Pentest en NIS2 y DORA: qué se exige y qué es un TLPT
Qué exigen NIS2 y DORA en pruebas de seguridad, qué es un TLPT (TIBER-EU / TIBER-ES), con qué frecuencia probar y cómo montar un programa de pruebas que aguante la auditoría.
Resumen: la NIS2 (Directiva (UE) 2022/2555) obliga a las entidades esenciales e importantes a evaluar la eficacia de sus medidas de ciberseguridad; en la práctica, pruebas de seguridad periódicas que incluyen pentest. DORA (Reglamento (UE) 2022/2554), aplicable desde el 17 de enero de 2025 al sector financiero, es más explícito: programa de pruebas anual (arts. 24–25) y, para las entidades designadas por la autoridad, TLPT —pruebas de penetración basadas en amenazas— al menos cada tres años (arts. 26–27).
Esta guía explica qué pide cada norma, qué es un TLPT y cómo montar un programa de pruebas que aguante una auditoría sin convertirse en teatro.
NIS2 en una página
A quién aplica: entidades "esenciales" e "importantes" en sectores como energía, transporte, salud, banca, infraestructura digital, proveedores de cloud y de servicios gestionados, fabricación de productos críticos, entre otros; en general, medianas y grandes empresas de esos sectores. En España, la transposición se realiza mediante la nueva ley de coordinación y gobernanza de la ciberseguridad; comprueba los plazos y obligaciones concretas para tu organización. Si además eres parte del sector público o de su cadena de suministro, el ENS ya exige auditorías periódicas.
Qué pide sobre pruebas: el artículo 21 enumera medidas mínimas de gestión de riesgos, entre ellas la seguridad en la adquisición, desarrollo y mantenimiento de sistemas (incluida la gestión de vulnerabilidades) y políticas y procedimientos para evaluar la eficacia de las medidas. La directiva no prescribe "un pentest al año", pero las pruebas periódicas y tras cambios relevantes son la forma más directa de demostrar esa eficacia.
Por qué importa: las multas alcanzan 10 millones de euros o el 2 % de la facturación anual mundial para entidades esenciales (7 millones o el 1,4 % para importantes), y la directiva responsabiliza a los órganos de dirección. También exige atención a la seguridad de la cadena de suministro.
DORA en una página
A quién aplica: prácticamente todo el sector financiero de la UE —bancos, entidades de pago y de dinero electrónico, aseguradoras, gestoras, proveedores de servicios de criptoactivos— e, indirectamente, a sus proveedores críticos de TIC.
Qué pide sobre pruebas:
- Art. 24 — programa de pruebas de resiliencia operativa digital, proporcional al tamaño y al riesgo, con pruebas al menos anuales de los sistemas que soportan funciones críticas o importantes.
- Art. 25 — tipos de prueba: evaluaciones de vulnerabilidades, análisis de código fuente cuando sea viable, pruebas basadas en escenarios, de compatibilidad y de rendimiento, pruebas de penetración, entre otras.
- Art. 26 — TLPT: las entidades identificadas por las autoridades deben realizar pruebas de penetración basadas en amenazas al menos cada tres años, en sistemas de producción, cubriendo funciones críticas, incluidas las externalizadas.
- Art. 27 — requisitos de los evaluadores: honorabilidad, competencia técnica acreditada, certificación o código de conducta y seguro de responsabilidad profesional.
Qué es un TLPT (y qué no es)
El TLPT (Threat-Led Penetration Testing) es un ejercicio de red team guiado por inteligencia de amenazas, alineado con el marco TIBER-EU (en España, TIBER-ES). Un equipo de inteligencia describe adversarios realistas para la entidad; el red team ejecuta esos escenarios contra producción de forma controlada; el blue team, idealmente, no sabe que la prueba está en curso; al final hay una fase de purple teaming y un plan de remediación supervisado por la autoridad.
El TLPT no es un pentest de aplicaciones ampliado: mide la capacidad de prevención, detección y respuesta de toda la organización. El pentest de aplicaciones, APIs y sistemas de IA sigue siendo la base del programa anual de los artículos 24–25, y es lo que encuentra los fallos que luego explota el red team.
Cómo montar un programa de pruebas que aguante la auditoría
- Inventario de funciones críticas. Vincula cada sistema a una función de negocio; el alcance nace de ahí.
- Calendario por riesgo. Pentest anual de todo lo que soporta funciones críticas; ciclos adicionales tras cambios significativos.
- Profundidad adecuada. Caja gris con cuentas por rol y documentación para aplicaciones y APIs; pruebas específicas para sistemas de IA expuestos a clientes.
- Trazabilidad. Cada hallazgo con responsable, plazo, evidencia de corrección y retest.
- Cadena de proveedores. Exige informes recientes a los proveedores de TIC que soportan funciones críticas, y ten listo el tuyo.
- Cualificación documentada de los evaluadores, como exige DORA.
Para el sector de pagos, consulta qué espera el auditor del informe de pentest en PCI DSS 4.0. Sobre presupuesto, cuánto cuesta un pentest.
Preguntas frecuentes
¿La NIS2 obliga a hacer pentest?
La directiva exige evaluar la eficacia de las medidas de seguridad y gestionar vulnerabilidades. Las pruebas de penetración periódicas son la evidencia más aceptada por autoridades y auditores, y la normativa nacional de transposición tiende a concretar el requisito.
¿Cada cuánto exige DORA hacer pruebas?
Pruebas de los sistemas que soportan funciones críticas o importantes al menos una vez al año (art. 24) y, para las entidades designadas, TLPT al menos cada tres años (art. 26).
¿Un pentest automatizado cumple DORA?
Las herramientas automáticas ayudan en el programa anual, pero DORA trata la prueba de penetración como tipo propio y exige evaluadores cualificados. Para el TLPT es imprescindible un red team humano.
Soy proveedor TIC de un banco. ¿Me afecta?
Sí, por contrato: el banco debe demostrar a la autoridad que gestiona el riesgo de sus proveedores y te pedirá evidencias, incluidos informes de pruebas recientes.