O red team virou cadeia de fornecimento supervisionada: o que o regime de TLPT do DORA realmente exige

Testes de intrusão orientados por ameaças não são testes de intrusão com mais papelada. Com as normas técnicas regulatórias do Article 26 do DORA agora em vigor por meio do Commission Delegated Regulation (EU) 2025/1190, a simulação de adversários no sistema financeiro europeu virou uma atividade supervisionada, com escopo nomeado, cadência obrigatória, mercado de fornecedores acreditados e uma regra que reorganiza o exercício inteiro sem alarde: o provedor de inteligência de ameaças precisa ser sempre externo à instituição testada. A maioria dos bancos orçou o teste. Poucos orçaram a cadeia de fornecimento da qual ele agora depende.

Resumo executivo

O regime agora está especificado, não esboçado. O Commission Delegated Regulation (EU) 2025/1190, publicado no Jornal Oficial em 18 de junho de 2025, complementa o Article 26 do DORA com normas técnicas regulatórias que cobrem escopo, metodologia, resultados, uso de prestadores internos e cooperação supervisória, incluindo reconhecimento mútuo entre Estados-Membros.

O TIBER-EU é o substrato. O regime foi construído sobre o arcabouço europeu de red teaming ético baseado em inteligência de ameaças, então instituições com experiência em TIBER não partem do zero — mas a participação no TIBER era voluntária e esta obrigação não é.

Três anos são o piso, não o plano. As entidades designadas testam pelo menos a cada três anos as funções críticas, e uma autoridade competente pode elevar ou reduzir essa frequência conforme o perfil de risco da entidade.

O teste é só metade da entrega. Um TLPT produz evidência supervisória. Os artefatos — justificativa de escopo, inteligência de ameaças, narrativa de ataque, remediação e reteste — são o resultado que importa, e precisam ser construídos durante o exercício, não montados depois.

O que muda de fato quando um teste vira um TLPT

A maioria dos bancos já opera segurança ofensiva. O instinto, portanto, é tratar o TLPT como uma capacidade existente com uma camada de conformidade por cima. Esse instinto erra em quatro pontos específicos, e cada um deles tem consequência orçamentária.

Tabela 1: teste ofensivo convencional versus TLPT sob o DORA

Dimensão	Teste de intrusão convencional	TLPT sob o DORA
Quem decide que ele acontece	A instituição, pelo próprio apetite de risco	Uma autoridade competente designa a entidade; a frequência é de pelo menos três anos
O que é alvo	Sistemas escolhidos pela área de segurança	Funções críticas ou importantes, inclusive as que rodam em produção e as terceirizadas
De onde vem o modelo de ameaças	Julgamento interno ou a biblioteca do próprio prestador	Inteligência de ameaças contratada, de um provedor externo à instituição
Quem pode executar	Qualquer fornecedor competente, ou uma equipe interna	Prestadores de testes que atendam às condições do Article 27; equipes internas em no máximo dois de cada três ciclos
Para que serve o resultado	Um relatório interno e uma fila de remediação	Evidência supervisória, com resultados e remediação sujeitos a escrutínio da autoridade e a reconhecimento transfronteiriço

A última linha é onde os programas subestimam o trabalho. Um relatório de teste de intrusão é escrito para quem vai corrigir os achados. Um pacote de TLPT é escrito para um supervisor que não estava na sala, e precisa reconstruir por que o escopo foi traçado onde foi, o que a inteligência dizia, o que o red team de fato fez e o que mudou como resultado.

Quem está no escopo, e por que não cabe a você decidir

O DORA não aplica a obrigação de TLPT a toda entidade do seu perímetro. As autoridades competentes identificam as entidades financeiras obrigadas a executá-la, considerando importância sistêmica, porte e perfil de risco de TIC; microempresas ficam excluídas.

Duas consequências decorrem daí e passam despercebidas com facilidade.

Designação não é prêmio de maturidade. Ser nomeado significa que um supervisor considera consequente a sua falha, e vem com uma obrigação de cadência anexa. A leitura correta é a de um compromisso permanente de três anos, com aquisição de fornecedores associada, não a de um projeto pontual.

Não ser designado não isenta do raciocínio. Uma entidade não designada ainda precisa demonstrar testes avançados proporcionais sob as disposições gerais de testes do DORA. A diferença está na formalidade do regime, não na existência da expectativa.

O mercado de prestadores de testes é a restrição que amarra

Esta é a parte que merece um slide de conselho, e raramente aparece em um.

O Article 27 não exige simplesmente prestadores competentes. Exige prestadores que demonstrem capacidade técnica e organizacional com expertise específica em inteligência de ameaças, testes de intrusão e red teaming; que sejam certificados por um organismo de acreditação em um Estado-Membro, ou adiram a códigos de conduta formais ou arcabouços éticos; que possam fornecer asseguração independente ou relatório de auditoria sobre a gestão adequada dos riscos que o próprio teste cria; e que mantenham seguro de responsabilidade civil profissional, incluindo cobertura contra má conduta e negligência.

Tabela 2: o que o Article 27 exige de um prestador, e o que isso filtra

Exigência	O que ela realmente afere	Quem ela retira do mercado
Expertise comprovada em inteligência de ameaças, testes de intrusão e red teaming	Que o fornecedor consiga operar a cadeia inteira, não um elo dela	Butiques fortes em exploração, mas sem função de inteligência
Acreditação em um Estado-Membro, ou código de conduta formal	Reconhecimento verificável em vez de reputação	Prestadores autônomos e coletivos informais
Asseguração independente ou relatório de auditoria sobre gestão de riscos	Que testar um banco em produção não o derrube	Fornecedores sem maturidade de governança própria
Cobertura de responsabilidade civil profissional, incluindo má conduta e negligência	Que exista um balanço por trás do risco	Firmas com pouco capital

Leia essas quatro linhas em conjunto e o formato do mercado fica claro: um número modesto de firmas, na maioria grandes, todas vendendo para todas as entidades designadas da União num ritmo sincronizado de três anos.

Instituições que tratam a contratação de prestadores como sourcing rotineiro agendado com um trimestre de antecedência vão descobrir a restrição no pior momento. O recurso escasso não é o red team; é um red team qualificado, com a janela certa e sem conflito diante do seu parque.

Equipes internas ajudam, mas não sustentam o programa

Bancos com capacidade ofensiva madura perguntam, com razão, se a equipe interna consegue absorver isso. Em parte.

Prestadores internos são permitidos, sujeitos a aprovação supervisória, recursos adequados e gestão de conflito de interesses — mas com dois limites duros. Prestadores externos precisam ser contratados a cada três testes, então uma equipe interna cobre no máximo dois ciclos em três. E o provedor de inteligência de ameaças precisa ser externo à instituição em todos os testes, inclusive naqueles que a equipe interna executa.

Essa segunda regra é a mais interessante, porque não trata realmente de capacidade. Uma função interna de inteligência sabe quais conclusões seriam inconvenientes. Exigir que a inteligência venha de fora é uma defesa estrutural contra um red team que discretamente testa aquilo que a organização já se sente confortável em ver testado — o modo de falha que torna um exercício tranquilizador em vez de informativo.

A consequência prática de planejamento: construa a capacidade interna para os ciclos que ela pode atender, mas trate a inteligência externa como uma linha permanente de custo, não periódica.

Seus terceiros estão dentro do teste

Quando uma função crítica ou importante depende de um provedor terceiro de TIC, os sistemas desse provedor podem cair no escopo do TLPT, e o provedor pode ser obrigado a participar.

Para um banco de atacado, isso não é nota de rodapé. As funções críticas em pagamentos, custódia e liquidação rodam desproporcionalmente sobre plataformas de fornecedores, serviços gerenciados e nuvem. Um teste com escopo traçado honestamente contra funções críticas vai alcançar fornecedores, e no instante em que isso acontece surgem três perguntas que são contratuais, não técnicas:

O contrato permite? Cláusulas de direito de teste escritas para avaliações convencionais muitas vezes não contemplam um red team orientado por inteligência operando contra produção sem que a equipe de operações do provedor seja avisada.
Quem carrega o risco se o teste causar um incidente? Entre o banco, o prestador de testes e o provedor, isso precisa ficar resolvido por escrito antes do escopo, não negociado sob pressão de tempo depois que a janela de teste já foi reservada.
O provedor consegue atender todos ao mesmo tempo? Um provedor concentrado que atende muitas entidades designadas enfrenta a mesma demanda sincronizada que o mercado de prestadores enfrenta — e não tem obrigação nenhuma de priorizar você.

O trabalho de cláusula tem prazo de maturação maior que o do teste. Ele pertence ao modelo de renovação agora, pela mesma razão e pela mesma lógica de qualquer outro direito supervisório de acesso.

O que os defensores devem ao exercício

Um red team que vence em silêncio ensina muito pouco a uma instituição. O valor está na reconstrução: o que foi emitido, o que foi detectado, o que foi escalado e quanto tempo cada etapa levou.

Três compromissos separam um exercício que produz evidência de um que produz uma história.

Instrumente para reconstrução antes do teste, não durante. Se a telemetria de detecção já não estiver retida com fidelidade suficiente, a análise pós-exercício vira questão de memória. Essa é a forma mais comum de um exercício tecnicamente bem-sucedido produzir um pacote supervisório fraco.

Meça tempo, não só desfecho. Se o red team atingiu ou não o objetivo é o achado menos interessante. Tempo até a primeira detecção, tempo até a atribuição correta e tempo até a contenção são os números que descrevem a capacidade defensiva, e são os números que melhoram entre ciclos.

Feche o ciclo com o blue team de forma deliberada. A colaboração com a equipe defensora está embutida no arcabouço, e não acoplada depois, e é o que converte um exercício isolado em capacidade duradoura. Uma instituição que roda o teste, arquiva o relatório e não muda nada observável cumpriu uma cadência e não aprendeu nada.

O manual operacional

Determine se você espera ser designado, e planeje como se fosse. O prazo de contratação é longo o bastante para que esperar a notificação formal seja a opção cara.
Coloque a contratação de prestadores num plano trienal, não num cronograma de projeto. Qualifique um painel contra as condições do Article 27 — acreditação ou adesão a código, relatório de asseguração, cobertura de responsabilidade civil — bem antes de precisar de uma janela.
Contrate inteligência de ameaças externa como arranjo permanente. Ela é exigida em todos os ciclos, independentemente de quem executa o teste, portanto não é custo variável.
Corrija as cláusulas com terceiros neste trimestre. Direito de teste, obrigações de participação, alocação do risco de incidente. É o item de maior prazo de maturação em toda esta lista, e não é tarefa de engenharia.
Eleve a fidelidade da telemetria de detecção antes do primeiro exercício. O pacote de evidência vale apenas o que foi registrado enquanto o red team operava.
Reporte os tempos, não o veredito. Tempo para detectar, atribuir e conter, acompanhado ao longo dos ciclos, é a métrica que mostra ao supervisor uma capacidade em vez de um evento de conformidade.

As instituições que vão lidar bem com isso não são as que têm o red team interno mais impressionante. São as que trataram uma obrigação supervisionada de testes como um problema de cadeia de fornecimento e de evidência cedo o bastante para resolvê-lo com calma.

Perguntas frequentes

Toda entidade regulada pelo DORA precisa executar TLPT?
Não. As autoridades competentes identificam as entidades obrigadas a executá-lo, com base em importância sistêmica, porte e perfil de risco de TIC, e microempresas ficam excluídas. Entidades não designadas continuam sujeitas aos requisitos gerais de testes de resiliência operacional digital do DORA — a expectativa não desaparece, apenas o regime formal.

Com que frequência uma entidade designada precisa testar?
Pelo menos a cada três anos, cobrindo funções críticas ou importantes. Uma autoridade competente pode exigir frequência maior ou menor conforme o perfil de risco da entidade e as circunstâncias operacionais.

Podemos usar nosso próprio red team?
Em até dois de cada três testes, sujeito a aprovação supervisória, recursos adequados e gestão de conflito de interesses; prestadores de testes externos precisam ser contratados a cada terceiro teste. Separadamente, e em todos os ciclos, o provedor de inteligência de ameaças precisa ser externo à instituição.

Nossos provedores terceirizados precisam participar?
Podem ser obrigados a isso. Quando uma função crítica ou importante depende de um provedor terceiro de TIC, os sistemas desse provedor podem cair no escopo do teste e o provedor pode ser obrigado a participar — e é por isso que o direito de teste e a alocação do risco de incidente precisam ficar resolvidos contratualmente com antecedência.

Já rodamos exercícios TIBER-EU. Estamos em conformidade?
Vocês estão bem posicionados, porque o regime se apoia no mesmo arcabouço, mas os dois não são equivalentes. A participação no TIBER era voluntária; a obrigação do DORA é supervisionada, tem cadência obrigatória e vem com as condições específicas de prestadores de testes e os arranjos de reconhecimento transfronteiriço estabelecidos nas normas técnicas regulatórias.

Referências

European Parliament and Council of the European Union, 2022. Regulation (EU) 2022/2554 on digital operational resilience for the financial sector (DORA). Bruxelas: Jornal Oficial da União Europeia. Disponível em: European Parliament and Council of the European Union, 2022..
European Commission, 2025. Commission Delegated Regulation (EU) 2025/1190 supplementing Regulation (EU) 2022/2554 with regard to regulatory technical standards on threat-led penetration testing. Bruxelas: Jornal Oficial da União Europeia. Disponível em: European Commission, 2025..
European Central Bank, 2026. TIBER-EU: European framework for threat intelligence-based ethical red-teaming. Frankfurt am Main: European Central Bank. Disponível em: European Central Bank, 2026..

Última revisão 2026-08-06.

Republicar este artigo

O red team virou cadeia de fornecimento supervisionada pelo DORA — Sebastien Rousseau

O regime de TLPT do DORA transforma o red team em obrigação supervisionada. As restrições reais são o mercado de prestadores, a cadência e seus terceiros.

Este artigo está licenciado sob Creative Commons Attribution 4.0 International. A republicação exige atribuição à URL canônica.

O red team virou cadeia de fornecimento supervisionada pelo DORA — Sebastien Rousseau

O regime de TLPT do DORA transforma o red team em obrigação supervisionada. As restrições reais são o mercado de prestadores, a cadência e seus terceiros.

Originally published at https://sebastienrousseau.com/pt-br/2026-07-29-threat-led-penetration-testing-dora-tlpt-banks-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER