Regolamento (UE) 2025/1190

Test di penetrazione guidati dalla minaccia nel settore finanziario

Il regolamento delegato (UE) 2025/1190 integra il regolamento (UE) 2022/2554 (DORA) definendo in dettaglio i criteri, la procedura e la governance dei test di penetrazione guidati dalla minaccia (TLPT). L'atto si ispira al quadro TIBER-EU e mira a garantire che i TLPT siano riservati alle entità finanziarie per le quali il test è realmente giustificato, con un approccio calibrato sul rischio sistemico, sulla maturità delle TIC e sull'impatto potenziale sulla stabilità finanziaria.

Quadro generale e finalità

Il regolamento traduce in requisiti tecnici operativi la disciplina dell'articolo 26 del DORA, disciplinando sia la selezione delle entità da sottoporre a TLPT sia il modo in cui il test deve essere progettato, autorizzato, eseguito e chiuso. Il considerando evidenzia la necessità di mantenere la segretezza del test, di limitare al minimo gli oneri per le autorità e di utilizzare il TLPT come esperienza di apprendimento per rafforzare la resilienza operativa digitale.

Ambito soggettivo e criteri di applicazione

Le autorità competenti per i TLPT devono valutare se un'entità finanziaria debba essere sottoposta a test considerando fattori di impatto e carattere sistemico, nonché fattori legati ai rischi informatici. Tra gli elementi da esaminare figurano dimensioni, interconnessioni, criticità e sostituibilità dei servizi, complessità del modello di business, profilo di rischio, panorama delle minacce, dipendenza dalle TIC, architettura tecnologica, outsourcing TIC, risultati di vigilanza e maturità delle misure di continuità, risposta e rilevazione.

L'obbligo è previsto, salvo valutazione contraria caso per caso, per:

• enti creditizi G-SII, O-SII o appartenenti a tali gruppi;
• istituti di pagamento oltre 150 miliardi di EUR di operazioni di pagamento nei due anni civili precedenti;
• istituti di moneta elettronica oltre 150 miliardi di EUR di operazioni di pagamento o oltre 40 miliardi di EUR di moneta elettronica in circolazione;
• depositari centrali di titoli;
• controparti centrali;
• sedi di negoziazione elettroniche con elevate quote di mercato nazionali o dell'Unione, secondo i parametri dell'articolo 2, paragrafo 2, lettera f);
• imprese di assicurazione e riassicurazione che superano specifiche soglie di premi, riserve tecniche e attivi, con ulteriore filtro quantitativo per il sottoinsieme individuato dalle autorità competenti.

Gruppi, fornitori intragruppo e TLPT comuni/congiunti

Quando più entità dello stesso gruppo condividono sistemi TIC o lo stesso fornitore intragruppo, le autorità devono valutare se il TLPT debba essere svolto individualmente oppure in forma comune o congiunta. Il regolamento distingue:

• TLPT comune: più entità che condividono sistemi TIC o il medesimo fornitore intragruppo;
• TLPT congiunto: test con più entità finanziarie ai sensi dell'articolo 26, paragrafo 4, del DORA.

Nei casi transfrontalieri, l'autorità capofila coordina il test, mentre le autorità degli Stati membri ospitanti possono partecipare come osservatori o designare un responsabile dei test. Le autorità devono scambiarsi le informazioni rilevanti e concordare quale entità sia designata per la conduzione del test comune o congiunto.

Organizzazione del processo di test

L'autorità competente per il TLPT attribuisce il coordinamento a un team informatico TLPT e designa, per ogni test, un responsabile e almeno un sostituto. L'entità finanziaria deve nominare un responsabile del team di controllo, che gestisce operativamente il test e coordina il flusso informativo interno ed esterno.

La segretezza è un requisito centrale: l'accesso alle informazioni sul TLPT è ristretto ai soggetti che devono conoscerle, i membri del personale non coinvolti possono essere informati solo se necessario e previa intesa con i responsabili dei test, e le parti coinvolte devono, per quanto possibile, riferirsi al test mediante un nome in codice.

Gestione dei rischi e requisiti dei fornitori

Il team di controllo deve valutare i rischi legati al test in ambiente di produzione e aggiornare tale valutazione per tutta la durata dell'esercizio. Tra i rischi da considerare vi sono l'accesso a informazioni sensibili, le interruzioni di servizio, la compromissione dei dati, le escalations di incidenti e il ripristino incompleto dei sistemi.

I fornitori di TLPT devono soddisfare requisiti stringenti di professionalità, esperienza, indipendenza e assicurazione, con almeno:

• tre referenze per il soggetto che fornisce analisi delle minacce;
• cinque referenze per i soggetti incaricati dei test esterni;
• un responsabile dell'analisi delle minacce con almeno cinque anni di esperienza e un altro membro con almeno due;
• un responsabile del red team con almeno cinque anni di esperienza e almeno due ulteriori componenti con almeno due anni di esperienza ciascuno.

Sono inoltre previste regole su separazione dei team, assenza di conflitti di interesse, procedure di ripristino, cancellazione sicura dei dati e divieti di distruzione, alterazione o divulgazione non autorizzata.

Fasi del TLPT e documentazione richiesta

La procedura è scandita in più fasi, ciascuna sottoposta a convalide e approvazioni dell'autorità competente per il TLPT.

Preparazione

Entro tre mesi dalla notifica di avvio, l'entità finanziaria trasmette la carta di progetto con le informazioni dell'allegato I, inclusi il responsabile del piano, i canali di comunicazione, il nome in codice, le funzioni essenziali o importanti potenzialmente coinvolte e le scadenze previste. Entro sei mesi dalla notifica presenta il documento di specificazione dell'ambito, che elenca le funzioni incluse o escluse e i sistemi TIC che le supportano. L'organo di gestione approva il documento di scope.

Analisi delle minacce

Il soggetto che fornisce analisi delle minacce elabora una relazione mirata basata su fonti generiche e settoriali, su informazioni concrete e fruibili sull'entità e su profili di attacco realistici. La relazione deve contenere almeno tre scenari end-to-end, compresi scenari che incidano su disponibilità, integrità e riservatezza.

Test red team

Dopo l'approvazione della relazione di threat analysis, viene predisposto il piano red team, che dettaglia tattiche, tecniche e procedure, canali di comunicazione, leg-up, tempistiche e percorsi di attacco. La fase attiva dura almeno 12 settimane e può svolgersi in sequenza o in parallelo; le modifiche al piano devono essere approvate. Se il test è compromesso da rilevamenti o rischi eccezionali, il responsabile del team di controllo può sospendere il TLPT o, con valida autorizzazione, proseguirlo con un esercizio limitato di purple teaming.

Chiusura, replica e relazione finale

Entro quattro settimane dalla fase attiva i soggetti incaricati dei test presentano la relazione red team; entro dieci settimane il blue team redige la relazione blue team e si svolgono le repliche e il purple teaming. Successivamente l'entità finanziaria presenta la relazione di sintesi delle risultanze e, entro otto settimane dalla notifica di accertamento dell'autorità, trasmette il piano correttivo con descrizione delle carenze, misure proposte, priorità, cause di fondo, responsabilità interne e rischi di mancata attuazione.

Attestato finale e valore probatorio

L'autorità competente per il TLPT rilascia un attestato contenente almeno i dati indicati nell'allegato VIII, tra cui date del test, funzioni coperte, eventuali entità o fornitori coinvolti, uso di soggetti interni e durata della fase attiva. Se più autorità hanno partecipato al test, l'attestato è emesso dall'autorità capofila.

Ricorso a soggetti interni

L'uso di testatori interni è consentito solo se l'entità adotta una politica specifica di gestione, garantisce risorse adeguate e dimostra che l'uso di personale interno non compromette la resilienza operativa. La politica deve definire criteri di idoneità, competenza e conflitti di interesse, essere documentata e riesaminata periodicamente, prevedere almeno un responsabile e due ulteriori membri, richiedere un'anzianità minima di 12 mesi e disciplinare la formazione. I dipendenti dei fornitori intragruppo di servizi TIC sono assimilati a soggetti interni.

Decorrenza

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea ed è direttamente applicabile in tutti gli Stati membri.