DORA și TLPT:
ce testare vi se cere, concret

Ce este DORA#

DORA (Digital Operational Resilience Act) este Regulamentul (UE) 2022/2554 privind reziliența operațională digitală a sectorului financiar. A fost adoptat pe 14 decembrie 2022, publicat în Jurnalul Oficial pe 27 decembrie 2022 și se aplică din 17 ianuarie 2025 (art. 64) ¹. Fiind regulament, nu directivă, se aplică direct în toate statele membre.

Cui se aplică și ce testare vi se cere#

Art. 2 alin. (1) enumeră 20 de tipuri de entități financiare: instituții de credit, instituții de plată și de monedă electronică, furnizori de servicii de informare cu privire la conturi, firme de investiții, furnizori de servicii de criptoactive, depozitari centrali, contrapărți centrale, locuri de tranzacționare, administratori de fonduri, asigurători și reasigurători, intermediari de asigurări, fonduri de pensii ocupaționale, agenții de rating, platforme de finanțare participativă și altele. Litera u) adaugă furnizorii terți de servicii TIC ¹.

Sunt excluși, printre alții, asigurătorii sub pragurile Solvabilitate II, intermediarii de asigurări care sunt microîntreprinderi sau IMM-uri și fondurile de pensii cu cel mult 15 membri (art. 2 alin. (3)). Firmele de investiții mici și neinterconectate, instituțiile de plată și de monedă electronică scutite și fondurile de pensii mici aplică un cadru simplificat (art. 16), detaliat în Regulamentul delegat 2024/1774 ¹³.

Programul de testare: ce cer art. 24 și 25#

• Program de testare ca parte a cadrului de gestionare a riscului TIC, pentru toate entitățile cu excepția microîntreprinderilor (art. 24 alin. (1)) ¹.
• Abordare bazată pe risc: ce și cât se testează decurge din evaluarea riscului (art. 24 alin. (3)) ¹.
• Testele le fac părți independente, interne sau externe; testerul intern presupune resurse suficiente și evitarea conflictelor de interese (art. 24 alin. (4)) ¹.
• Proceduri de prioritizare și remediere, cu validarea închiderii constatărilor (art. 24 alin. (5)) ¹.
• Cel puțin anual, teste adecvate pe toate sistemele și aplicațiile TIC care susțin funcții critice sau importante (art. 24 alin. (6)) ¹.

Art. 25 alin. (1) enumeră testele posibile: evaluări și scanări de vulnerabilități, analize open source, evaluări ale securității rețelei, analize de decalaj, verificări de securitate fizică, chestionare și soluții de scanare, revizuiri de cod sursă acolo unde e fezabil, teste bazate pe scenarii, de compatibilitate, de performanță, end-to-end și teste de penetrare ¹. Depozitarii centrali și contrapărțile centrale fac evaluări de vulnerabilitate înainte de orice implementare (art. 25 alin. (2)).

TLPT: testarea condusă de amenințări#

TLPT (threat-led penetration testing) reproduce tacticile unor atacatori reali, pe baza unor informații despre amenințări (threat intelligence), pe sistemele de producție live ale entității. Perimetrul îl stabilește entitatea și îl validează autoritatea; furnizorii TIC din perimetru trebuie să participe, iar testul se poate face și în comun cu alte entități („pooled”) (art. 26 alin. (2)–(4)) ¹.

Detaliile sunt în Regulamentul delegat (UE) 2025/1190, adoptat pe 13 februarie 2025, publicat pe 18 iunie 2025 și în vigoare din a 20-a zi după publicare. Considerentul (1) spune că standardul „oglindește” cadrul TIBER-EU ².

Pragurile se aplică dacă evaluarea autorității nu justifică o excepție; în rest, autoritatea decide după criterii de impact și de risc TIC (art. 2 alin. (1) din RTS) ². Autoritatea are o echipă cibernetică TLPT, numește pentru fiecare test un test manager, iar entitatea numește un lider al echipei de control; testul e secret și se desfășoară sub nume de cod (art. 3–4) ².

Cum decurge un TLPT, cu termene#

1. ≤ 3 luni
   Inițiere

   Documentele de inițiere, de la notificarea autorității (RTS, art. 9) ².

2. ≤ 6 luni
   Perimetru

   Documentul de perimetru, aprobat de organul de conducere al entității (art. 9) ².

3. ≥ 3
   Scenarii de amenințare

   Cel puțin 3 scenarii, dintre care cel mult unul nebazat pe amenințări (art. 10) ².

4. ≥ 12 săpt.
   Faza activă red team

   Atacul propriu-zis, cu raportare cel puțin săptămânală către echipa de control (art. 11) ².

5. ≤ 4 săpt.
   Raportul red team

   De la sfârșitul fazei active (art. 12) ².

6. ≤ 10 săpt.
   Blue team, replay, purple teaming

   Raportul echipei de apărare, reluarea atacului și purple teaming-ul, obligatoriu (art. 12) ².

7. ≤ 8 săpt.
   Rezumat și remediere

   Raportul-sumar către autoritate și planul de remediere; autoritatea emite apoi atestarea (RTS art. 12–13; DORA art. 26 alin. (6)–(7)) ¹².

Cine are voie să facă testul#

Art. 27 alin. (1) cere testerilor TLPT ¹:

• cea mai înaltă adecvare și reputație;
• capabilități tehnice și organizatorice, cu expertiză în threat intelligence, teste de penetrare și red teaming;
• certificare de la un organism de acreditare dintr-un stat membru sau aderare la coduri de conduită ori cadre etice;
• asigurare independentă sau un raport de audit privind gestionarea riscurilor TLPT;
• asigurare de răspundere profesională, inclusiv pentru conduită necorespunzătoare și neglijență.

RTS-ul adaugă praguri concrete la selecție (art. 7): furnizorul de threat intelligence prezintă cel puțin 3 referințe, cu un manager de cel puțin 5 ani de experiență și încă un membru de cel puțin 2 ani; testerii externi prezintă cel puțin 5 referințe, cu un manager de cel puțin 5 ani și cel puțin doi testeri cu câte 2 ani de experiență în pentest și red teaming ². Cu testeri interni e nevoie de aprobarea autorității și de un furnizor extern de threat intelligence; la fiecare al treilea test se contractează testeri externi, iar băncile semnificative supravegheate de BCE folosesc numai testeri externi ¹².

Raportarea incidentelor majore#

Art. 19 cere o notificare inițială, un raport intermediar și un raport final către autoritatea competentă; clienții se informează fără întârziere când le sunt afectate interesele financiare ¹. Clasificarea incidentelor majore e în Regulamentul delegat 2024/1772, iar termenele în art. 5 din Regulamentul delegat 2025/301 ⁴⁵:

1. 4 h / 24 h
   Notificarea inițială

   În cel mult 4 ore de la clasificarea ca incident major și în cel mult 24 de ore de la momentul în care entitatea a aflat de incident ⁴.

2. 72 h
   Raportul intermediar

   În cel mult 72 de ore de la notificarea inițială, chiar dacă nimic nu s-a schimbat ⁴.

3. 1 lună
   Raportul final

   În cel mult o lună de la ultimul raport intermediar ⁴.

Furnizorii TIC: ce intră în contract#

Entitatea financiară rămâne integral responsabilă pentru serviciile externalizate și ține un registru de informații al tuturor contractelor TIC (art. 28), după șabloanele din Regulamentul de punere în aplicare 2024/2956 ¹⁶. Pentru funcțiile critice sau importante, art. 30 alin. (3) cere în contract ¹:

• obligația furnizorului de a participa și coopera pe deplin la TLPT (lit. d));
• drepturi nerestricționate de acces, inspecție și audit pentru entitate, pentru un terț desemnat și pentru autoritate (lit. e));
• strategii de ieșire (lit. f)).

Republica Moldova: Regulamentul TIC al BNM#

În Moldova, DORA nu se aplică direct. Echivalentul practic este Regulamentul BNM privind cerințele minime pentru gestionarea riscurilor TIC, securității informației și continuității activității, aprobat prin HCE nr. 29 din 12 februarie 2025, în vigoare din 20 martie 2025, cu termene de conformare de 3, 9, 12 și 15 luni ⁹. Se aplică băncilor și sucursalelor băncilor străine, societăților de plată, societăților emitente de monedă electronică și furnizorilor de servicii poștale (art. 5 alin. (1) lit. a)–d) din Legea 114/2012); nota de fundamentare îl declară aliniat la ghidul EBA privind riscurile TIC și la DORA.

România: BNR coordonează TLPT#

În România, OUG nr. 14 din 5 martie 2026, publicată în Monitorul Oficial nr. 188 din 11 martie 2026, împarte supravegherea DORA: BNR pentru instituțiile de credit, de plată și de monedă electronică și furnizorii de servicii de informare cu privire la conturi, ASF pentru firmele de investiții, asigurători, intermediari și fondurile de pensii ¹⁰. BNR este autoritatea publică unică pentru coordonarea TLPT (art. 5 alin. (2)); ASF stabilește care dintre entitățile sale fac TLPT, rezumatul și remedierea merg la BNR, care emite atestarea, iar entitățile ASF o transmit către ASF în 30 de zile (art. 5 alin. (3), art. 11) ¹⁰. România figurează printre statele care au adoptat TIBER-EU ¹¹.

Pașii practici#

1. Stabiliți regimul

   Complet, simplificat (art. 16) sau microîntreprindere; în Moldova, dacă intrați sub Regulamentul TIC al BNM.

2. Inventariați funcțiile critice

   Și sistemele, aplicațiile și furnizorii TIC care le susțin; registrul de informații pornește de aici.

3. Scrieți programul de testare

   Ce teste din art. 25, pe ce sisteme, cât de des și cine le face, cu independența documentată.

4. Testați și remediați

   Constatările se prioritizează, iar închiderea lor se validează prin re-test (art. 24 alin. (5)).

5. Pregătiți-vă pentru TLPT

   Dacă sunteți aproape de praguri: echipa de control, furnizorii, clauzele TLPT din contractele TIC.

Întrebări frecvente