Il red team è diventato una catena di fornitura vigilata: cosa impone davvero il regime TLPT di DORA

I test di penetrazione guidati dalla minaccia non sono penetration test con più carta. Con le norme tecniche di regolamentazione dell'Articolo 26 di DORA ora in vigore attraverso il Commission Delegated Regulation (EU) 2025/1190, la simulazione dell'avversario nella finanza europea è diventata un'attività vigilata, con un perimetro dichiarato, una cadenza imposta, un mercato di fornitori accreditati e una regola che ridisegna in silenzio l'intero esercizio: il fornitore di intelligence sulle minacce deve sempre essere esterno all'istituzione sottoposta al test. Quasi tutte le banche hanno messo a budget il test. Poche hanno messo a budget la catena di fornitura da cui ora dipende.

Sintesi esecutiva

Il regime ora è specificato, non abbozzato. Il Commission Delegated Regulation (EU) 2025/1190, pubblicato nella Gazzetta ufficiale il 18 giugno 2025, integra l'Articolo 26 di DORA con norme tecniche di regolamentazione che coprono perimetro, metodologia, risultati, impiego di fornitori di test interni e cooperazione fra autorità di vigilanza, incluso il riconoscimento reciproco fra Stati membri.

TIBER-EU è il substrato. Il regime poggia sul quadro europeo per il red teaming etico basato sull'intelligence sulle minacce, quindi le istituzioni con esperienza TIBER non partono da zero, ma la partecipazione a TIBER era volontaria e questo obbligo non lo è.

Tre anni sono il pavimento, non il piano. Le entità designate testano almeno ogni tre anni le funzioni critiche, e un'autorità competente può alzare o abbassare quella frequenza in base al profilo di rischio dell'entità.

Il test è solo metà del prodotto. Un TLPT genera evidenze per la vigilanza. Gli artefatti — motivazione del perimetro, intelligence sulle minacce, narrativa d'attacco, remediation e nuovo test — sono l'output che conta, e vanno costruiti durante l'esercizio invece che assemblati dopo.

Cosa cambia davvero quando un test diventa un TLPT

Quasi tutte le banche già fanno sicurezza offensiva. L'istinto, quindi, è trattare il TLPT come una capacità esistente avvolta in un involucro di conformità. Quell'istinto sbaglia in quattro punti precisi, e ognuno ha una conseguenza di budget.

Tabella 1: test offensivo convenzionale a confronto con il TLPT ai sensi di DORA

Dimensione	Penetration test convenzionale	TLPT ai sensi di DORA
Chi decide che si faccia	L'istituzione, secondo la propria propensione al rischio	Un'autorità competente designa l'entità; la frequenza è almeno triennale
Cosa viene preso di mira	Sistemi scelti dalla funzione sicurezza	Funzioni critiche o importanti, incluse quelle in produzione e quelle esternalizzate
Da dove arriva il modello di minaccia	Giudizio interno o libreria del fornitore di test	Intelligence sulle minacce commissionata, da un fornitore esterno all'istituzione
Chi può eseguire	Qualsiasi fornitore competente, o una squadra interna	Fornitori di test conformi alle condizioni dell'Articolo 27; squadre interne al massimo per due cicli su tre
A cosa serve l'output	Una relazione interna e un backlog di remediation	Evidenze per la vigilanza, con risultati e remediation soggetti allo scrutinio dell'autorità e al riconoscimento transfrontaliero

L'ultima riga è dove i programmi tendono a sottostimare il lavoro. Una relazione di penetration test si scrive per chi correggerà i rilievi. Un dossier TLPT si scrive per un supervisore che non era nella stanza, e deve ricostruire perché il perimetro è stato tracciato dove è stato tracciato, cosa diceva l'intelligence, cosa ha fatto davvero il red team e cosa è cambiato di conseguenza.

Chi rientra nel perimetro, e perché non decidete voi

DORA non applica l'obbligo TLPT a ogni entità del proprio perimetro. Sono le autorità competenti a individuare le entità finanziarie tenute a eseguirlo, tenendo conto di rilevanza sistemica, dimensione e profilo di rischio ICT; le microimprese sono escluse.

