que has respondido estás dentro de ese grupo, así que ni el reglamento ni el TLPT te obligan.
Dos matices que conviene tener a mano:
- Si trabajas para entidades que sí están sujetas a DORA, sus requisitos contractuales con proveedores TIC pueden llegarte por contrato aunque el reglamento no te obligue directamente.
- Otra normativa de seguridad puede aplicarte por otra vía. Este test solo mira DORA.
Y la pregunta de fondo sigue en pie: si alguien entrase hoy en tu red, ¿cuánto tardaríais en verlo? Eso se mide igual, con reglamento o sin él. Escríbenos a [email protected].
Esto no es asesoramiento jurídico. Es el reglamento leído contra lo que has respondido, con los artículos citados para que lo compruebes tú mismo. Quien decide es tu autoridad competente.
Tu resultado
DORA no te aplica.
El artículo 2, apartado 3, letra c), de DORA deja fuera del reglamento a «los fondos de pensiones de empleo que gestionen planes de pensiones que, en conjunto, no tengan más de quince partícipes en total». Con lo que has respondido ese es tu caso, así que ni el reglamento ni el TLPT te obligan.
Dos matices que conviene tener a mano:
- Si trabajas para entidades que sí están sujetas a DORA, sus requisitos contractuales con proveedores TIC pueden llegarte por contrato aunque el reglamento no te obligue directamente.
- Otra normativa de seguridad puede aplicarte por otra vía. Este test solo mira DORA.
Y la pregunta de fondo sigue en pie: si alguien entrase hoy en tu red, ¿cuánto tardaríais en verlo? Eso se mide igual, con reglamento o sin él. Escríbenos a [email protected].
Esto no es asesoramiento jurídico. Es el reglamento leído contra lo que has respondido, con los artículos citados para que lo compruebes tú mismo. Quien decide es tu autoridad competente.
Tu resultado
Estás dentro de DORA, pero por el otro lado del contrato.
Los proveedores terceros de servicios de TIC son la letra u) del artículo 2, apartado 1. Y hay un detalle del texto que conviene conocer: el apartado 2 de ese mismo artículo reserva el nombre de «entidades financieras» a las letras a) a t). Vosotros no lo sois, y el TLPT es una obligación de la entidad financiera, no del proveedor. Lo que os llega es otra cosa:
- Los requisitos contractuales que vuestros clientes financieros tienen que trasladar a los contratos que firmáis con ellos.
- Si las Autoridades Europeas de Supervisión os designan proveedor tercero esencial de servicios de TIC, entráis en el marco de vigilancia, con un supervisor principal asignado.
- Si un cliente vuestro es determinado para un TLPT, el alcance puede alcanzar a los servicios que le prestáis. El artículo 26, apartado 3, obliga a la entidad financiera a tomar las medidas necesarias para asegurar vuestra participación, y el apartado 4 prevé que en ciertos casos seáis vosotros quienes contratéis directamente al probador, para una prueba conjunta con varias entidades financieras. Eso se negocia y se documenta antes de empezar, no durante.
Lo útil:
Si vendes al sector financiero, lo que suele desatascar una diligencia de proveedor es poder enseñar una prueba ofensiva reciente sobre el servicio que prestas, con el informe y las correcciones verificadas. Escríbenos a [email protected].
Esto no es asesoramiento jurídico. Es el reglamento leído contra lo que has respondido, con los artículos citados para que lo compruebes tú mismo. Quien decide es tu autoridad competente.
Tu resultado
DORA no va contigo.
DORA se aplica a los tipos de entidad que enumera su artículo 2, apartado 1, todos del sector financiero, más los proveedores terceros de servicios de TIC. Si no estás en esa lista, ni el reglamento ni el TLPT te obligan.
Puede llegarte igualmente por contrato: si vendes a banca, seguros o mercados, tus clientes sí están sujetos y te trasladarán requisitos de seguridad. Y otra normativa puede aplicarte por otra vía, porque este test solo mira DORA.
La pregunta de fondo aguanta sin reglamento: ¿cuánto tardaría tu equipo en detectar a alguien dentro? Eso es exactamente lo que mide un red team. Escríbenos a [email protected].
Esto no es asesoramiento jurídico. Es el reglamento leído contra lo que has respondido, con los artículos citados para que lo compruebes tú mismo. Quien decide es tu autoridad competente.
Tu resultado
Sin autorización en la UE, DORA no te obliga directamente.
DORA se dirige a las entidades autorizadas o registradas en la Unión Europea. Sin autorización ni registro en la UE, el reglamento no os obliga por sí mismo, y la determinación de TLPT del artículo 26 no os alcanza.
Dos vías por las que puede alcanzaros igualmente:
- Por contrato, si prestáis servicios a entidades financieras de la UE o si ellas os los prestan a vosotros.
- Por grupo, si tenéis o autorizáis una filial o una sucursal en un Estado miembro. Ahí la entidad que hay que mirar es la europea, y este test cambia de respuesta.
Y la pregunta de fondo no cambia de país: si alguien entrase hoy en vuestra red, ¿cuánto tardaríais en verlo? Escríbenos a [email protected] y lo vemos.
Esto no es asesoramiento jurídico. Es el reglamento leído contra lo que has respondido, con los artículos citados para que lo compruebes tú mismo. Quien decide es tu autoridad competente.
El umbral que tu autoridad mira primero
El artículo 2, apartado 2, del Reglamento Delegado (UE) 2025/1190 obliga a las autoridades a exigir el TLPT a las entidades de una lista tasada, salvo que su propia evaluación de impacto, estabilidad financiera y perfil de riesgo TIC diga que no está justificado. No es automático y sigue haciendo falta la notificación, pero es el criterio que se aplica antes que ninguno, y lo puedes contrastar hoy con tus cifras.
Las entidades de crédito identificadas como entidades de importancia sistémica mundial (EISM) o como otras entidades de importancia sistémica (OEIS) conforme al artículo 131 de la Directiva 2013/36/UE, y las que forman parte de una EISM o de una OEIS.
Las entidades de pago con operaciones de pago por valor total superior a 150 000 millones de euros en cada uno de los dos años naturales anteriores a la evaluación. Las entidades de dinero electrónico, con ese mismo umbral de operaciones o con dinero electrónico en circulación por importe total superior a 40 000 millones de euros. Para los proveedores de servicios de información sobre cuentas, el artículo 2, apartado 2, no fija umbral propio: se evalúan con los criterios generales del apartado 1.
Los depositarios centrales de valores y las entidades de contrapartida central están en la lista sin umbral: todos. Los centros de negociación con sistema electrónico de negociación entran si ostentan la mayor cuota de mercado nacional por volumen de negocios en alguna de las categorías de instrumentos que enumera la letra f), o más del 5 % de cuota a escala de la Unión, en cada uno de los dos años naturales anteriores. Para los registros de operaciones, el apartado 2 no fija umbral propio.
Las empresas de seguros y de reaseguros que cumplan los tres criterios de la letra g): prima bruta suscrita superior a 1 500 millones de euros, provisiones técnicas superiores a 10 000 millones, y, para las que ejerzan solo actividades de vida o de vida y no vida, activos totales que superen el 3,5 % de la suma de los activos totales de las empresas de seguros y reaseguros establecidas en el Estado miembro. Dentro de ese subconjunto, la obligación se activa si además se cumple alguno de estos tres: prima bruta suscrita superior a 3 000 millones, provisiones técnicas superiores a 30 000 millones, o activos totales por encima del 10 % de esa misma suma. La letra g) está redactada de forma densa: si tus cifras rondan esos números, léela directamente.
Para tu figura, el artículo 2, apartado 2, no fija un umbral propio. Se te evalúa con los criterios generales del apartado 1: tamaño, interconexión, carácter esencial y sustituibilidad de tus servicios, complejidad del modelo de negocio, pertenencia a un grupo sistémico, y por el lado TIC tu perfil de riesgo, tu panorama de amenazas, la dependencia de tus funciones esenciales respecto de los sistemas de TIC y la madurez de tu detección y respuesta.
Quién manda en tu caso, en España
El artículo 46 de DORA reparte la supervisión por tipo de entidad, remitiendo a la normativa sectorial de cada figura. Un matiz que conviene tener claro antes de la tabla: para el TLPT la autoridad puede no ser la misma. El artículo 1, punto 7, del RTS llama «autoridad competente en relación con las pruebas de penetración basadas en amenazas» a tres cosas posibles: la autoridad pública única que un Estado miembro designe conforme al artículo 26, apartado 9, de DORA; la autoridad en la que se deleguen tareas conforme al apartado 10; o cualquiera de las autoridades del artículo 46. Y el artículo 16, apartado 6, del RTS prevé expresamente que las dos sean distintas y tengan que compartir información.
El Banco de España. Si el banco está clasificado como significativo dentro del Mecanismo Único de Supervisión, quien supervisa es el Banco Central Europeo (artículo 46, letra a).
El Banco de España (artículo 46, letra b, que remite al artículo 22 de la Directiva (UE) 2015/2366).
El Banco de España, que en España asume la supervisión de los emisores de fichas referenciadas a activos y de fichas de dinero electrónico bajo MiCA (artículo 46, letra d).
La CNMV (artículo 46, letra c).
La CNMV (artículo 46, letras i y j).
La CNMV para depositarios centrales de valores, entidades de contrapartida central y centros de negociación (artículo 46, letras e, f y g). Para los registros de operaciones, la letra h remite al artículo 22 del Reglamento (UE) n.º 648/2012, que designa autoridad nacional, y en España es la CNMV. Ten en cuenta que el registro y la supervisión ordinaria de los registros de operaciones bajo EMIR los lleva la ESMA, así que aquí puedes tener dos interlocutores.
La CNMV, autoridad competente en España para la supervisión del cumplimiento de MiCA por los proveedores de servicios de criptoactivos (artículo 46, letra d).
La CNMV (artículo 46, letra p).
Depende de cuál de las cuatro seas. Para las agencias de calificación crediticia, el artículo 46, letra n, remite al artículo 21 del Reglamento (CE) n.º 1060/2009, que es la ESMA. Para los registros de titulizaciones, la letra q remite a los artículos 10 y 14, apartado 1, del Reglamento (UE) 2017/2402, que también es la ESMA. Los administradores de índices de referencia cruciales (letra o) y los proveedores de servicios de suministro de datos (letra g) se reparten entre la ESMA y la autoridad nacional según el caso. Dinos cuál eres y lo concretamos.
La Dirección General de Seguros y Fondos de Pensiones, la DGSFP (artículo 46, letra k).
La DGSFP (artículo 46, letra l).
La DGSFP (artículo 46, letra m).
Y para TIBER-ES: la autoridad propietaria del marco es el Banco de España, con la participación de la CNMV y de la DGSFP cuando las entidades que vayan a someterse a las pruebas pertenezcan a sus respectivos ámbitos de competencia.
Tu autoridad competente es el supervisor sectorial de ese Estado miembro, no el español. El reparto español te sirve de referencia de cómo suele estructurarse: banca y pagos en el banco central, mercados e inversión en el supervisor de valores, seguros y pensiones en el supervisor de seguros.
La entidad que hay que mirar es la europea, y su autoridad competente es la del Estado miembro donde esté autorizada.
De dónde sale cada cosa: Reglamento (UE) 2022/2554 (DORA), artículos 2, 3, 16, 26, 27 y 46. Reglamento Delegado (UE) 2025/1190, las normas técnicas de regulación de TLPT, artículos 1, 2, 3, 7, 9, 11, 12 y 16. El marco TIBER-EU del Banco Central Europeo, actualizado el 11 de febrero de 2025. La guía de implementación TIBER-ES del Banco de España, de enero de 2022.
