TLPT bajo DORA: qué exige el primer ciclo en España
Por Arturo Navarro · 19 de septiembre de 2026
El artículo 26 de DORA (Digital Operational Resilience Act) es el Reglamento (UE) 2022/2554 sobre la resiliencia operativa digital del sector financiero. Obliga a bancos, aseguradoras y empresas de inversión de la UE a resistir las perturbaciones y amenazas TIC, responder a ellas y recuperarse. Se aplica desde el 17 de enero de 2025.Leer más → DORA (Reglamento (UE) 2022/2554) obliga a determinadas entidades financieras a llevar a cabo al menos cada tres años pruebas avanzadas de penetración basadas en amenazas, conocidas por sus siglas en inglés como TLPT (threat-led penetration testing). El detalle operativo lo fija el Reglamento Delegado (UE) 2025/1190, de 13 de febrero de 2025, publicado en el Diario Oficial el 18 de junio de 2025. Para una entidad española en compliance con DORA, la consecuencia es incómoda: el primer ciclo no lo abre la entidad, lo abre una notificación de la autoridad, y desde ahí los plazos los pone la norma.
Qué es un TLPT y quién decide que una entidad lo ejecuta
Un TLPT no es un test de intrusión al uso. El artículo 26.2 exige que cada prueba abarque «algunas o todas las funciones esenciales o importantes» de la entidad y que se realice «sobre los sistemas de producción activos que sustenten esas funciones»: no hay preproducción donde equivocarse. La entidad evalúa qué funciones entran en el alcance, y esa evaluación la validan las autoridades competentes.
La obligación tampoco es autoservicio. El artículo 26.8, párrafo tercero, atribuye a las autoridades competentes determinar qué entidades deben ejecutarlo, sobre tres bloques: el impacto de sus servicios en el sector, las preocupaciones de estabilidad financiera y el perfil de riesgo TIC específico, el nivel de madurez de TIC o las características tecnológicas presentes. El 26.9 deja la gobernanza a los Estados miembros, que «podrán designar a una única autoridad pública en el sector financiero» para estas pruebas; a falta de designación, el 26.10 permite que una autoridad competente delegue todas o algunas de esas tareas en otra autoridad nacional del sector financiero. El Reglamento Delegado define la «autoridad competente en relación con las pruebas de penetración basadas en amenazas» (en este artículo, autoridad TLPT) como cualquiera de estas tres: la autoridad única del 26.9, la autoridad en la que se deleguen algunas o todas las tareas (26.10) o cualquiera de las autoridades competentes del artículo 46 de DORA (artículo 1, punto 7).
En España conviene separar dos planos que se mezclan. El marco que ya existe es TIBER-ES: el Banco de España es la autoridad propietaria del marco local, con la estrecha colaboración de la CNMV y la DGSFP, y su propia página describe esas pruebas como voluntarias. El TLPT de DORA es la obligación, y se dirige solo a las entidades identificadas. Los une la metodología: el artículo 26.11 ordenó desarrollar las normas técnicas «de conformidad con el marco TIBER-EU», que el BCE publicó en mayo de 2018 y actualizó en 2024 para alinearlo con ellas.
La autoridad que dirige la prueba no siempre es la supervisora habitual
El considerando 1 del Reglamento Delegado (UE) 2025/1190 precisa que la designación nacional se entiende «sin perjuicio» de las competencias atribuidas a escala de la Unión, y cita al Banco Central Europeo para las entidades de crédito significativas. Y añade que, cuando solo se delegan algunas tareas en otra autoridad nacional (artículo 26.10), la autoridad competente del artículo 46 conserva las no delegadas.
A quién señala la norma y con qué umbrales
El artículo 2.1 del Reglamento Delegado obliga a las autoridades TLPT a valorar tamaño, interconexión, criticidad y sustituibilidad de los servicios, complejidad del negocio y un bloque de riesgo TIC que incluye la madurez de la detección y la mitigación. Su artículo 2.2 añade una lista de entidades a las que se exigirá la prueba salvo que esa valoración lo desaconseje:
| Tipo de entidad | Umbral del artículo 2.2 |
|---|---|
| Entidades de crédito | Ser EISM u OEIS, o formar parte de una de ellas (art. 2.2). |
| Entidades de pago | Operaciones de pago por más de 150.000 millones de euros en cada uno de los dos años naturales anteriores a la valoración de la autoridad TLPT (art. 2.2). |
| Entidades de dinero electrónico | El mismo umbral de pagos, o más de 40.000 millones de euros de dinero electrónico en circulación, en cada uno de los dos años naturales anteriores a la valoración de la autoridad TLPT (art. 2.2). |
| Depositarios centrales de valores y entidades de contrapartida central | Sin umbral cuantitativo: entran por tipo (art. 2.2). |
| Centros de negociación electrónicos | Mayor cuota nacional por volumen de negocios, o cuota superior al 5 % a escala de la Unión, en ambos casos en cada uno de los dos años naturales anteriores a la valoración de la autoridad TLPT (art. 2.2). |
| Seguros y reaseguros | Prima bruta suscrita superior a 1.500 millones de euros, provisiones técnicas superiores a 10.000 millones de euros y, en las aseguradoras de vida o mixtas, activos por encima del 3,5 % del total del mercado nacional (art. 2.2). |
La tabla se lee en las dos direcciones. Sobre las aseguradoras de vida o mixtas que cumplen los tres criterios, el artículo 2.2 aplica un segundo filtro de umbrales superiores: pasar la primera criba no obliga. A la inversa, quien supera un umbral puede quedar fuera si la valoración global de la autoridad no justifica la prueba, y otra entidad puede entrar por criterios cualitativos (el considerando 3 menciona a los proveedores de servicios de criptoactivos).
El calendario que impone el primer ciclo
Lo que más sorprende no son los requisitos técnicos, sino los plazos, tasados desde tres hitos distintos (la notificación inicial, el fin de la fase activa y la evaluación de los informes por la autoridad), más la duración mínima de la propia fase activa:
| Hito | Plazo |
|---|---|
| Información de puesta en marcha tras la notificación | 3 meses (artículo 9.2) |
| Fase activa de pruebas del equipo rojo | Mínimo 12 semanas (artículo 11.5) |
| Informe del equipo rojo tras el fin de la fase activa | 4 semanas (artículo 12.2) |
| Informe del equipo azul y repetición conjunta de las acciones | Máximo 10 semanas (artículos 12.4 y 12.5) |
| Informe de síntesis a la autoridad | 8 semanas desde que la autoridad notifica que ha evaluado los informes de los equipos rojo y azul (artículo 12.7) |
| Planes correctores y documentación | 8 semanas desde esa misma notificación (artículo 13.1) |
Sumados, un ciclo se acerca al año natural, sin contar la preparación previa. La fase activa no admite atajos: si, como último recurso y con validación previa de la autoridad, la prueba prosigue como ejercicio limitado de equipo morado en lugar de suspenderse, la duración de ese ejercicio computa dentro del mínimo de 12 semanas (artículo 11.10). El plan corrector tampoco es una lista de tareas: el artículo 13.2 exige por hallazgo la deficiencia, las medidas priorizadas, la causa raíz, el responsable y los riesgos de no implantarlas.
Quién puede ejecutar la prueba
El artículo 27.1 fija cinco requisitos acumulativos para los probadores: idoneidad y prestigio, capacidades demostradas en inteligencia sobre amenazas, pruebas de penetración y pruebas de equipo rojo, garantía independiente o informe de auditoría, seguros de responsabilidad civil profesional y, en el punto que más se cita mal, estar «acreditados por un órgano de certificación de un Estado miembro o» adherirse a códigos de conducta o marcos éticos oficiales: la acreditación formal es una de las dos vías, no la única.
El Reglamento Delegado concreta la selección: el proveedor de inteligencia aporta al menos tres referencias de encargos previos y los probadores externos al menos cinco (artículo 7.1). Con equipos internos, DORA obliga a contratar externos cada tres pruebas, el proveedor de inteligencia ha de ser siempre externo y las entidades de crédito significativas solo pueden usar probadores externos.
