Pruebas técnicas de resiliencia operativa para DORA

DORA —Reglamento (UE) 2022/2554 sobre resiliencia operativa digital— es aplicable desde el 17 de enero de 2025 y no es una recomendación: es reglamento europeo de aplicación directa. No pide certificar nada. Pide que la entidad sea capaz de resistir, detectar y recuperarse de una interrupción operativa de origen tecnológico, y que pueda demostrarlo con evidencia.

Ese es el punto donde aparece la prueba técnica. Una entidad puede tener su marco de gestión de riesgos TIC documentado y su registro de incidentes al día, pero si nunca ha probado de forma independiente qué pasa cuando alguien ataca de verdad sus sistemas críticos, lo que tiene es una intención sobre el papel. DORA lo resuelve dedicando su Capítulo IV completo —artículos 24 a 27— a las pruebas de resiliencia operativa, con obligaciones concretas sobre qué se prueba, con qué frecuencia y quién puede ejecutarlo.

La consecuencia práctica es que el informe de pruebas se convierte en un documento que se enseña: a tu autoridad competente, a tus clientes institucionales y a tu propio consejo. Un informe sin alcance declarado, sin puntuación de criticidad o sin plan de acción es exactamente igual de útil que no tenerlo.

El artículo 25 es el que aplica a todas las entidades incluidas en el ámbito de DORA, estén designadas o no. Obliga a mantener un programa de pruebas de resiliencia operativa digital, proporcionado al tamaño, al perfil de riesgo y a la naturaleza de la actividad, y con una periodicidad mínima anual para las evaluaciones y los escaneos de vulnerabilidades sobre los sistemas que soportan funciones críticas o importantes.

El propio reglamento enumera las pruebas que caben en ese programa. Las que cubrimos son:

El artículo 25 no exige que la prueba la haga un tercero. Se puede ejecutar con equipo interno. Si eliges esa vía, el problema no es normativo sino práctico: la independencia del resultado, la disponibilidad de perfiles con experiencia ofensiva real y el tiempo que tu equipo deja de dedicar a operar. Es habitual que la entidad mantenga la propiedad del programa y externalice solo la ejecución.

Si tu organización responde además a otras normas, tiene sentido diseñar un alcance único que sirva para todas. Lo desarrollamos en Pentesting para ISO 27001, ENS y NIS2, donde están las cinco evidencias que pide cualquier auditor.

El TLPT (Threat-Led Penetration Testing) no es un pentesting más profundo ni una versión premium del artículo 25. Es una figura distinta, y conviene no confundirlas porque el error sale caro: el resultado de un artículo 25 no sustituye a un TLPT.

El TLPT se apoya en el marco TIBER-EU del Banco Central Europeo, que en España se implementa como TIBER-ES, coordinado por el Banco de España junto con la CNMV y la DGSFP según el tipo de entidad. El ejercicio es encubierto, dirigido por un informe de inteligencia de amenazas y cerrado con una fase obligatoria de purple teaming en la que se revisa con el equipo defensor qué se detectó y qué no.

El ámbito de DORA es amplio y no se limita a la banca. Entran, entre otras, las entidades de crédito, las entidades de pago y de dinero electrónico, las empresas de servicios de inversión, las aseguradoras y reaseguradoras, las infraestructuras de mercados y los proveedores de servicios de criptoactivos.

Menos conocido y más relevante para nosotros: DORA también alcanza a los proveedores TIC que prestan servicios a esas entidades. Muchos son empresas medianas o pequeñas, sin departamento de cumplimiento, a las que su cliente financiero empieza a pedir exactamente lo mismo que le pide su supervisor. Si eres proveedor TIC de una entidad financiera, la pregunta no es si te afecta: es qué te van a pedir y con qué antelación.

Y la designación para TLPT no se elige: la decide la autoridad competente y la notifica formalmente. Los criterios son el impacto sistémico, el perfil de riesgo, el tamaño y la actividad transfronteriza. Si nadie te lo ha notificado, no estás obligado al TLPT.

Si no tienes claro en qué lado del ámbito estás —entidad obligada, proveedor TIC alcanzado o ninguno de los dos—, dilo en el formulario. Es la primera cosa que resolvemos, y a veces la respuesta es que no necesitas contratar nada.

El borrador con los hallazgos críticos se entrega en las primeras 48 horas de terminar las pruebas, para que puedas empezar a remediar sin esperar al informe definitivo. El documento completo con el plan de acción y el retest posterior se cierra según el calendario de corrección acordado.

Para una estimación ajustada a tu caso antes de hablar con nadie, usa la calculadora de presupuesto de pentesting. Si necesitas contexto sobre qué pruebas y ejercicios de adversario hacemos, están en red team y simulación de adversarios y en cómo contratar un pentesting.