Tim Merah Menjadi Rantai Pasok yang Diawasi: Tuntutan Rezim TLPT DORA

Uji penetrasi berbasis ancaman bukan uji penetrasi dengan tambahan dokumen. Dengan berlakunya standar teknis regulatoris di bawah Pasal 26 DORA melalui Commission Delegated Regulation (EU) 2025/1190, simulasi lawan di sektor keuangan Eropa berubah menjadi aktivitas terawasi dengan cakupan pengujian yang disebut namanya, siklus yang diwajibkan, pasar pemasok terakreditasi, dan satu aturan yang diam-diam membentuk ulang seluruh latihan: penyedia intelijen ancaman harus selalu berasal dari luar institusi yang diuji. Banyak bank sudah menghitung biaya pengujiannya. Lebih sedikit yang menghitung biaya rantai pasok yang kini menopangnya.

Ringkasan Eksekutif

Rezim ini kini terperinci, bukan sekadar sketsa. Commission Delegated Regulation (EU) 2025/1190, yang terbit di Official Journal pada 18 Juni 2025, melengkapi Pasal 26 DORA dengan standar teknis regulatoris yang mencakup cakupan pengujian, metodologi, hasil, penggunaan penyedia pengujian internal, dan kerja sama pengawasan termasuk pengakuan timbal balik antar Negara Anggota.

TIBER-EU adalah fondasinya. Rezim ini dibangun di atas kerangka Eropa untuk red-teaming etis berbasis intelijen ancaman, sehingga institusi yang berpengalaman dengan TIBER tidak memulai dari nol — tetapi partisipasi TIBER bersifat sukarela dan yang ini tidak.

Tiga tahun adalah batas bawah, bukan rencana. Entitas yang ditetapkan menguji sekurang-kurangnya setiap tiga tahun pada seluruh fungsi kritis, dan otoritas yang berwenang dapat menaikkan atau menurunkan frekuensi itu berdasarkan profil risiko entitas.

Pengujian hanya separuh dari hasil kerja. TLPT menghasilkan bukti bagi pengawas. Artefaknya — dasar penetapan cakupan pengujian, intelijen ancaman, narasi serangan, perbaikan dan pengujian ulang — adalah keluaran yang menentukan, dan semuanya harus dibangun selama latihan berlangsung, bukan dirangkai belakangan.

Apa yang Benar-Benar Berubah Ketika Sebuah Pengujian Menjadi TLPT

Sebagian besar bank sudah menjalankan keamanan ofensif. Naluri mereka karena itu memperlakukan TLPT sebagai kapabilitas yang sudah ada dengan bungkus kepatuhan. Naluri itu keliru pada empat titik spesifik, dan masing-masing punya konsekuensi anggaran.

Tabel 1: Pengujian ofensif konvensional versus TLPT di bawah DORA

Dimensi	Uji penetrasi konvensional	TLPT di bawah DORA
Siapa yang memutuskan pelaksanaannya	Institusi, berdasarkan selera risikonya sendiri	Otoritas yang berwenang menetapkan entitasnya; frekuensinya sekurang-kurangnya setiap tiga tahun
Apa yang disasar	Sistem yang dipilih oleh fungsi keamanan	Fungsi kritis atau penting, termasuk yang berjalan di produksi dan yang dialihdayakan
Dari mana model ancaman berasal	Penilaian internal atau pustaka milik penyedia pengujian	Intelijen ancaman yang dipesan khusus, dari penyedia di luar institusi
Siapa yang boleh melaksanakan	Pemasok kompeten mana pun, atau tim internal	Penyedia pengujian yang memenuhi ketentuan Pasal 27; tim internal paling banyak untuk dua dari setiap tiga siklus
Untuk apa keluarannya	Laporan internal dan backlog perbaikan	Bukti bagi pengawas, dengan hasil dan perbaikan yang tunduk pada penelaahan otoritas dan pengakuan lintas batas

Baris terakhir itulah tempat program-program cenderung meremehkan bebannya. Laporan uji penetrasi ditulis untuk orang-orang yang akan memperbaiki temuan. Paket TLPT ditulis untuk pengawas yang tidak berada di ruangan, dan paket itu harus merekonstruksi mengapa cakupan pengujian ditarik di titik itu, apa yang dikatakan intelijennya, apa yang benar-benar dilakukan tim merah, dan apa yang berubah sebagai hasilnya.

Siapa yang Masuk Cakupan, dan Mengapa Anda Tidak Berhak Menentukan

DORA tidak menerapkan kewajiban TLPT pada setiap entitas dalam perimeternya. Otoritas yang berwenang mengidentifikasi entitas keuangan yang wajib melaksanakannya, dengan mempertimbangkan kepentingan sistemik, ukuran, dan profil risiko TIK; usaha mikro dikecualikan.

Dua konsekuensi menyusul dan mudah terlewat.

Penetapan bukan penghargaan kematangan. Disebut namanya berarti seorang pengawas menilai kegagalan Anda berdampak besar, dan penetapan itu datang dengan kewajiban siklus yang melekat. Pembacaan yang benar adalah komitmen tiga tahunan yang permanen berikut pengadaan pemasoknya, bukan proyek sekali jalan.

Tidak ditetapkan bukan berarti bebas dari logikanya. Entitas yang tidak ditetapkan tetap harus menunjukkan pengujian tingkat lanjut yang proporsional di bawah ketentuan pengujian umum DORA. Yang berbeda adalah formalitas rezimnya, bukan ada atau tidaknya ekspektasi itu.

Pasar Penyedia Pengujian Adalah Kendala yang Mengikat

Inilah bagian yang layak masuk slide dewan direksi, dan justru jarang muncul di sana.

Pasal 27 tidak sekadar mensyaratkan penyedia pengujian yang kompeten. Pasal itu mensyaratkan penyedia yang menunjukkan kapabilitas teknis dan organisasional dengan keahlian spesifik di bidang intelijen ancaman, uji penetrasi, dan red teaming; yang tersertifikasi oleh badan akreditasi di sebuah Negara Anggota, atau mematuhi kode etik formal maupun kerangka etika; yang mampu memberikan jaminan independen atau laporan audit yang mencakup pengelolaan yang sehat atas risiko yang ditimbulkan pengujian itu sendiri; serta yang memiliki asuransi tanggung gugat profesional termasuk perlindungan terhadap pelanggaran perilaku dan kelalaian.

Tabel 2: Apa yang dituntut Pasal 27 dari penyedia pengujian, dan siapa yang tersaring keluar

Persyaratan	Apa yang sebenarnya diuji	Siapa yang tersingkir dari pasar
Keahlian terbukti di intelijen ancaman, uji penetrasi, dan red teaming	Bahwa pemasok mampu menjalankan seluruh rantai, bukan satu mata rantai saja	Butik yang kuat di eksploitasi tetapi tanpa fungsi intelijen
Akreditasi di sebuah Negara Anggota, atau kode etik formal	Kedudukan yang dapat diverifikasi, bukan sekadar reputasi	Kontraktor perorangan dan kolektif informal
Jaminan independen atau laporan audit atas manajemen risiko	Bahwa menguji bank yang sedang beroperasi tidak akan merusaknya	Pemasok tanpa kematangan tata kelolanya sendiri
Perlindungan tanggung gugat profesional, termasuk pelanggaran perilaku dan kelalaian	Bahwa ada neraca di balik risiko itu	Perusahaan bermodal tipis

Baca keempat baris itu bersama-sama dan bentuk pasarnya menjadi jelas: sejumlah kecil perusahaan, umumnya berukuran besar, dan semuanya menjual ke setiap entitas yang ditetapkan di seluruh Uni Eropa dalam irama tiga tahunan yang tersinkronisasi.

Institusi yang memperlakukan pengadaan penyedia pengujian sebagai pengadaan rutin yang dijadwalkan satu kuartal sebelumnya akan menemukan kendala ini pada saat terburuk. Sumber daya yang langka bukanlah tim merah; melainkan tim merah yang memenuhi syarat, dengan jendela waktu yang tepat, dan tanpa benturan kepentingan terhadap estat Anda.

Tim Internal Membantu, Tetapi Tidak Bisa Memikulnya

Bank dengan kapabilitas ofensif yang matang wajar bertanya apakah tim internal bisa menyerap beban ini. Sebagian bisa.

Penyedia pengujian internal diizinkan, tunduk pada persetujuan pengawas, kecukupan sumber daya, dan pengelolaan benturan kepentingan — tetapi dengan dua batas keras. Penyedia pengujian eksternal harus dikontrak setiap tiga pengujian, sehingga tim internal paling banyak menangani dua dari tiga siklus. Dan penyedia intelijen ancaman harus berasal dari luar institusi pada setiap pengujian, termasuk pengujian yang dijalankan tim internal.

Aturan kedua itu yang lebih menarik, karena persoalannya bukan kapabilitas. Fungsi intelijen internal tahu kesimpulan mana yang akan merepotkan. Mewajibkan intelijen datang dari luar adalah pertahanan struktural terhadap tim merah yang diam-diam menguji hal-hal yang memang sudah nyaman diuji oleh organisasi — mode kegagalan yang membuat sebuah latihan terasa menenangkan alih-alih memberi informasi.

Konsekuensi perencanaan praktisnya: bangun kapabilitas internal untuk siklus yang bisa dilayaninya, tetapi perlakukan intelijen eksternal sebagai pos anggaran permanen, bukan pos berkala.

Pihak Ketiga Anda Ikut dalam Pengujian

Bila fungsi kritis atau penting bergantung pada penyedia pihak ketiga TIK, sistem penyedia tersebut dapat masuk cakupan pengujian TLPT, dan penyedia itu dapat diwajibkan ikut serta.

Bagi bank wholesale, itu bukan catatan kaki. Fungsi kritis di pembayaran, kustodian, dan penyelesaian transaksi secara tidak proporsional berjalan di platform vendor, layanan terkelola, dan cloud. Pengujian yang cakupannya ditetapkan secara jujur terhadap fungsi kritis akan merambah ke pemasok, dan begitu itu terjadi, muncul tiga pertanyaan yang sifatnya kontraktual, bukan teknis:

Apakah kontrak mengizinkannya? Klausul hak menguji yang ditulis untuk asesmen konvensional sering tidak membayangkan tim merah berbasis intelijen yang beroperasi terhadap sistem produksi tanpa staf operasional penyedia diberi tahu sebelumnya.
Siapa menanggung risiko jika pengujian menimbulkan insiden? Antara bank, penyedia pengujian, dan penyedia layanan, hal ini perlu diselesaikan secara tertulis sebelum penetapan cakupan, bukan dinegosiasikan di bawah tekanan waktu setelah jendela pengujian dipesan.
Mampukah penyedia melayani semua pihak sekaligus? Penyedia terkonsentrasi yang melayani banyak entitas yang ditetapkan menghadapi permintaan tersinkronisasi yang sama seperti pasar penyedia pengujian — dan ia tidak berkewajiban mendahulukan Anda.

Pekerjaan klausul punya tenggat persiapan yang lebih panjang daripada pengujiannya. Tempatnya di templat perpanjangan kontrak sekarang juga, dengan alasan dan logika yang sama seperti hak akses pengawas lainnya.

Apa yang Wajib Diberikan Pihak Bertahan pada Latihan Ini

Tim merah yang berhasil tanpa terdeteksi hanya mengajarkan sangat sedikit kepada sebuah institusi. Nilainya terletak pada rekonstruksi: apa yang terpancar, apa yang terdeteksi, apa yang dieskalasi, dan berapa lama tiap langkah berlangsung.

Tiga komitmen membedakan latihan yang menghasilkan bukti dari latihan yang menghasilkan cerita.

Pasang instrumen rekonstruksi sebelum pengujian, bukan selama pengujian. Jika telemetri deteksi belum tersimpan dengan tingkat kedetailan yang memadai, analisis pascalatihan berubah menjadi urusan mengingat-ingat. Itulah cara paling umum sebuah latihan yang sukses secara teknis menghasilkan paket bukti yang lemah bagi pengawas.

Ukur waktu, bukan sekadar hasil akhir. Apakah tim merah mencapai tujuannya adalah temuan yang paling tidak menarik. Waktu hingga deteksi pertama, waktu hingga atribusi yang benar, dan waktu hingga penanggulangan adalah angka-angka yang menggambarkan kapabilitas bertahan, dan itulah angka-angka yang membaik antarsiklus.

Tutup lingkarnya ke tim biru secara sengaja. Kolaborasi dengan tim yang bertahan sudah melekat dalam kerangka ini, bukan tempelan, dan itulah yang mengubah satu latihan menjadi kapabilitas yang bertahan lama. Institusi yang menjalankan pengujian, mengarsipkan laporan, dan tidak mengubah apa pun yang terlihat telah memenuhi sebuah siklus dan tidak belajar apa-apa.

Buku Panduan Operasional

Tetapkan apakah Anda memperkirakan akan ditunjuk, lalu rencanakan seolah-olah memang ditunjuk. Tenggat pengadaan cukup panjang sehingga menunggu pemberitahuan formal adalah pilihan yang mahal.
Masukkan pengadaan penyedia pengujian ke rencana tiga tahunan ke depan, bukan jadwal proyek. Kualifikasikan sebuah panel terhadap ketentuan Pasal 27 — akreditasi atau kepatuhan kode etik, laporan jaminan, perlindungan tanggung gugat — jauh sebelum jendela waktu dibutuhkan.
Kontrak intelijen ancaman eksternal sebagai perikatan permanen. Ia diwajibkan pada setiap siklus terlepas dari siapa yang melaksanakan pengujian, jadi ini bukan biaya variabel.
Perbaiki klausul pihak ketiga pada kuartal ini. Hak menguji, kewajiban ikut serta, alokasi risiko insiden. Ini punya tenggat persiapan terpanjang di antara semua hal di sini dan bukan tugas rekayasa.
Tingkatkan kedetailan telemetri deteksi sebelum latihan pertama. Paket bukti hanya sebaik apa yang terekam saat tim merah beroperasi.
Laporkan angka waktunya, bukan vonisnya. Waktu untuk mendeteksi, mengatribusi, dan menanggulangi, yang dilacak antarsiklus, adalah metrik yang memperlihatkan kapabilitas kepada pengawas alih-alih sekadar peristiwa kepatuhan.

Institusi yang akan menangani ini dengan tenang bukanlah yang punya tim merah internal paling mengesankan. Mereka adalah yang memperlakukan kewajiban pengujian terawasi sebagai persoalan rantai pasok dan bukti, cukup dini untuk menyelesaikannya tanpa panik.

Pertanyaan yang Sering Diajukan

Apakah setiap entitas yang diatur DORA wajib melakukan TLPT?
Tidak. Otoritas yang berwenang mengidentifikasi entitas yang wajib melaksanakannya, berdasarkan kepentingan sistemik, ukuran, dan profil risiko TIK, dan usaha mikro dikecualikan. Entitas yang tidak ditetapkan tetap tunduk pada persyaratan pengujian ketahanan operasional digital umum DORA — ekspektasinya tidak hilang, hanya rezim formalnya yang tidak berlaku.

Seberapa sering entitas yang ditetapkan harus menguji?
Sekurang-kurangnya setiap tiga tahun, mencakup fungsi kritis atau penting. Otoritas yang berwenang dapat mewajibkan frekuensi yang lebih tinggi atau lebih rendah bergantung pada profil risiko dan keadaan operasional entitas.

Bisakah kami memakai tim merah sendiri?
Untuk paling banyak dua dari setiap tiga pengujian, tunduk pada persetujuan pengawas, kecukupan sumber daya, dan pengelolaan benturan kepentingan; penyedia pengujian eksternal harus dikontrak setiap pengujian ketiga. Terpisah dari itu, dan pada setiap siklus, penyedia intelijen ancaman harus berasal dari luar institusi.

Apakah penyedia alih daya kami harus ikut serta?
Mereka dapat diwajibkan ikut. Bila fungsi kritis atau penting bergantung pada penyedia pihak ketiga TIK, sistem penyedia tersebut dapat masuk cakupan pengujian dan penyedia itu dapat diwajibkan ikut serta — karena itulah hak menguji dan alokasi risiko insiden perlu diselesaikan secara kontraktual sejak awal.

Kami sudah menjalankan latihan TIBER-EU. Apakah kami sudah patuh?
Posisi Anda baik, karena rezim ini dibangun di atas kerangka yang sama, tetapi keduanya tidak setara. Partisipasi TIBER bersifat sukarela; kewajiban DORA diawasi, membawa siklus yang diwajibkan, dan disertai ketentuan penyedia pengujian yang spesifik serta pengaturan pengakuan lintas batas yang ditetapkan dalam standar teknis regulatoris.

Referensi

European Parliament and Council of the European Union, 2022. Regulation (EU) 2022/2554 tentang ketahanan operasional digital untuk sektor keuangan (DORA). Brussels: Official Journal of the European Union. Tersedia di: European Parliament and Council of the European Union, 2022..
European Commission, 2025. Commission Delegated Regulation (EU) 2025/1190 yang melengkapi Regulation (EU) 2022/2554 terkait standar teknis regulatoris tentang uji penetrasi berbasis ancaman. Brussels: Official Journal of the European Union. Tersedia di: European Commission, 2025..
European Central Bank, 2026. TIBER-EU: kerangka Eropa untuk red-teaming etis berbasis intelijen ancaman. Frankfurt am Main: European Central Bank. Tersedia di: European Central Bank, 2026..

Terakhir ditinjau 2026-08-06.

Terbitkan ulang artikel ini

Tim Merah Menjadi Rantai Pasok yang Diawasi: Tuntutan Rezim TLPT DORA — Sebastien Rousseau

Rezim TLPT DORA mengubah tim merah menjadi kewajiban yang diawasi. Kendala pengikatnya: pasar penyedia pengujian, siklus tiga tahunan, dan pihak ketiga.

Artikel ini berlisensi Creative Commons Attribution 4.0 International. Penerbitan ulang memerlukan atribusi ke URL kanonis.

Tim Merah Menjadi Rantai Pasok yang Diawasi: Tuntutan Rezim TLPT DORA — Sebastien Rousseau

Rezim TLPT DORA mengubah tim merah menjadi kewajiban yang diawasi. Kendala pengikatnya: pasar penyedia pengujian, siklus tiga tahunan, dan pihak ketiga.

Originally published at https://sebastienrousseau.com/id/2026-07-29-threat-led-penetration-testing-dora-tlpt-banks-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER