Quando si parla di DORA, l’attenzione finisce quasi sempre sui 19 fornitori ICT critici designati a livello europeo. C’e pero un obbligo che pesa direttamente sulle banche, sulle assicurazioni e sui loro fornitori ICT, e che fino a poco fa restava sospeso in attesa delle norme tecniche: il Threat-Led Penetration Testing (TLPT), il test di penetrazione guidato dalla minaccia previsto dall’articolo 26 del Regolamento (UE) 2022/2554. Quel pezzo mancante ora c’e: il Regolamento Delegato (UE) 2025/1190, adottato dalla Commissione il 13 febbraio 2025, pubblicato in Gazzetta Ufficiale dell’Unione il 18 giugno 2025 e applicabile dall’8 luglio 2025, ne detta le regole operative, in continuita con il framework TIBER-EU della BCE.
Conviene chiarire subito un equivoco diffuso: il TLPT non e il classico vulnerability assessment o il penetration test perimetrale che molte funzioni IT gia commissionano. E un esercizio adversarial, costruito su intelligence di minaccia reale, condotto da un red team sui sistemi di produzione live che sostengono le funzioni critiche o importanti. Si simula un attaccante vero, contro l’infrastruttura vera, mentre il blue team difende senza sapere che e in corso un test.
Chi lo deve fare (e chi no)
Il primo punto che spegne molti allarmismi: il TLPT non riguarda tutte le entita finanziarie. L’articolo 26, paragrafo 8, di DORA affida alle autorita competenti il compito di individuare quali soggetti sono tenuti a svolgerlo, sulla base di tre famiglie di criteri: i fattori di impatto sul settore finanziario, le considerazioni di stabilita finanziaria e sistemica, e lo specifico profilo di rischio ICT o il livello di maturita tecnologica dell’entita.
Il Regolamento Delegato 2025/1190 e la relazione finale congiunta delle Autorita europee di vigilanza traducono questi criteri in soglie concrete. Rientrano, salvo diversa valutazione del rischio, categorie come:
- Enti creditizi di rilevanza sistemica (G-SII, O-SII) e quelli sopra determinate soglie dimensionali;
- Istituti di pagamento e di moneta elettronica oltre una soglia elevata di valore delle operazioni;
- Depositari centrali di titoli (CSD) e controparti centrali (CCP);
- Sedi di negoziazione con quote di mercato rilevanti a livello nazionale o europeo;
- Imprese di assicurazione e riassicurazione oltre soglie di premi, riserve tecniche e attivi.
All’estremo opposto, le micro-imprese sono escluse dall’ambito TLPT. La proporzionalita resta un principio cardine di DORA: il test piu impegnativo dell’intero impianto e riservato ai soggetti il cui malfunzionamento avrebbe impatto sistemico, non al piccolo intermediario. Se la propria entita non rientra tra quelle designate dall’autorita, l’obbligo TLPT semplicemente non scatta, fermi restando gli altri obblighi di resilienza operativa digitale.
Ogni quanto: la cadenza triennale e il margine dell’autorita
L’articolo 26, paragrafo 1, fissa la regola base: le entita interessate svolgono il TLPT almeno ogni tre anni. Non e pero un numero rigido. Lo stesso paragrafo attribuisce all’autorita competente il potere di aumentare o ridurre questa frequenza, dove necessario, in funzione del profilo di rischio dell’entita e delle circostanze operative. Tradotto: un soggetto con esposizione al rischio piu alta puo vedersi richiedere test piu frequenti; uno con un profilo piu contenuto puo ottenere una cadenza piu diluita. La pianificazione triennale e il punto di partenza, non un dato immutabile da incidere nel marmo.
Le tre fasi dell’esercizio
Il Regolamento Delegato struttura il TLPT in tre fasi, in continuita con la metodologia TIBER-EU.
1. Preparazione
Si avvia con la notifica del test all’autorita, la costituzione del control team interno (la cellula ristretta che governa l’esercizio mantenendolo riservato), la definizione e validazione dello scope, la selezione dei fornitori e la valutazione dei rischi. Molti passaggi richiedono l’approvazione o la validazione dell’autorita TLPT: avvio, composizione del control team, perimetro, idoneita del fornitore.
2. Testing
Comprende la raccolta di threat intelligence per costruire scenari di attacco realistici, la stesura del red team test plan e poi la fase attiva di attacco simulato sui sistemi di produzione, con reportistica periodica al control team. E qui che il red team prova a violare le funzioni critiche replicando tattiche, tecniche e procedure di avversari plausibili.
3. Chiusura e remediation
Si producono i report di red e blue team, si svolgono esercizi di replay e sessioni di purple teaming (red e blue che lavorano insieme a carte scoperte per consolidare l’apprendimento), si raccoglie il feedback e si trasmette la sintesi dei risultati. Da qui nasce il piano di rimedio: il valore del TLPT non e il punteggio dell’attacco, ma cosa si corregge dopo.
Tester interni, salvaguardie e il Red Team Test Manager esterno
DORA consente l’uso di tester interni, ma a condizioni stringenti. L’articolo 26, paragrafo 8, impone di ricorrere a tester esterni ogni tre test: anche chi dispone di un red team in casa non puo internalizzare l’esercizio all’infinito. Il Regolamento Delegato aggiunge le salvaguardie operative: una policy di gestione formalizzata, l’adeguata separazione dai team difensivi, una squadra di dimensione minima e requisiti di anzianita e indipendenza, oltre alla verifica che l’impiego di risorse interne non degradi la capacita di resilienza dell’entita. L’autorita competente deve accertare che vi siano risorse sufficienti e che non sussistano conflitti di interesse.
Quando si usano tester interni, entra in scena una figura chiave: un Red Team Test Manager esterno, indipendente dall’entita, che supervisiona e valida l’esercizio garantendo obiettivita. Un team misto interno-esterno, ai fini del conteggio dei test, vale comunque come test con tester interni.
Riconoscimento reciproco tra Stati membri
Per i gruppi transfrontalieri e i fornitori ICT condivisi, il regolamento prevede il riconoscimento reciproco dei risultati TLPT tra autorita competenti. L’autorita capofila identifica e informa le autorita degli altri Stati membri coinvolti, che possono osservare o nominare propri test manager; ove ICT provider o strutture di gruppo si estendano su piu Paesi, sono incoraggiati test congiunti per evitare duplicazioni. Un attestato di corretta esecuzione consente di far valere il test oltre i confini nazionali, senza ripeterlo Paese per Paese.
Cosa pianificare adesso
Anche per chi non e ancora certo di rientrare tra i soggetti designati, alcune mosse sono ragionevoli da subito. Sul fronte budget, un TLPT non e una voce di spesa banale: tra threat intelligence, red team qualificato, eventuale Red Team Test Manager esterno e settimane di esercizio attivo, l’impegno e pluri-mensile e va programmato sul ciclo triennale. Sul fronte fornitori, conviene mappare per tempo provider con competenze TLPT/TIBER-EU coerenti con i criteri del Regolamento Delegato, e coinvolgere i propri ICT third-party provider critici: la loro partecipazione al test e prevista, e la responsabilita di conformita resta in capo all’entita finanziaria. Infine, vale la pena predisporre internamente il control team e le procedure di gestione del rischio sui sistemi di produzione, perche testare dal vivo funzioni critiche richiede misure robuste per contenere incidenti, crash o disservizi durante l’esercizio.
Il messaggio di fondo del Regolamento Delegato (UE) 2025/1190 e che il TLPT smette di essere un principio astratto e diventa un processo definito, con ruoli, fasi e cadenze. Per le funzioni rischio e i CISO del settore finanziario, l’orizzonte non e piu “se”, ma “quando” e “con chi”.