Qué arquitectura resiste una prueba sobre producción
Aquí el TLPT deja de ser compliance y pasa a ser arquitectura. La prueba corre sobre sistemas vivos y el considerando 11 enumera los riesgos sin rodeos: denegación de servicio, caídas inesperadas del sistema, daños a los sistemas de producción activos esenciales y pérdida, modificación o divulgación de datos. Cuatro propiedades separan a quien se mide de quien se descubre.
- Radio de explosión acotado. Si el movimiento lateral desde un equipo comprometido alcanza el núcleo transaccional, el hallazgo no es una vulnerabilidad: es la arquitectura.
- Trazabilidad del tráfico interno. Sin visibilidad este-oeste no hay forma de reconstruir la cadena del ataque en la repetición conjunta del artículo 12.5.
- Identidad antes que red. Los escenarios atacan personas, procesos y tecnología a la vez, no un perímetro.
- Dependencias de terceros inventariadas. El artículo 26.2 alcanza los sistemas que sustentan funciones externalizadas, y ese inventario alimenta el registro de información de terceros TIC.
Conviene subrayar la letra b) del artículo 2.1 (inciso viii): la madurez de la detección y la mitigación es a la vez criterio para identificar a la entidad y materia de la prueba. La capacidad defensiva forma parte del motivo por el que llega la notificación.
Zero Trust como preparación estructural
Un ciclo TLPT premia decisiones tomadas años antes. El acceso mínimo por identidad, la microsegmentación y la autorización verificable no se añaden durante la fase activa: determinan si un escenario llega a los marcadores. Es el argumento de Zero Trust es el modelo de seguridad que NIST formaliza en SP 800-207: la ubicación de red no otorga confianza implícita y cada acceso se autentica y autoriza por separado. En banca y seguros acota el movimiento lateral tras el robo de una credencial; BlueUP lo aplica con identidad criptográfica por servicio.Leer más → Zero Trust aplicado a banca, desarrollado en Zero Trust en banca, y el que sostiene la gobernanza de agentes de IA con identidad propia.
La prueba se prepara con arquitectura, no con documentación
El informe de síntesis y el plan corrector son entregables. El resultado lo deciden tres cosas: si las funciones esenciales están aisladas, si cada acceso se autoriza por identidad y si el tráfico interno deja rastro.
Errores frecuentes antes del primer ciclo
- Confundir TIBER-ES con la obligación. El marco del Banco de España es voluntario; la obligación nace del artículo 26 de DORA.
- Planificar desde el pentest anual. Un test de intrusión cubre sistemas aislados; el TLPT simula un adversario contra la entidad entera, con inteligencia dirigida.
- Dejar el alcance para el final. La autoridad valida qué funciones esenciales entran, y de ahí cuelga todo el calendario.
- Subestimar el equipo de control. El artículo 4 exige un responsable de la gestión cotidiana de la prueba y un acceso a la información limitado por necesidad de conocer; el considerando 10 añade que el equipo de control debe ser lo más pequeño posible.
Conclusión: el TLPT mide la arquitectura, no el informe
DORA convirtió el red teaming dirigido por inteligencia en una obligación periódica con autoridad, calendario y entregables tasados. El ciclo dura cerca de un año, corre sobre producción y termina en un plan corrector con causa raíz. La preparación útil no es acumular documentación: es reducir el radio de explosión, hacer trazable el tráfico interno y autorizar por identidad antes de la notificación.
Para una entidad que evalúa si el TLPT le aplica o cómo prepararse, BlueUP aborda la resiliencia operativa DORA como arquitectura, no como papeleo. El primer paso es medir la madurez con la Calculadora DORA, repasar el marco en la guía práctica de DORA o plantear el caso.
Lecturas relacionadas
- DORA para fintech e insurtech: guía práctica y checklist de 90 días — El pilar de pruebas dentro de un plan de 90 días.
- Registro de Información DORA: por qué casi nadie lo pasa a la primera — El inventario de terceros que alimenta el alcance.
- Anatomía de un incidente DORA: del indicio a la notificación — Cuando el adversario no es simulado.