La mayor parte de lo que DORA pide a un proveedor de software es papeleo: cláusulas, registros, informes. Las pruebas de penetración guiadas por amenazas son la parte que no lo es. El artículo 26 del Reglamento (UE) 2022/2554 hace que las entidades financieras que sus autoridades identifican realicen una prueba de penetración guiada por amenazas, TLPT, al menos cada 3 años, sobre sistemas de producción que sustentan funciones esenciales o importantes, y el apartado 2 dice que el alcance incluye los sistemas que sustentan esas funciones que se han externalizado o contratado a proveedores terceros de servicios de TIC. Si su producto sustenta una función así en un banco que ha sido identificado, un equipo rojo contratado por el banco puede pasar tres meses atacando su entorno de producción sin que su personal de operaciones lo sepa. El Reglamento Delegado (UE) 2025/1190 de la Comisión, de 13 de febrero de 2025, publicado el 18 de junio de 2025 y en vigor desde el 8 de julio de 2025, especifica el cómo en diecisiete artículos y ocho anexos. Este artículo lee los artículos 26 y 27 de DORA y el Reglamento Delegado en el Diario Oficial en CELLAR el 12 de septiembre de 2026, desde el lado del proveedor. No es asesoramiento jurídico.

A quién se prueba, y por qué su cliente podría ser uno de ellos

No toda entidad financiera realiza una TLPT. El artículo 26, apartado 8, de DORA hace que las autoridades competentes identifiquen a las entidades obligadas según factores de impacto, consideraciones de estabilidad financiera y el perfil de riesgo de TIC de la entidad, y el artículo 2 del Reglamento Delegado enumera los criterios: tamaño, interconexión, la criticidad y la sustituibilidad de los servicios que presta la entidad, la complejidad de su modelo de negocio, si forma parte de un grupo de carácter sistémico y, en el lado de las TIC, su perfil de riesgo, su panorama de amenazas, el grado de dependencia de sus funciones esenciales o importantes respecto de las TIC, la complejidad de su arquitectura y, letra b), inciso v), los servicios y funciones de TIC sustentados por proveedores terceros de servicios de TIC y la cantidad y el tipo de acuerdos contractuales con ellos. Las microempresas y las entidades pequeñas del artículo 16, apartado 1, están excluidas. Así que los clientes que le llegan con una TLPT son los grandes, y el número de proveedores de los que dependen es una de las razones por las que fueron elegidos.

Lo que el contrato ya dice

La letra d) del artículo 30, apartado 3, de DORA exige que todo contrato de un servicio que sustenta una función esencial o importante contenga la obligación del proveedor de participar y cooperar plenamente en la TLPT del cliente conforme a los artículos 26 y 27. Es una de las seis cláusulas de la lista del artículo 30 para funciones esenciales o importantes, y no es negociable en principio, solo en la mecánica. El artículo 26, apartado 3, añade que, cuando los proveedores están incluidos en el alcance, la entidad adopta las medidas y salvaguardias necesarias para asegurar su participación y sigue siendo plenamente responsable, y el artículo 26, apartado 5, exige que la entidad, con la cooperación de sus proveedores y de los probadores, aplique controles de gestión de riesgos contra el impacto en los datos, los daños a los activos y la perturbación de funciones esenciales o importantes, en la entidad, sus contrapartes y el sector financiero.

La mecánica: el equipo de control, el equipo azul y las 12 semanas

El Reglamento Delegado define los papeles. El equipo de control, artículo 1, punto 1, es el personal de la entidad probada y, cuando el alcance lo requiera, el personal de sus proveedores terceros, que gestiona la prueba; el equipo azul, artículo 1, punto 3, es el personal de la entidad y, cuando proceda, de sus proveedores que defiende los sistemas y que no conoce la TLPT. El artículo 4 exige que las disposiciones organizativas de la entidad garanticen que el equipo de control sea informado de cualquier detección de la prueba por el personal de la entidad o de sus proveedores. Así que un proveedor en el alcance tiene gente en ambos lados: una o dos personas que saben, dentro del equipo de control, y un equipo de operaciones que no debe saber.

El artículo 9 fija la fase de preparación: la entidad presenta la información de inicio en los 3 meses siguientes a la notificación de la autoridad y una especificación del alcance en 6 meses, aprobada por su órgano de dirección, y el equipo de control selecciona al proveedor de inteligencia sobre amenazas y a los probadores. El artículo 10 es la fase de inteligencia sobre amenazas, que produce un informe dirigido sobre la entidad y su alcance. El artículo 11 es la prueba de equipo rojo: una fase activa de equipo rojo proporcional al alcance y al número de entidades y proveedores implicados, y en todo caso de al menos 12 semanas. Si algún miembro del personal de la entidad o de sus proveedores detecta la prueba, el equipo de control propone medidas para continuarla manteniendo el secreto. En circunstancias excepcionales que pongan en riesgo los datos, los activos o la perturbación de funciones esenciales o importantes de la entidad o de sus proveedores, el responsable del equipo de control puede suspender la prueba o, como último recurso y con la validación de la autoridad, continuarla como un ejercicio morado limitado.

El artículo 12 es el cierre: se informa al equipo azul; los probadores entregan un informe de equipo rojo en 4 semanas; el equipo azul entrega su informe en 10 semanas; en esas mismas 10 semanas ambos repiten las acciones ofensivas y defensivas y realizan un ejercicio morado sobre las vulnerabilidades encontradas; y la entidad presenta un informe resumido a la autoridad en las 8 semanas siguientes a la evaluación de los dos informes por la autoridad. El artículo 13 exige un plan de corrección en las 8 semanas siguientes, con, para cada hallazgo, las deficiencias, las medidas con prioridad y fechas de finalización, un análisis de causas raíz, los responsables y los riesgos de no corregir. El artículo 14 y el artículo 26, apartado 7, de DORA dan a la entidad una certificación para el reconocimiento mutuo entre autoridades.

El artículo 7 protege al proveedor tanto como a la entidad: los probadores y el proveedor de inteligencia sobre amenazas no pueden realizar tareas de equipo azul para la entidad ni para un proveedor implicado en la prueba, no pueden estar empleados por un proveedor de inteligencia sobre amenazas que lo haga, y no deben incurrir en la destrucción no autorizada de equipos ni en la modificación incontrolada de información y activos de TIC de la entidad o de sus proveedores. El artículo 27 de DORA exige que los probadores sean de la máxima idoneidad, estén certificados o sujetos a un código de conducta, cubiertos por un seguro de responsabilidad profesional y obligados contractualmente a una gestión rigurosa de los resultados, incluida la protección de la información confidencial.

La prueba agrupada, artículo 26, apartado 4: la opción escrita para el SaaS

Un proveedor multiinquilino tiene un problema que el Reglamento previó: un equipo rojo que ataca su entorno de producción para un banco ataca el entorno de todos sus demás clientes, incluidos los clientes fuera de DORA. El artículo 26, apartado 4, lo responde. Cuando cabe esperar razonablemente que la participación del proveedor en la TLPT de un cliente tenga un impacto adverso en la calidad o la seguridad de los servicios que presta a clientes fuera del ámbito de DORA, o en la confidencialidad de sus datos, la entidad y el proveedor pueden acordar por escrito que el proveedor contrate directamente a un probador externo y realice, bajo la dirección de una entidad financiera designada, una TLPT agrupada para varias entidades financieras a las que presta los servicios. La prueba agrupada cubre la gama pertinente de servicios que sustentan funciones esenciales o importantes contratados por esas entidades, y cuenta como la TLPT de cada entidad participante. El artículo 16 del Reglamento Delegado hace que las autoridades acuerden qué entidad dirige, considerando los servicios que presta el proveedor y la eficiencia de la prueba, y los artículos 6 y 8 fijan la gestión de riesgos y las particularidades de las pruebas agrupadas.

Para un proveedor con varios clientes financieros esta es la frase que hay que negociar en cada contrato: una prueba agrupada cada 3 años, dirigida por un cliente, con un probador que el proveedor selecciona conforme al artículo 27, en lugar de un equipo rojo distinto por cliente. Escríbala en la cláusula del artículo 30, apartado 3, letra d), cuando llegue la adenda, no cuando llegue la notificación.

Lo que no puede rechazar, y lo que sí

No puede rechazar la participación: la cláusula es obligatoria y la autoridad de la entidad valida el alcance. Puede, conforme al artículo 26, apartado 4, rechazar que su entorno de producción compartido sea atacado por cuenta de un solo cliente, siempre que ofrezca la prueba agrupada. Puede exigir, conforme al artículo 27, apartado 3, y al artículo 7, que el contrato del probador le obligue a proteger su información confidencial y a respetar la prohibición de destrucción y modificación incontrolada. Puede tener a su propio personal en el equipo de control, y debería, porque el equipo de control es donde se toma la decisión de suspensión del artículo 11 cuando la prueba amenaza a otros clientes. Y puede insistir en que la repetición y el ejercicio morado de la fase de cierre incluyan a su equipo azul, porque los hallazgos que afectan a su infraestructura son suyos para corregir.

Lo que un sistema ISO 27001 ya contiene

El Reglamento Delegado no nombra ninguna norma, y lo que sigue es la lectura de StandardOS de dónde produce un sistema de gestión ISO/IEC 27001:2022 lo que una TLPT buscará, sin presunción de conformidad. La fase de inteligencia sobre amenazas lee su propio registro de inteligencia sobre amenazas de A.5.7 y su superficie de ataque tal como la describe el inventario de activos, A.5.9. La fase de equipo rojo pone a prueba el registro y la supervisión de A.8.15 y A.8.16, con los que se defiende el equipo azul, y la planificación de la gestión de incidentes de A.5.24, que el equipo azul sigue cuando detecta. El plan de corrección de la fase de cierre corresponde al control de gestión de vulnerabilidades, A.8.8, y al registro de acciones correctivas de la cláusula 10.2, con causa raíz, responsable y fechas ya en el formato que pide el artículo 13. Los controles de gestión de riesgos del artículo 26, apartado 5, son los controles de continuidad, A.5.29 y A.5.30, aplicados a la ventana de prueba. Y las condiciones de confidencialidad que impone al probador son condiciones de un acuerdo con proveedor, A.5.20. Lo que la norma no le da es el secreto: un equipo azul al que no se informa es una disposición organizativa conforme al artículo 4, y hay que diseñarla con el cliente.

Qué hacer antes de la notificación

Decida ahora si un equipo rojo puede atacar su entorno de producción, y si no, ponga la prueba agrupada del artículo 26, apartado 4, en la cláusula del artículo 30, apartado 3, letra d), de cada contrato financiero. Elija, conforme al artículo 27, al probador externo que contrataría para una prueba agrupada, y acuerde con él de antemano las condiciones de confidencialidad y de prohibición de destrucción. Nombre a las dos personas que se sentarían en el equipo de control de un cliente y manténgalas apartadas de operaciones. Ensaye una suspensión: quién decide, con qué pruebas, en cuántos minutos, cuando la prueba amenace a otro cliente. Y mantenga el registro de incidentes y el de vulnerabilidades en una forma que produzca un plan de corrección en 8 semanas, porque el artículo sobre incidentes graves muestra los mismos registros respondiendo a otro plazo. El centro DORA reúne las fechas del Reglamento y de sus actos.