Contexto normativo europeo
Pruebas de penetración en el marco de NIS2 y DORA
Una guía práctica sobre la gestión de riesgos de ciberseguridad en la UE, las pruebas de resiliencia operativa digital y las expectativas en materia de pruebas de penetración basadas en amenazas.
Evidencias de resiliencia, no una garantía de cumplimiento
Las organizaciones de Europa y Estados Unidos dependen de sistemas conectados y proveedores. Las pruebas de penetración autorizadas validan determinadas vías de ataque y aportan evidencias para priorizar la subsanación. Las obligaciones de la UE dependen de la entidad, el sector y la legislación aplicable. Las organizaciones estadounidenses deben evaluar si sus actividades o relaciones en la UE hacen que les resulten aplicables los requisitos pertinentes.
NIS2: gestión de riesgos y pruebas de eficacia
El artículo 21 de la Directiva (EU) 2022/2555 exige que las entidades esenciales e importantes adopten medidas adecuadas y proporcionadas para la gestión de riesgos de ciberseguridad. El artículo 21(2)(f) incluye políticas y procedimientos para evaluar su eficacia. Las pruebas de penetración pueden contribuir a esa evaluación, pero la directiva no establece una obligación general de realizar una prueba de penetración anual. El alcance y la frecuencia dependen del riesgo, de la legislación nacional de transposición aplicable y de los requisitos sectoriales. El artículo 20 aborda la aprobación y la supervisión por parte de los órganos de dirección.
EUR-Lex, artículos 20 y 21 de NIS2DORA: un programa de pruebas proporcionado
El Reglamento (UE) 2022/2554 es aplicable desde el 17 de enero de 2025. Los artículos 24 y 25 establecen los requisitos de las pruebas de resiliencia operativa digital, sujetos al ámbito de aplicación y a las exenciones del reglamento. Las entidades financieras que no sean microempresas deben garantizar que se realicen pruebas adecuadas al menos una vez al año en todos los sistemas y aplicaciones de TIC que sustenten funciones esenciales o importantes. El programa utiliza diversas técnicas; esto no constituye una obligación general de realizar anualmente una prueba de penetración completa de cada sistema.
EUR-Lex, artículos 24 y 25 de DORADORA: pruebas avanzadas de penetración basadas en amenazas
El artículo 26 exige que las entidades financieras identificadas por las autoridades competentes conforme a sus criterios, incluidas las entidades financieras significativas pertinentes, realicen pruebas de penetración basadas en amenazas (TLPT) al menos cada tres años. Las autoridades pueden ajustar esa frecuencia en función del riesgo y de las circunstancias operativas. Las TLPT abarcan varias o todas las funciones esenciales o importantes y se ejecutan en sistemas de producción en funcionamiento. Requieren un alcance controlado, salvaguardias frente a los riesgos, subsanación y la participación de las autoridades supervisoras. No son obligatorias para todas las entidades financieras. El artículo 27 establece los requisitos aplicables a los responsables de las pruebas; una prueba de penetración ordinaria no constituye automáticamente un ejercicio TLPT válido.
EUR-Lex, artículos 26 y 27 de DORADefina el alcance, las medidas de protección y los requisitos de los informes
Antes de realizar las pruebas, acuerde por escrito la autorización, los sistemas, las funciones críticas, los permisos de los proveedores, las franjas horarias de prueba, los contactos para el escalado de incidencias y las condiciones de interrupción. Los informes deben recoger las evidencias, las limitaciones, el impacto en el negocio, las prioridades de subsanación y los resultados de las pruebas de verificación. Conserve estos registros como parte del programa general de gestión de riesgos.
Esta guía ofrece información general y no constituye asesoramiento jurídico ni una declaración de aprobación por parte de las autoridades reguladoras. Confirme con su equipo de cumplimiento normativo o su asesor jurídico la transposición nacional de NIS2, la aplicabilidad de DORA y las expectativas de las autoridades supervisoras. Un informe de pruebas no constituye una certificación de cumplimiento.
Consultar sobre una evaluación