Ne discendono due conseguenze facili da mancare.

La designazione non è un premio di maturità. Essere nominati significa che un supervisore considera consequenziale il vostro fallimento, e la nomina arriva con un obbligo di cadenza in dote. La lettura corretta è un impegno triennale permanente con il relativo approvvigionamento di fornitori, non un progetto una tantum.

La non designazione non esenta dal ragionamento. Un'entità non designata deve comunque dimostrare test avanzati proporzionati ai sensi delle disposizioni generali di test di DORA. Cambia la formalità del regime, non l'esistenza dell'aspettativa.

Il mercato dei fornitori di test è il vincolo che stringe

Questa è la parte che merita una slide per il consiglio di amministrazione, e raramente ci finisce.

L'Articolo 27 non chiede semplicemente fornitori di test competenti. Chiede fornitori che dimostrino capacità tecnica e organizzativa con competenze specifiche in intelligence sulle minacce, penetration testing e red teaming; che siano certificati da un organismo di accreditamento di uno Stato membro, oppure aderiscano a codici di condotta formali o a quadri etici; che possano fornire assurance indipendente o una relazione di audit sulla sana gestione dei rischi che il test stesso genera; e che dispongano di un'assicurazione di responsabilità civile professionale con copertura contro dolo e negligenza.

Tabella 2: cosa l'Articolo 27 chiede a un fornitore di test, e chi esclude

Requisito	Cosa verifica davvero	Chi elimina dal mercato
Competenza dimostrata su intelligence sulle minacce, penetration testing e red teaming	Che il fornitore sappia gestire l'intera catena, non un solo anello	Boutique forti nello sfruttamento ma prive di una funzione di intelligence
Accreditamento in uno Stato membro, o un codice di condotta formale	Uno standing verificabile invece della reputazione	Consulenti individuali e collettivi informali
Assurance indipendente o relazione di audit sulla gestione del rischio	Che testare una banca in produzione non la rompa	Fornitori privi di maturità di governance propria
Copertura di responsabilità civile professionale, dolo e negligenza inclusi	Che dietro il rischio ci sia uno stato patrimoniale	Società sottocapitalizzate

Lette insieme, quelle quattro righe disegnano la forma del mercato: un numero contenuto di società, per lo più grandi, tutte a vendere a ogni entità designata dell'Unione su un ritmo triennale sincronizzato.

Le istituzioni che trattano l'approvvigionamento del fornitore di test come un normale esercizio di sourcing pianificato con un trimestre di anticipo scopriranno il vincolo nel momento peggiore. La risorsa scarsa non è il red team: è un red team qualificato con la finestra giusta e nessun conflitto rispetto al vostro parco applicativo.

Le squadre interne aiutano, ma non possono reggere il carico

Le banche con una capacità offensiva matura si chiedono, ragionevolmente, se la squadra interna possa assorbire tutto questo. In parte.

I fornitori di test interni sono ammessi, previa approvazione dell'autorità di vigilanza, dotazione di risorse adeguata e gestione dei conflitti di interesse, ma con due limiti netti. Fornitori esterni devono essere ingaggiati ogni tre test, quindi una squadra interna può coprire al massimo due cicli su tre. E il fornitore di intelligence sulle minacce deve essere esterno all'istituzione in ogni test, compresi quelli eseguiti dalla squadra interna.

La seconda regola è la più interessante, perché non riguarda davvero la capacità. Una funzione di intelligence interna sa quali conclusioni risulterebbero scomode. Imporre che l'intelligence arrivi dall'esterno è una difesa strutturale contro un red team che testa in silenzio ciò su cui l'organizzazione è già a proprio agio a essere testata: la modalità di fallimento che rende un esercizio rassicurante invece che informativo.

La conseguenza pratica per la pianificazione: costruite la capacità interna per i cicli che può servire, ma trattate l'intelligence esterna come una voce di costo permanente e non periodica.

Le vostre terze parti sono dentro il test

Quando una funzione critica o importante dipende da un fornitore terzo di servizi ICT, i sistemi di quel fornitore possono rientrare nel perimetro TLPT, e al fornitore può essere richiesto di partecipare.

Per una banca wholesale non è una nota a piè di pagina. Le funzioni critiche in pagamenti, custodia e regolamento girano in misura sproporzionata su piattaforme di fornitori, servizi gestiti e cloud. Un test il cui perimetro sia tracciato onestamente sulle funzioni critiche arriverà dentro i fornitori, e nel momento in cui lo fa emergono tre domande contrattuali più che tecniche:

Il contratto lo consente? Le clausole di right-to-test scritte per una valutazione convenzionale spesso non contemplano un red team guidato dall'intelligence che opera contro la produzione senza che il personale operativo del fornitore sia stato avvisato.
Chi porta il rischio se il test causa un incidente? Fra banca, fornitore di test e fornitore terzo, la questione va risolta per iscritto prima della definizione del perimetro, non negoziata sotto pressione una volta prenotata la finestra di test.
Il fornitore può servire tutti nello stesso momento? Un fornitore concentrato che serve molte entità designate affronta la stessa domanda sincronizzata del mercato dei fornitori di test, e non ha alcun obbligo di darvi priorità.

Il lavoro sulle clausole ha un tempo di attraversamento più lungo del test. Va inserito nel modello di rinnovo adesso, per la stessa ragione e con la stessa logica di qualunque altro diritto di accesso della vigilanza.

Cosa i difensori devono all'esercizio

Un red team che riesce in silenzio insegna pochissimo a un'istituzione. Il valore sta nella ricostruzione: cosa è stato emesso, cosa è stato rilevato, cosa è stato escalato e quanto tempo ha richiesto ogni passaggio.

Tre impegni fanno la differenza fra un esercizio che produce evidenze e uno che produce un racconto.

Strumentate per la ricostruzione prima del test, non durante. Se la telemetria di rilevamento non è già conservata con fedeltà sufficiente, l'analisi post-esercizio diventa una questione di memoria. È il modo più comune in cui un esercizio tecnicamente riuscito produce un dossier debole per la vigilanza.

Misurate il tempo, non solo l'esito. Se il red team abbia raggiunto l'obiettivo è il rilievo meno interessante. Tempo al primo rilevamento, tempo all'attribuzione corretta e tempo al contenimento sono i numeri che descrivono la capacità difensiva, e sono i numeri che migliorano fra un ciclo e l'altro.

Chiudete il cerchio verso il blue team in modo deliberato. La collaborazione con la squadra in difesa è integrata nel quadro invece che aggiunta a posteriori, ed è ciò che converte un singolo esercizio in capacità duratura. Un'istituzione che esegue il test, archivia la relazione e non cambia nulla di osservabile ha soddisfatto una cadenza e non ha imparato niente.

Il playbook operativo

Stabilite se vi aspettate la designazione, e pianificate come se fosse certa. Il tempo di approvvigionamento è abbastanza lungo da rendere costosa l'attesa della notifica formale.
Mettete l'approvvigionamento dei fornitori di test su un piano triennale, non su un calendario di progetto. Qualificate un panel rispetto alle condizioni dell'Articolo 27 — accreditamento o adesione a un codice, relazione di assurance, copertura assicurativa — ben prima che serva una finestra.
Contrattualizzate l'intelligence sulle minacce esterna come accordo permanente. È richiesta in ogni ciclo a prescindere da chi esegue il test, quindi non è un costo variabile.
Sistemate le clausole con le terze parti in questo trimestre. Diritto di test, obblighi di partecipazione, allocazione del rischio di incidente. È l'elemento con il tempo di attraversamento più lungo fra quelli elencati qui, e non è un compito di ingegneria.
Alzate la fedeltà della telemetria di rilevamento prima del primo esercizio. Il dossier di evidenze vale quanto ciò che è stato registrato mentre il red team operava.
Riportate i tempi, non il verdetto. Tempo per rilevare, attribuire e contenere, tracciato lungo i cicli, è la metrica che mostra a un supervisore una capacità invece di un adempimento.

Le istituzioni che gestiranno tutto questo con serenità non sono quelle con il red team interno più impressionante. Sono quelle che hanno trattato un obbligo di test vigilato come un problema di catena di fornitura e di evidenze abbastanza presto da risolverlo con calma.

Domande frequenti

Ogni entità regolata da DORA deve eseguire il TLPT?
No. Sono le autorità competenti a individuare le entità tenute a eseguirlo, in base a rilevanza sistemica, dimensione e profilo di rischio ICT, e le microimprese sono escluse. Le entità non designate restano soggette ai requisiti generali di test di resilienza operativa digitale di DORA: l'aspettativa non sparisce, sparisce solo il regime formale.

Con quale frequenza deve testare un'entità designata?
Almeno ogni tre anni, coprendo le funzioni critiche o importanti. Un'autorità competente può richiedere una frequenza maggiore o minore a seconda del profilo di rischio dell'entità e delle circostanze operative.

Possiamo usare il nostro red team?
Per un massimo di due test su tre, previa approvazione dell'autorità di vigilanza, dotazione di risorse adeguata e gestione dei conflitti di interesse; ogni terzo test devono essere ingaggiati fornitori di test esterni. In modo separato, e in ogni ciclo, il fornitore di intelligence sulle minacce deve essere esterno all'istituzione.

I nostri fornitori esternalizzati devono partecipare?
Può essere loro richiesto. Quando una funzione critica o importante dipende da un fornitore terzo di servizi ICT, i sistemi di quel fornitore possono rientrare nel perimetro del test e al fornitore può essere richiesto di partecipare: per questo il diritto di test e l'allocazione del rischio di incidente vanno risolti contrattualmente in anticipo.

Facciamo già esercizi TIBER-EU. Siamo conformi?
Siete ben posizionati, perché il regime poggia sullo stesso quadro, ma i due non sono equivalenti. La partecipazione a TIBER era volontaria; l'obbligo DORA è vigilato, porta con sé una cadenza imposta e arriva con le condizioni specifiche sui fornitori di test e con gli accordi di riconoscimento transfrontaliero fissati nelle norme tecniche di regolamentazione.

Riferimenti

European Parliament and Council of the European Union, 2022. Regulation (EU) 2022/2554 on digital operational resilience for the financial sector (DORA). Bruxelles: Gazzetta ufficiale dell'Unione europea. Disponibile su: European Parliament and Council of the European Union, 2022..
European Commission, 2025. Commission Delegated Regulation (EU) 2025/1190 supplementing Regulation (EU) 2022/2554 with regard to regulatory technical standards on threat-led penetration testing. Bruxelles: Gazzetta ufficiale dell'Unione europea. Disponibile su: European Commission, 2025..
European Central Bank, 2026. TIBER-EU: European framework for threat intelligence-based ethical red-teaming. Francoforte sul Meno: European Central Bank. Disponibile su: European Central Bank, 2026..

Ultima revisione 2026-08-06.

Ripubblica questo articolo

Il red team è diventato una catena di fornitura vigilata: cosa impone davvero il regime TLPT di DORA — Sebastien Rousseau

Il regime TLPT di DORA trasforma il red teaming in un obbligo vigilato. I vincoli reali sono il mercato dei fornitori, la cadenza e le terze parti.

Questo articolo è pubblicato con licenza Creative Commons Attribution 4.0 International. La ripubblicazione richiede l'attribuzione all'URL canonico.

Il red team è diventato una catena di fornitura vigilata: cosa impone davvero il regime TLPT di DORA — Sebastien Rousseau

Il regime TLPT di DORA trasforma il red teaming in un obbligo vigilato. I vincoli reali sono il mercato dei fornitori, la cadenza e le terze parti.

Originally published at https://sebastienrousseau.com/it/2026-07-29-threat-led-penetration-testing-dora-tlpt-banks-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER