DORA и TLPT:
какое тестирование нужно на деле

Что такое DORA#

DORA (Digital Operational Resilience Act) — Регламент (ЕС) 2022/2554 о цифровой операционной устойчивости финансового сектора. Принят 14 декабря 2022 года, опубликован в Официальном журнале 27 декабря 2022 года и применяется с 17 января 2025 года (ст. 64) ¹. Как регламент, а не директива, он действует напрямую во всех государствах-членах.

К кому применяется и какое тестирование нужно#

Ст. 2 ч. (1) перечисляет 20 типов финансовых организаций: кредитные учреждения, платёжные учреждения и эмитенты электронных денег, поставщики услуг информирования о счетах, инвестиционные фирмы, поставщики услуг криптоактивов, центральные депозитарии, центральные контрагенты, торговые площадки, управляющие фондами, страховщики и перестраховщики, страховые посредники, профессиональные пенсионные фонды, рейтинговые агентства, краудфандинговые платформы и другие. Пункт u) добавляет сторонних поставщиков ИКТ-услуг ¹.

Исключены, среди прочих, страховщики ниже порогов Solvency II, страховые посредники — микро-, малые и средние предприятия и пенсионные фонды не более чем с 15 участниками (ст. 2 ч. (3)). Малые и невзаимосвязанные инвестиционные фирмы, освобождённые платёжные учреждения и эмитенты электронных денег и малые пенсионные фонды применяют упрощённую систему (ст. 16), детализированную в Делегированном регламенте 2024/1774 ¹³.

Программа тестирования: требования ст. 24 и 25#

• Программа тестирования как часть системы управления ИКТ-рисками — для всех организаций, кроме микропредприятий (ст. 24 ч. (1)) ¹.
• Подход на основе риска: что и в каком объёме тестировать, следует из оценки риска (ст. 24 ч. (3)) ¹.
• Тесты проводят независимые стороны, внутренние или внешние; внутренний тестировщик требует достаточных ресурсов и отсутствия конфликта интересов (ст. 24 ч. (4)) ¹.
• Процедуры приоритизации и устранения с подтверждением закрытия находок (ст. 24 ч. (5)) ¹.
• Не реже раза в год — надлежащие тесты всех ИКТ-систем и приложений, поддерживающих критические или важные функции (ст. 24 ч. (6)) ¹.

Ст. 25 ч. (1) перечисляет возможные тесты: оценки и сканирование уязвимостей, анализ open source, оценки сетевой безопасности, gap-анализ, проверки физической безопасности, опросники и сканирующие решения, ревизии исходного кода там, где это возможно, сценарные тесты, тесты совместимости, производительности, сквозные тесты и тесты на проникновение ¹. Центральные депозитарии и центральные контрагенты проводят оценку уязвимостей перед любым развёртыванием (ст. 25 ч. (2)).

TLPT: тестирование на проникновение на основе угроз#

TLPT (threat-led penetration testing) воспроизводит тактику реальных злоумышленников на основе threat intelligence на продуктивных системах организации. Охват определяет организация, а утверждает надзорный орган; поставщики ИКТ в охвате обязаны участвовать, тест можно проводить и совместно с другими организациями («pooled») (ст. 26 ч. (2)–(4)) ¹.

Подробности — в Делегированном регламенте (ЕС) 2025/1190, принятом 13 февраля 2025 года, опубликованном 18 июня 2025 года и действующем с 20-го дня после публикации. Согласно соображению (1), стандарт «отражает» рамку TIBER-EU ².

Пороги применяются, если оценка органа не обосновывает исключение; в остальных случаях орган решает по критериям влияния и ИКТ-риска (ст. 2 ч. (1) RTS) ². У органа есть киберкоманда TLPT, на каждый тест он назначает test manager, а организация — руководителя контрольной группы; тест конфиденциален и проводится под кодовым названием (ст. 3–4) ².

Как проходит TLPT, со сроками#

1. ≤ 3 мес.
   Инициация

   Документы инициации — с момента уведомления органа (RTS, ст. 9) ².

2. ≤ 6 мес.
   Охват

   Документ об охвате, утверждённый органом управления организации (ст. 9) ².

3. ≥ 3
   Сценарии угроз

   Не менее 3 сценариев, из них не более одного не основанного на угрозах (ст. 10) ².

4. ≥ 12 нед.
   Активная фаза red team

   Сама атака с отчётностью перед контрольной группой не реже раза в неделю (ст. 11) ².

5. ≤ 4 нед.
   Отчёт red team

   С окончания активной фазы (ст. 12) ².

6. ≤ 10 нед.
   Blue team, replay, purple teaming

   Отчёт защитников, повтор атаки и обязательный purple teaming (ст. 12) ².

7. ≤ 8 нед.
   Резюме и устранение

   Итоговый отчёт органу и план устранения; затем орган выдаёт аттестацию (RTS ст. 12–13; DORA ст. 26 ч. (6)–(7)) ¹².

Кто вправе проводить тест#

Ст. 27 ч. (1) требует от тестировщиков TLPT ¹:

• высочайшей пригодности и репутации;
• технических и организационных возможностей с экспертизой в threat intelligence, тестах на проникновение и red teaming;
• сертификации органом по аккредитации государства-члена или приверженности кодексам поведения либо этическим рамкам;
• независимого заверения или аудиторского отчёта об управлении рисками TLPT;
• страхования профессиональной ответственности, в том числе за ненадлежащее поведение и халатность.

RTS добавляет конкретные пороги отбора (ст. 7): поставщик threat intelligence представляет не менее 3 рекомендаций, менеджера с опытом не менее 5 лет и ещё одного специалиста с опытом не менее 2 лет; внешние тестировщики — не менее 5 рекомендаций, менеджера с опытом не менее 5 лет и не менее двух тестировщиков с опытом по 2 года в пентесте и red teaming ². Внутренние тестировщики требуют одобрения органа и внешнего поставщика threat intelligence; на каждом третьем тесте привлекаются внешние тестировщики, а значимые банки под надзором ЕЦБ используют только внешних ¹².

Уведомление о крупных инцидентах#

Ст. 19 требует первичного уведомления, промежуточного и итогового отчётов компетентному органу; клиентов информируют без неоправданной задержки, если затронуты их финансовые интересы ¹. Классификация крупных инцидентов — в Делегированном регламенте 2024/1772, сроки — в ст. 5 Делегированного регламента 2025/301 ⁴⁵:

1. 4 ч / 24 ч
   Первичное уведомление

   Не позднее 4 часов с момента классификации как крупного инцидента и не позднее 24 часов с момента, когда организация узнала о нём ⁴.

2. 72 ч
   Промежуточный отчёт

   Не позднее 72 часов после первичного уведомления, даже если ничего не изменилось ⁴.

3. 1 мес.
   Итоговый отчёт

   Не позднее месяца после последнего промежуточного отчёта ⁴.

Поставщики ИКТ: что включается в договор#

Финансовая организация остаётся полностью ответственной за переданные услуги и ведёт реестр информации обо всех договорах ИКТ (ст. 28) по шаблонам Имплементационного регламента 2024/2956 ¹⁶. Для критических или важных функций ст. 30 ч. (3) требует включить в договор ¹:

• обязанность поставщика участвовать и полностью сотрудничать в TLPT (п. d));
• неограниченные права доступа, инспекции и аудита для организации, назначенной третьей стороны и органа (п. e));
• стратегии выхода (п. f)).

Молдова: Регламент ИКТ НБМ#

В Молдове DORA напрямую не применяется. Практический эквивалент — Регламент НБМ о минимальных требованиях к управлению рисками ИКТ, информационной безопасности и непрерывности деятельности, утверждённый ПИК № 29 от 12 февраля 2025 года, действующий с 20 марта 2025 года со сроками приведения в соответствие 3, 9, 12 и 15 месяцев ⁹. Применяется к банкам и филиалам иностранных банков, платёжным обществам, эмитентам электронных денег и поставщикам почтовых услуг (ст. 5 ч. (1) п. a)–d) Закона 114/2012); в пояснительной записке он заявлен как согласованный с руководством EBA по ИКТ-рискам и DORA.

Румыния: BNR координирует TLPT#

В Румынии Чрезвычайное постановление № 14 от 5 марта 2026 года, опубликованное в Официальном мониторе № 188 от 11 марта 2026 года, распределяет надзор по DORA: BNR (Национальный банк Румынии) — кредитные, платёжные учреждения, эмитенты электронных денег и поставщики услуг информирования о счетах, ASF (Управление финансового надзора) — инвестиционные фирмы, страховщики, посредники и пенсионные фонды ¹⁰. BNR — единый государственный орган, координирующий TLPT (ст. 5 ч. (2)); ASF определяет, какие из её организаций проводят TLPT, резюме и план устранения направляются в BNR, который выдаёт аттестацию, а организации ASF передают её в ASF в течение 30 дней (ст. 5 ч. (3), ст. 11) ¹⁰. Румыния входит в число стран, принявших TIBER-EU ¹¹.

Практические шаги#

1. Определите режим

   Полный, упрощённый (ст. 16) или микропредприятие; в Молдове — подпадаете ли под Регламент ИКТ НБМ.

2. Проведите инвентаризацию критических функций

   А также систем, приложений и поставщиков ИКТ, которые их поддерживают; отсюда начинается реестр информации.

3. Составьте программу тестирования

   Какие тесты из ст. 25, на каких системах, как часто и кем, с документированной независимостью.

4. Тестируйте и устраняйте

   Находки приоритизируются, а их закрытие подтверждается повторным тестом (ст. 24 ч. (5)).

5. Подготовьтесь к TLPT

   Если вы близки к порогам: контрольная группа, поставщики, положения о TLPT в договорах ИКТ.

Частые вопросы