Estatuko Aldizkari Ofiziala Estatu Agentzia

(1)

El presente Reglamento se ha elaborado de conformidad con el marco TIBER-EU y refleja la metodología, el proceso y la estructura de las pruebas de penetración basadas en amenazas descritas en dicho marco. Las entidades financieras sujetas a pruebas de penetración basadas en amenazas podrán hacer referencia al marco TIBER-EU, o a una de sus adaptaciones nacionales, y aplicarlo, en la medida en que dicho marco o adaptación sea coherente con los requisitos establecidos en los artículos 26 y 27 del Reglamento (UE) 2022/2554 y en el presente Reglamento. La designación de una única autoridad pública en el sector financiero que sea responsable de las cuestiones relacionadas con las pruebas de penetración basadas en amenazas a escala nacional de conformidad con el artículo 26, apartado 9, del Reglamento (UE) 2022/2554 debe entenderse sin perjuicio de la competencia de las autoridades correspondientes confiada a escala de la Unión para la supervisión de determinadas entidades financieras de conformidad con el artículo 46 de dicho Reglamento, como, por ejemplo, el Banco Central Europeo en relación con las entidades de crédito significativas que deben considerarse competentes en materia de pruebas de penetración basadas en amenazas. Cuando solo se deleguen algunas de las tareas relacionadas con las pruebas de penetración basadas en amenazas en otra autoridad nacional del sector financiero de conformidad con el artículo 26, apartado 10, del Reglamento (UE) 2022/2554, la autoridad competente sobre la entidad financiera a que se refiere el artículo 46 de dicho Reglamento debe seguir siendo la autoridad competente en relación con las tareas vinculadas a las pruebas de penetración basadas en amenazas que no se hayan delegado.

(2)

Teniendo en cuenta la complejidad de la prueba de penetración basada en amenazas y los riesgos que conlleva, su uso debe limitarse a las entidades financieras para las que esté justificado. Por lo tanto, las autoridades responsables de los asuntos relacionados con las pruebas de penetración basadas en amenazas (autoridades competentes en relación con dichas pruebas, ya sea a escala de la Unión o nacional) deben excluir del ámbito de aplicación de estas pruebas a las entidades financieras que operen en subsectores esenciales de los servicios financieros para los que no esté justificado realizarlas. Esto significa que las entidades de crédito, las entidades de pago y de dinero electrónico, los depositarios centrales de valores, las entidades de contrapartida central, los centros de negociación y las empresas de seguros y reaseguros, aunque cumplan los criterios cuantitativos, podrían quedar exentas del requisito de realizar las pruebas de penetración basadas en amenazas a la luz de una evaluación global de su perfil de riesgo relacionado con las TIC y el grado de madurez de sus TIC, su impacto en el sector financiero y las preocupaciones relativas a la estabilidad financiera.

(3)

Las autoridades competentes en relación con las pruebas de penetración basadas en amenazas deben evaluar, a la luz de una evaluación global del perfil de riesgo relacionado con las TIC y del grado de madurez de las TIC, del impacto en el sector financiero y de las preocupaciones relativas a la estabilidad financiera, si cualquier tipo de entidad financiera distinta de las entidades de crédito, las entidades de pago, las entidades de dinero electrónico, las entidades de contrapartida central, los depositarios centrales de valores, los centros de negociación y las empresas de seguros y reaseguros debe estar sujeta a la realización de pruebas de penetración basadas en amenazas. La evaluación de si dichas entidades financieras cumplen esos criterios cualitativos debe tener por objeto determinar para qué entidades financieras es adecuada la prueba de penetración basada en amenazas, utilizando para ello indicadores intersectoriales y objetivos. Al mismo tiempo, la evaluación de si una entidad financiera cumple esos criterios cualitativos debe limitar las entidades sujetas a pruebas de penetración basadas en amenazas a aquellas para las que la prueba esté justificada. También debe evaluarse si una entidad financiera cumple esos criterios cualitativos a la luz de la evolución reciente de los mercados y de la creciente importancia de los nuevos participantes en el mercado para el sector financiero en el futuro, incluidos los proveedores de servicios de criptoactivos autorizados de conformidad con el artículo 59 del Reglamento (UE) 2023/1114 del Parlamento Europeo y del Consejo (2).

(4)

Las entidades financieras podrán tener el mismo proveedor intragrupo de servicios de TIC o pertenecer al mismo grupo y recurrir al uso de sistemas de TIC compartidos. En ese caso, es importante que las autoridades competentes en relación con las pruebas de penetración basadas en amenazas tengan en cuenta la estructura y el carácter sistémico o la importancia para el sector financiero de dicha entidad financiera a escala nacional o de la Unión al evaluar si una entidad financiera debe estar sujeta a la mencionada prueba y si esta debe llevarse a cabo a nivel de entidad o de grupo (a través de una prueba de penetración basada en amenazas compartida).

(5)

Para imitar el marco TIBER-EU, es necesario que la metodología de la prueba prevea la participación de los siguientes agentes principales: la entidad financiera, con un equipo de control (a imagen del «equipo de control» de TIBER-EU) y un equipo azul (a imagen del «equipo azul» de TIBER-EU), y la autoridad competente en relación con las pruebas de penetración basadas en amenazas, en forma de equipo cibernético encargado de las pruebas de penetración basadas en amenazas (a imagen de los «equipos cibernéticos TIBER» de TIBER-EU), un proveedor de inteligencia de amenazas y probadores (los cuales son reflejo del «proveedor de equipo rojo» de TIBER-EU).

(6)

Para garantizar que las pruebas de penetración basadas en amenazas se beneficien de la experiencia adquirida en el marco de la aplicación del marco TIBER-EU y reducir los riesgos asociados a la ejecución de las pruebas, debe garantizarse que las responsabilidades de los equipos cibernéticos que se creen en el seno de las autoridades competentes en relación con las pruebas de penetración basadas en amenazas se asemejen lo máximo posible a las de los equipos cibernéticos TIBER-EU. Por lo tanto, los equipos cibernéticos encargados de las pruebas de penetración basadas en amenazas deben contar con gestores de pruebas que sean responsables de supervisar, planificar y coordinar cada prueba. Los equipos cibernéticos encargados de las pruebas de penetración basadas en amenazas deben servir de punto de contacto único para la comunicación relacionada con las pruebas dirigida a las partes interesadas internas y externas, para la recogida y el tratamiento de las observaciones recibidas y las lecciones aprendidas de las pruebas realizadas previamente, y para apoyar a las entidades financieras sometidas a pruebas de penetración basadas en amenazas.

(7)

Para imitar la metodología del marco TIBER-EU, los gestores de pruebas deben poseer las competencias y capacidades necesarias para prestar asesoramiento y cuestionar las propuestas de los probadores. La experiencia adquirida en el marco de TIBER-EU ha demostrado la utilidad de contar con un equipo de al menos dos gestores asignados a cada prueba. Para reflejar que la prueba de penetración basada en amenazas se utiliza para fomentar la experiencia de aprendizaje y proteger la confidencialidad de las pruebas, se alienta vivamente a las autoridades competentes en relación con las pruebas de penetración basadas en amenazas (a menos que presenten limitaciones de recursos o conocimientos técnicos) a que consideren la posibilidad de que, mientras esté en curso una prueba de este tipo, los gestores de la prueba no lleven a cabo actividades de supervisión sobre la misma entidad financiera sometida a la prueba.

(8)

En aras de la coherencia con el marco TIBER-EU, es importante que la autoridad competente en relación con las pruebas de penetración basadas en amenazas lleve a cabo un seguimiento estrecho de las pruebas en cada una de sus fases. Teniendo en cuenta la naturaleza de las pruebas y los riesgos asociados, es fundamental que la autoridad competente participe en cada fase específica de las pruebas. En particular, la autoridad competente en relación con las pruebas de penetración basadas en amenazas debe ser consultada y validar las evaluaciones o decisiones de las entidades financieras que, por una parte, puedan influir en la eficacia de la prueba y, por otra, incidan en los riesgos que conlleva esta. Entre los pasos fundamentales en los que es necesaria una participación específica de la autoridad competente cabe citar la validación de determinada documentación fundamental de las pruebas, así como la selección de proveedores de inteligencia sobre amenazas y probadores, y de medidas de gestión de riesgos. La participación de las autoridades competentes en relación con las pruebas de penetración basadas en amenazas, en particular en las validaciones, no debe suponer una carga excesiva para dichas autoridades y, por tanto, debe limitarse a la documentación y las decisiones que afecten directamente a la realización de la prueba. Mediante la participación activa en cada fase de las pruebas, las autoridades competentes en relación con estas podrán evaluar eficazmente el cumplimiento de los requisitos pertinentes por parte de las entidades financieras, lo que debe permitir a dichas autoridades expedir informes de validación de conformidad con el artículo 26, apartado 7, del Reglamento (UE) 2022/2554.

(9)

Es de suma importancia garantizar la confidencialidad de las pruebas de penetración basadas en amenazas para asegurar que las condiciones de las pruebas sean realistas. Por este motivo, las pruebas deben mantenerse en secreto y se deben tomar precauciones para preservar su confidencialidad, incluida la elección de las claves que deben diseñarse para impedir la identificación de la prueba de penetración basada en amenazas por parte de terceros. En el caso de que los miembros del personal responsables de la seguridad del equipo financiero tengan conocimiento de que se está llevando a cabo o está previsto realizar una prueba de penetración basada en amenazas, es probable que permanezcan más atentos y alerta que en las condiciones de trabajo normales, lo que alteraría el resultado de las pruebas. Por lo tanto, los miembros del personal de la entidad financiera ajenos al equipo de control solo deben ser informados de cualquier prueba de penetración basada en amenazas prevista o en curso cuando existan razones convincentes para ello y previo acuerdo de los gestores de la prueba, a fin de garantizar, entre otras cosas, el secreto de la prueba en caso de que un miembro del equipo azul la haya detectado.

(10)

Como demuestra la experiencia adquirida en el marco de TIBER-EU con respecto al «equipo de control», la selección de un responsable del equipo de control adecuado es indispensable para la realización segura de las pruebas de penetración basadas en amenazas. El responsable del equipo de control debe tener el mandato necesario dentro de la entidad financiera para guiar todos los aspectos de la prueba, sin comprometer su confidencialidad. Por la misma razón, los miembros del equipo de control deben poseer un profundo conocimiento de la entidad financiera, del cargo desempeñado por el responsable del equipo de control y de su posicionamiento estratégico, pero además deben tener la antigüedad requerida y disponer de acceso al consejo de administración. Para reducir el riesgo de comprometer la prueba de penetración basada en amenazas, el equipo de control debe ser lo más pequeño posible.

(11)

Existen elementos inherentes a los riesgos asociados a las pruebas de penetración basadas en amenazas, ya que las funciones esenciales se someten a prueba en un entorno de producción activo, lo que puede provocar incidentes de denegación de servicio, interrupciones imprevistas del sistema, daños a los sistemas de producción activos esenciales o la pérdida, modificación o divulgación de datos. Estos riesgos ponen de relieve la necesidad de adoptar medidas sólidas de gestión de riesgos. Para garantizar que la prueba de penetración basada en amenazas se lleve a cabo de manera controlada en su totalidad, es muy importante que las entidades financieras sean conscientes, en todos los puntos, de los riesgos específicos que surgen en una prueba de este tipo y que dichos riesgos se mitiguen. A este respecto, sin perjuicio de los procesos internos de la entidad financiera y de la responsabilidad y las facultades ya delegadas en el responsable del equipo de control, puede ser adecuado informar sobre las medidas de gestión de los riesgos que entrañan las pruebas o, en casos particulares, contar con la aprobación de dichas medidas por parte del propio órgano de dirección de la entidad financiera. Para poder prestar servicios profesionales eficaces y más cualificados y reducir esos riesgos, también es esencial que los probadores y los proveedores de inteligencia sobre amenazas (a los que en lo sucesivo se denominará conjuntamente «proveedores de pruebas de penetración basadas en amenazas») posean el máximo nivel de capacidades, conocimientos técnicos y experiencia adecuada en materia de inteligencia sobre amenazas y pruebas de penetración basadas en amenazas en el sector de los servicios financieros.

(12)

Las pruebas de penetración convencionales proporcionan una evaluación detallada y útil de las vulnerabilidades técnicas y de configuración a menudo de un único sistema o entorno aislado, pero, a diferencia de la prueba de equipo rojo basada en inteligencia, no evalúan el escenario completo de un ataque selectivo contra toda una entidad, de manera que abarque la totalidad de las personas que la integran y de sus procesos y tecnologías. Por lo tanto, durante el proceso de selección de los proveedores de pruebas de penetración basadas en amenazas, las entidades financieras deben garantizar que dichos proveedores cuenten con las capacidades necesarias para realizar pruebas de equipo rojo en función de la inteligencia, y no solo pruebas de penetración. Así pues, es necesario establecer criterios exhaustivos para los probadores, tanto internos como externos, y para los proveedores de inteligencia sobre amenazas, siempre externos. Cuando los proveedores de pruebas de penetración basadas en amenazas pertenezcan a la misma empresa, el personal asignado a una prueba de este tipo debe ser convenientemente separado.

(13)

Puede haber circunstancias excepcionales en las que las entidades financieras no puedan contratar proveedores de pruebas de penetración basadas en amenazas que cumplan los criterios generales. Por lo tanto, las entidades financieras, tras demostrar la falta de disponibilidad de dichos proveedores de inteligencia sobre amenazas, deben poder contratar a personas que no cumplan todos los criterios generales, siempre que mitiguen adecuadamente los riesgos adicionales resultantes y que la autoridad competente en relación con las pruebas de penetración basadas en amenazas evalúe todos esos criterios.

(14)

Cuando varias entidades financieras y varias autoridades competentes en relación con las pruebas de penetración basadas en amenazas participen en una prueba de este tipo, deben especificarse las funciones de todas las partes en el proceso de prueba para llevar a cabo la prueba más eficiente y segura. A efectos de las pruebas conjuntas, se necesitan requisitos concretos para especificar el papel de la entidad financiera designada, a saber, que debe encargarse de proporcionar toda la documentación necesaria a la autoridad principal competente en relación con las pruebas de penetración basadas en amenazas y de supervisar el proceso de prueba. La entidad financiera designada también debe encargarse de los aspectos comunes de la evaluación de la gestión de riesgos. Sin perjuicio del papel de la entidad financiera designada, las obligaciones de cada entidad financiera que participe en el proceso de la prueba de penetración basada en amenazas conjunta no deben verse afectadas durante la prueba conjunta. El mismo principio debe aplicarse a las pruebas de penetración basadas en amenazas compartidas.

(15)

Como demuestra la experiencia adquirida en el contexto de la aplicación del marco TIBER-EU, celebrar reuniones presenciales o virtuales en las que participen todas las partes interesadas (entidades financieras, autoridades, probadores y proveedores de inteligencia sobre amenazas) es la manera más eficiente de garantizar una adecuada realización de las pruebas. En consecuencia, deben celebrarse reuniones presenciales y virtuales en diversas fases del proceso y, en particular, durante la fase de preparación, en el momento de la puesta en marcha de la prueba de penetración basada en amenazas y con el fin de ultimar su alcance, durante la fase de prueba, para finalizar el informe de inteligencia sobre amenazas y el plan de pruebas del equipo rojo y para las actualizaciones semanales, así como durante la fase de conclusión, para reproducir las acciones de los probadores y los equipos azules, el trabajo en equipo morado y el intercambio de opiniones sobre la prueba de penetración basada en amenazas.

(16)

Para garantizar el buen funcionamiento de la prueba de penetración basada en amenazas, la autoridad competente en la materia debe presentar claramente a la entidad financiera sus expectativas con respecto a la prueba. A este respecto, los gestores de la prueba deben garantizar que se establezca un flujo adecuado de información con el equipo de control de la entidad financiera y con los proveedores de pruebas de penetración basadas en amenazas.

(17)

La entidad financiera debe seleccionar las funciones esenciales o importantes que se incluirán en el alcance de la prueba. Al seleccionar estas funciones, la entidad financiera debe basarse en diversos criterios relativos a la importancia de cada función para la propia entidad financiera y para el sector financiero, a escala de la Unión y nacional, no solo en términos económicos, sino también teniendo en cuenta el estatus simbólico o político de la función. Para facilitar una transición fluida a la fase de recopilación de inteligencia sobre amenazas, el equipo de control debe proporcionar a los probadores y proveedores de inteligencia sobre amenazas que no participen en el proceso de delimitación del alcance de la prueba, información detallada sobre el alcance acordado.

(18)

A fin de proporcionar a los probadores la información necesaria para simular un ataque real y realista a los sistemas activos de la entidad financiera que sustentan sus funciones esenciales o importantes, el proveedor de inteligencia sobre amenazas debe recopilar inteligencia o información que abarque al menos dos ámbitos clave de interés: los objetivos, señalando posibles superficies de ataque en toda la entidad financiera, y las amenazas, indicando los agentes que suponen una amenaza y los escenarios de amenaza probables. Para garantizar que el proveedor de inteligencia sobre amenazas tenga en cuenta las amenazas pertinentes para la entidad financiera, los probadores, el equipo de control y los gestores de la prueba deben proporcionar información sobre el proyecto de informe de inteligencia sobre amenazas. El proveedor de inteligencia sobre amenazas (si se dispone de él) podrá utilizar un panorama genérico de amenazas para el sector financiero de un Estado miembro, facilitado por la autoridad competente en relación con las pruebas de penetración basadas en amenazas, como base de referencia para el panorama de amenazas nacional. Sobre la base de la aplicación del marco TIBER-EU, el proceso de recopilación de inteligencia sobre amenazas suele durar unas cuatro semanas.

(19)

Para que los probadores puedan conocer mejor y seguir revisando el documento de especificación del alcance y el informe de inteligencia sobre amenazas específicas con objeto de ultimar el plan de pruebas del equipo rojo, es esencial que, antes de la fase de pruebas del equipo rojo en el marco de la prueba de penetración basada en amenazas, el proveedor de inteligencia sobre amenazas facilite a los probadores explicaciones detalladas acerca del informe de inteligencia sobre amenazas específicas y el análisis de posibles escenarios de amenaza.

(20)

Para que los probadores puedan llevar a cabo pruebas realistas y exhaustivas en las que se ejecuten todas las fases del ataque y se alcancen los marcadores, debe asignarse tiempo suficiente para la fase activa de pruebas del equipo rojo. Sobre la base de la experiencia adquirida con el marco TIBER-EU, el tiempo asignado debe ser de al menos 12 semanas y debe determinarse teniendo en cuenta el número de partes implicadas, el alcance de la prueba de penetración basada en amenazas, los recursos de la entidad o entidades financieras implicadas, cualquier requisito externo y la disponibilidad de información complementaria facilitada por la entidad financiera.

(21)

Durante la fase activa de pruebas del equipo rojo, los probadores deben desplegar una serie de tácticas, técnicas y procedimientos para probar adecuadamente los sistemas de producción activos de la entidad financiera. Dichas tácticas, técnicas y procedimientos deben incluir, según proceda, el reconocimiento (es decir, la recopilación de la mayor cantidad posible de información sobre un objetivo), la instrumentalización (es decir, el análisis de información sobre la infraestructura, las instalaciones y los empleados y la preparación para las operaciones específicas del objetivo), la ejecución (es decir, el inicio activo de la operación completa contra el objetivo), la explotación (es decir, cuando el objetivo de los probadores sea comprometer los servidores y las redes de la entidad financiera y explotar a su personal a través de la ingeniería social), el control y movimiento (es decir, intentos de pasar de los sistemas comprometidos a otros más vulnerables o de alto valor) y acciones en relación con el objetivo (es decir, conseguir un mayor acceso a los sistemas comprometidos y obtener acceso a la información y los datos sobre los objetivos previamente acordados en el plan de pruebas del equipo rojo).

(22)

Al llevar a cabo una prueba de penetración basada en amenazas, los probadores deben actuar teniendo en cuenta el tiempo disponible para llevar a cabo el ataque, los recursos y los límites éticos y jurídicos. En el caso de que los probadores no puedan avanzar a la siguiente fase programada del ataque, el equipo de control deberá prestar asistencia ocasional, previo acuerdo de la autoridad competente en relación con las pruebas de penetración basadas en amenazas. Dicha asistencia puede clasificarse, en términos generales, como asistencia relacionada con la información y asistencia relacionada con el acceso, y puede consistir en la provisión de acceso a sistemas de TIC o a redes internas para continuar con la prueba y centrarse en las fases siguientes del ataque.

(23)

Durante el trabajo activo del equipo rojo en la fase de prueba, si es necesario para permitir la continuación de la prueba de penetración basada en amenazas como último recurso en circunstancias excepcionales y una vez agotadas todas las opciones alternativas, debe utilizarse una actividad de prueba colaborativa en la que participen tanto los probadores como el equipo azul. En el contexto de un ejercicio de trabajo en equipo morado tan limitado, pueden utilizarse los siguientes métodos: «captura y liberación», en el que los probadores intentan continuar con los escenarios, ser detectados y, a continuación, reanudar las pruebas, a modo de «juegos de guerra», lo que permite probar la toma de decisiones estratégicas en escenarios más complejos, o de «prueba de concepto colaborativa», que permite a los probadores y a los miembros del equipo azul validar conjuntamente medidas, herramientas o técnicas de seguridad específicas en un entorno controlado y cooperativo.

(24)

La prueba de penetración basada en amenazas debe utilizarse como experiencia de aprendizaje para mejorar la resiliencia operativa digital de las entidades financieras. A este respecto, el equipo azul y los probadores deben reproducir el ataque y revisar las medidas adoptadas para aprender de la experiencia de las pruebas en colaboración con los probadores. A tal fin, y para permitir una preparación adecuada, el informe de pruebas del equipo rojo y el informe de pruebas del equipo azul deben ponerse a disposición de todas las partes implicadas en las actividades de reproducción, antes de llevar a cabo cualquier actividad de este tipo. Además, debe llevarse a cabo un ejercicio de trabajo en equipo morado, en la fase de conclusión, para maximizar la experiencia de aprendizaje. Los métodos que pueden utilizarse para el trabajo en equipo morado en la fase de conclusión deben incluir el debate de escenarios de ataque alternativos, la exploración de sistemas activos de escenarios alternativos o una segunda exploración de escenarios previstos sobre sistemas activos que los probadores no hayan podido completar o ejecutar durante la fase de prueba.

(25)

Para facilitar aún más la experiencia de aprendizaje de todas las partes implicadas en la prueba de penetración basada en amenazas, en beneficio de futuras pruebas, y con el objetivo de fomentar la resiliencia operativa digital de las entidades financieras, las partes interesadas deben informarse mutuamente sobre el proceso general y, en particular, determinar qué actividades transcurrieron satisfactoriamente o podrían haberse mejorado, y qué aspectos del proceso de las pruebas de penetración basadas en amenazas funcionaron de forma adecuada o podrían mejorarse.

(26)

Las autoridades competentes a que se refiere el artículo 46 del Reglamento (UE) 2022/2554 y las autoridades competentes en relación con las pruebas de penetración basadas en amenazas, cuando sean diferentes, deberán cooperar para incorporar pruebas avanzadas a los procesos de supervisión existentes mediante la realización de pruebas de penetración basadas en amenazas. A este respecto, y a fin de compartir la correcta comprensión de las conclusiones de la prueba de penetración basada en amenazas y de cómo deben interpretarse, es conveniente que, en particular en lo que se refiere al informe resumido de la prueba y los planes de introducción de medidas correctoras, se establezca una cooperación estrecha entre los gestores de pruebas que participaron en la prueba de penetración basada en amenazas y los supervisores responsables.

(27)

El artículo 26, apartado 8, párrafo primero, del Reglamento (UE) 2022/2554 exige a las entidades financieras que contraten probadores externos cada tres pruebas. Cuando las entidades financieras incluyan en el equipo probadores tanto internos como externos, la prueba de penetración basada en amenazas deberá considerarse realizada con probadores internos a efectos de dicho artículo.

(28)

El presente Reglamento se basa en los proyectos de normas técnicas de regulación presentados a la Comisión por la Autoridad Bancaria Europea, la Autoridad Europea de Seguros y Pensiones de Jubilación y la Autoridad Europea de Valores y Mercados (Autoridades Europeas de Supervisión), de acuerdo con el Banco Central Europeo.

(29)

Las Autoridades Europeas de Supervisión han llevado a cabo consultas públicas abiertas sobre los proyectos de normas técnicas de regulación en que se basa el presente Reglamento, han analizado los costes y beneficios potenciales conexos y han recabado el asesoramiento del Grupo de Partes Interesadas del Sector Bancario establecido de conformidad con el artículo 37 del Reglamento (UE) n.o 1093/2010 del Parlamento Europeo y del Consejo (3), del Grupo de Partes Interesadas del Sector de Seguros y de Reaseguros y el Grupo de Partes Interesadas del Sector de Pensiones de Jubilación establecidos de conformidad con el artículo 37 del Reglamento (UE) n.o 1094/2010 del Parlamento Europeo y del Consejo (4), y del Grupo de Partes Interesadas del Sector de los Valores y Mercados establecido de conformidad con el artículo 37 del Reglamento (UE) n.o 1095/2010 del Parlamento Europeo y del Consejo (5).

(30)

El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (6), emitió su dictamen el 20 de agosto de 2024.

1)

«equipo de control»: el equipo compuesto por personal de la entidad financiera sometida a prueba y, en su caso, teniendo en cuenta el alcance de la prueba de penetración basada en amenazas, el personal de sus proveedores terceros de servicios y cualquier otra parte que gestiona la prueba;

2)

«responsable del equipo de control»: el miembro del personal de la entidad financiera responsable de la realización de todas las actividades relacionadas con la prueba de penetración basada en amenazas en el contexto de una prueba determinada;

3)

«equipo azul»: el personal de la entidad financiera y, en su caso, el personal de los proveedores terceros de servicios de la entidad financiera y cualquier otra parte que se considere pertinente, teniendo en cuenta el alcance de la prueba de penetración basada en amenazas, de los proveedores terceros de servicios de la entidad financiera, que defiendan el uso de redes y sistemas de información por parte de una entidad financiera manteniendo su postura de seguridad frente a ataques simulados o reales y que no tenga conocimiento de la prueba de penetración basada en amenazas;

4)

«tareas del equipo azul»: tareas que normalmente lleva a cabo el equipo azul, como el centro de operaciones de seguridad (COS), los servicios de infraestructura de TIC, los servicios de asistencia y los servicios de gestión de incidentes a nivel operativo;

5)

«equipo rojo»: los probadores, internos o externos, contratados o asignados a una prueba de penetración basada en amenazas;

6)

«trabajo en equipo morado»: actividad de prueba colaborativa en la que participan tanto los probadores como el equipo azul;

7)

«autoridad competente en relación con las pruebas de penetración basadas en amenazas»: cualquiera de las siguientes:

a) la autoridad pública única del sector financiero designada de conformidad con el artículo 26, apartado 9, del Reglamento (UE) 2022/2554;

b) la autoridad del sector financiero en la que se delega el ejercicio de algunas o todas las tareas en relación con las pruebas de penetración basadas en amenazas, de conformidad con el artículo 26, apartado 10, del Reglamento (UE) 2022/2554;

c) cualquiera de las autoridades competentes a que se refiere el artículo 46 del Reglamento (UE) 2022/2554;

8)

«equipo cibernético encargado de las pruebas de penetración basadas en amenazas» o «TCT» (por sus siglas en inglés): el personal de las autoridades competentes en relación con las pruebas de penetración basadas en amenazas que es responsable de las cuestiones relacionadas con dichas pruebas;

9)

«gestores de pruebas»: el personal designado para dirigir las actividades de la autoridad competente en relación con las pruebas de penetración basadas en amenazas en lo referente a una prueba de penetración basada en amenazas específica a fin de supervisar el cumplimiento del presente Reglamento;

10)

«proveedor de inteligencia sobre amenazas»: los expertos contratados por la entidad financiera para cada prueba de penetración basada en amenazas y externos a la entidad financiera y, en su caso, a los proveedores intragrupo de servicios de TIC, que recopilan y analizan información específica sobre amenazas pertinente para las entidades financieras incluidas en el ámbito de una prueba de penetración basada en amenazas específica y desarrollan escenarios de amenaza pertinentes y realistas;

11)

«proveedores de pruebas de penetración basadas en amenazas»: los probadores y los proveedores de inteligencia sobre amenazas;

12)

«asistencia»: ayuda o información facilitada por el equipo de control a los probadores para que estos puedan proseguir con la ejecución de una trayectoria de ataque cuando no puedan avanzar por sí solos y cuando no exista ninguna otra alternativa razonable, incluso debido a la falta de tiempo o recursos suficientes en una determinada prueba de penetración basada en amenazas;

13)

«trayectoria de ataque»: la ruta que siguen los probadores durante la fase activa de pruebas del equipo rojo, en el marco de la prueba de penetración basada en amenazas, para llegar a las banderas especificadas para dicha prueba;

14)

«banderas»: objetivos clave de los sistemas de TIC que sustenten funciones esenciales o importantes de una entidad financiera que los probadores intentan alcanzar a través de la prueba;

15)

«información sensible»: información que puede aprovecharse fácilmente para cometer ataques contra los sistemas de TIC de la entidad financiera, la propiedad intelectual, los datos empresariales confidenciales o los datos personales, que puede perjudicar de forma directa o indirecta a la entidad financiera y a su ecosistema si cae en manos de agentes malintencionados;

16)

«agrupación»: todas las entidades financieras que participan en una prueba de penetración basada en amenazas conjunta de conformidad con el artículo 26, apartado 4, del Reglamento (UE) 2022/2554;

17)

«Estado miembro de acogida»: el Estado miembro de acogida de conformidad con el Derecho sectorial de la Unión aplicable a cada entidad financiera;

18)

«prueba de penetración basada en amenazas compartida»: prueba de penetración basada en amenazas, distinta de las pruebas de penetración basadas en amenazas conjuntas a que se refiere el artículo 26, apartado 4, del Reglamento (UE) 2022/2554, en la que participan varias entidades financieras que utilizan el mismo proveedor intragrupo de servicios de TIC, o que pertenecen al mismo grupo y comparten sistemas de TIC.

a)

el acceso a la información relativa a cualquier prueba de penetración basada en amenazas prevista o en curso está limitado, en función de la necesidad de conocerla, al equipo de control, al órgano de dirección, a los probadores, al proveedor de inteligencia sobre amenazas y a la autoridad competente en relación con la prueba de penetración basada en amenazas;

b)

el equipo de control consulta a los gestores de la prueba antes de implicar a cualquier miembro del equipo azul en una prueba de penetración basada en amenazas;

c)

el equipo de control es informado de cualquier detección de la prueba de penetración basada en amenazas por parte de miembros del personal de la entidad financiera o de sus proveedores terceros de servicios; en caso de traslado de la respuesta al incidente resultante a un nivel de decisión superior, cuando sea necesario, el equipo de control bloquea dicho traslado;

d)

existen disposiciones relativas a la confidencialidad de la prueba de penetración basada en amenazas aplicables al personal de la entidad financiera, al personal de los proveedores terceros de servicios de TIC afectados, a los probadores y al proveedor de inteligencia sobre amenazas;

e)

el equipo de control facilita a los gestores de la prueba, previa solicitud, cualquier información relativa a la prueba de penetración basada en amenazas;

f)

en la medida de lo posible, las partes implicadas en la prueba solo hacen referencia a ella por su nombre clave.

a)

el sector financiero;

b)

la estabilidad financiera a escala de la Unión o nacional.

a)

la concesión de acceso al proveedor de inteligencia sobre amenazas y a los probadores externos, cuando proceda, a información delicada sobre la entidad financiera;

b)

la falta de conformidad de la prueba de penetración basada en amenazas con el Reglamento (UE) 2022/2554 y con el presente Reglamento cuando tal incumplimiento dé lugar a la no expedición del informe de validación a que se refiere el artículo 26, apartado 7, del Reglamento (UE) 2022/2554, incluso cuando dicho incumplimiento se deba a violaciones de la confidencialidad de la prueba de penetración basada en amenazas o a la falta de ética;

c)

el traslado de crisis e incidentes a instancias de decisión superiores;

d)

la fase activa del equipo rojo, incluidos los riesgos relacionados con la interrupción de actividades esenciales y la corrupción de datos debido a las actividades de los probadores, y sus posibles repercusiones en terceros;

e)

la actividad del equipo azul, incluidos los riesgos relacionados con la interrupción de actividades esenciales y la corrupción de datos debido a las actividades del equipo azul, y sus posibles repercusiones en terceros;

f)

la restauración incompleta de los sistemas afectados por la prueba de penetración basada en amenazas.

a)

el proveedor de inteligencia sobre amenazas y los probadores externos faciliten al equipo de control un currículum vítae detallado y copias de las certificaciones que, con arreglo a normas de mercado reconocidas, sean adecuadas para el desempeño de sus actividades;

b)

el proveedor de inteligencia sobre amenazas y el probador externo estén debida y completamente cubiertos por seguros adecuados de responsabilidad civil profesional, también frente a los riesgos de falta intencionada y negligencia;

c)

el proveedor de inteligencia sobre amenazas proporcione al menos tres referencias de encargos anteriores en el contexto de las pruebas de penetración y las pruebas de equipo rojo;

d)

los probadores externos proporcionen al menos cinco referencias de encargos anteriores relacionados con pruebas de penetración y pruebas de equipo rojo;

e)

el personal del proveedor de inteligencia sobre amenazas asignado a la prueba de penetración basada en amenazas:

f)

en el caso de los probadores externos, que el equipo rojo asignado a la prueba de penetración basada en amenazas:

g)

los probadores y el proveedor de inteligencia sobre amenazas lleven a cabo procedimientos de restauración al final de las pruebas, incluida la supresión segura de información relacionada con contraseñas, credenciales y otras claves secretas comprometidas durante la prueba de penetración basada en amenazas, la comunicación segura de las cuentas comprometidas a las entidades financieras, así como la recogida, el almacenamiento, la gestión y la eliminación seguros de otros datos recogidos durante la prueba;

h)

los probadores, además de los procedimientos de restauración al término de la prueba a que se refiere la letra g), lleven a cabo los siguientes procedimientos de restauración:

i)

los probadores y el proveedor de inteligencia sobre amenazas no realicen ni participen en ninguna de las actividades siguientes:

a)

una carta del proyecto que incluya un plan general del proyecto, en el que se recoja la información que figura en el anexo I;

b)

los datos de contacto de la persona responsable del equipo de control;

c)

información sobre el recurso previsto a probadores internos o externos, o a ambos, cuando proceda, tal como se detalla en el artículo 15;

d)

información sobre los canales de comunicación que deben utilizarse durante la prueba de penetración basada en amenazas;

e)

el nombre clave de la prueba.

a)

especificación de los canales y procesos de comunicación en el seno del equipo de control con los probadores y los proveedores de inteligencia sobre amenazas en todos los asuntos relacionados con la prueba;

b)

información al órgano de dirección de la entidad financiera sobre el avance de la prueba de penetración basada en amenazas y los riesgos asociados;

c)

toma de decisiones basadas en conocimientos especializados a lo largo de toda la prueba;

d)

ejecución de la prueba de penetración basada en amenazas de acuerdo con lo dispuesto en el presente Reglamento;

e)

selección del proveedor de inteligencia sobre amenazas para la prueba;

f)

selección de probadores externos, internos o ambos;

g)

elaboración del documento de especificación del alcance de la prueba.

a)

el carácter esencial o la importancia de la función y su posible repercusión en el sector financiero y en la estabilidad financiera a escala nacional y de la Unión;

b)

la importancia de la función para las operaciones comerciales cotidianas de la entidad financiera;

c)

la intercambiabilidad de la función;

d)

la interconexión con otras funciones;

e)

la ubicación geográfica de la función;

f)

la dependencia sectorial de la función por parte de otras entidades;

g)

inteligencia sobre amenazas relacionadas con la función, cuando se disponga de ella.

a)

la recomendación del proveedor de servicios de inteligencia sobre amenazas y la naturaleza de cada escenario provocado por la amenaza;

b)

los datos aportados por los gestores de la prueba;

c)

la viabilidad de los escenarios propuestos para la ejecución, sobre la base del criterio experto de los probadores;

d)

el tamaño, la complejidad y el perfil de riesgo general de la entidad financiera y la naturaleza, escala y complejidad de sus servicios, actividades y operaciones.

a)

una descripción de las deficiencias detectadas;

b)

una descripción de las medidas correctoras propuestas y de su orden de prioridad y finalización prevista, incluidas, cuando proceda, las medidas dirigidas a mejorar las capacidades de identificación, protección, detección y respuesta;

c)

un análisis de las causas profundas;

d)

el personal o las funciones de la entidad financiera responsables de aplicar las medidas correctoras o las mejoras propuestas;

e)

los riesgos asociados a la no aplicación de las medidas a que se refiere la letra b) y, en su caso, los riesgos asociados a la aplicación de dichas medidas.

a)

el establecimiento y la aplicación de una política para la gestión de probadores internos en el marco de una prueba de penetración basada en amenazas;

b)

medidas para garantizar que el recurso a probadores internos para llevar a cabo una prueba de penetración basada en amenazas no afecte negativamente a las capacidades generales defensivas o de resiliencia de la entidad financiera frente a incidentes relacionados con las TIC ni afecte de manera significativa a la disponibilidad de recursos dedicados a tareas relacionadas con las TIC durante una prueba de esta naturaleza;

c)

medidas para garantizar que los probadores internos dispongan de recursos y capacidades suficientes para llevar a cabo una prueba de penetración basada en amenazas.

a)

contendrá criterios para evaluar la idoneidad, la competencia y los posibles conflictos de intereses de los probadores internos, así como para especificar las responsabilidades de gestión en el proceso de la prueba;

b)

se documentará y será objeto de revisiones periódicas;

c)

dispondrá que el equipo de pruebas interno incluya un responsable y al menos dos miembros adicionales;

d)

exigirá que todos los miembros del equipo de pruebas hayan sido contratados por la entidad financiera o por un proveedor intragrupo de servicios de TIC durante los 12 meses anteriores;

e)

incluirá disposiciones relativas a la formación sobre cómo los probadores internos han de realizar pruebas de penetración y pruebas de equipo rojo.

a)

la información relativa al inicio de la prueba a que se refiere el artículo 9;

b)

el informe de pruebas del equipo rojo a que se refiere el artículo 12, apartado 2;

c)

el informe de síntesis de los hallazgos pertinentes de la prueba de penetración basada en amenazas a que se refiere el artículo 26, apartado 6, del Reglamento (UE) 2022/2554.

a)

determinará qué autoridades competentes en relación con este tipo de pruebas deberán participar en la prueba en el Estado miembro de acogida, teniendo en cuenta si se ejerce o comparte una o varias funciones esenciales o importantes en los Estados miembros de acogida;

b)

informará a las autoridades competentes determinadas de conformidad con la letra a) de la decisión de someter a una prueba de penetración basada en amenazas a la entidad financiera;

c)

a menos que las autoridades competentes en relación con las pruebas de penetración basadas en amenazas acuerden otra cosa, la autoridad competente sobre la entidad financiera dirigirá la prueba.

a)

las autoridades competentes sobre las entidades financieras en relación con este tipo de pruebas acordarán qué entidad financiera será designada para llevarla a cabo, teniendo en cuenta la estructura del grupo y la eficiencia de la prueba;

b)

la autoridad competente sobre la entidad financiera designada de conformidad con la letra a) dirigirá la prueba, salvo acuerdo en contrario de las autoridades competentes sobre las entidades financieras que participen en la prueba compartida;

c)

las autoridades competentes sobre las entidades financieras distintas de la entidad financiera designada para dirigir la prueba compartida podrán manifestar su interés en seguir la prueba en calidad de observadores o asignar un gestor para dicha prueba.

a)

las autoridades competentes en relación con las pruebas de penetración basadas en amenazas de las entidades financieras acordarán qué entidad financiera será la designada para llevar a cabo la prueba conjunta de penetración basada en amenazas teniendo en cuenta los servicios de TIC prestados por el proveedor tercero de servicios de TIC a las entidades financieras y la eficiencia de la prueba;

b)

la autoridad competente sobre la entidad financiera designada de conformidad con la letra a) dirigirá la prueba, salvo acuerdo en contrario de las autoridades competentes sobre las entidades financieras que participen en la prueba conjunta;

c)

las autoridades competentes en relación con las pruebas de penetración basadas en amenazas sobre las entidades financieras distintas de la entidad financiera designada para dirigir la prueba conjunta podrán manifestar su interés en seguir la prueba en calidad de observadores o asignar un gestor para dicha prueba.

Elemento de información

Información exigida

Persona responsable del plan del proyecto, es decir, responsable del equipo de control

Nombre

Datos de contacto

Probadores

Canales de comunicación seleccionados de conformidad con el artículo 9, apartado 2, letra d), y el artículo 9, apartado 4, letra a), en particular:

Nombre clave de la prueba de penetración basada en amenazas

En su caso, funciones esenciales o importantes que la entidad financiera realice en otros Estados miembros

En su caso, funciones esenciales o importantes sustentadas por proveedores terceros de servicios de TIC

Plazos previstos para la finalización de:

aaaa-mm-dd

aaaa-mm-dd

aaaa-mm-dd

aaaa-mm-dd

a)

cuando la función esencial o importante no esté incluida en el alcance de la prueba de penetración basada en amenazas, la explicación de los motivos por los que no se incluye;

b)

cuando la función esencial o importante esté incluida en el ámbito de aplicación de la prueba:

1.

El alcance general de la investigación de inteligencia, incluidos, como mínimo, los elementos siguientes:

2.

La evaluación general de qué información concreta aplicable puede encontrarse sobre la entidad financiera, en particular:

3.

Un análisis de la inteligencia sobre amenazas teniendo en cuenta el panorama general de amenazas y la situación particular de la entidad financiera, que incluya, como mínimo:

4.

Perfiles de amenaza de los agentes malintencionados (persona o grupo específico, o clase genérica) que puedan actuar contra la entidad financiera, incluidos los sistemas de la entidad financiera que los agentes malintencionados tengan más probabilidades de comprometer o perseguir, la posible motivación, intención y justificación del posible ataque y el posible modus operandi de los atacantes.

5.

Escenarios de amenaza: al menos tres escenarios de amenaza de extremo a extremo para los perfiles de amenaza determinados de conformidad con el punto 4 que presenten las puntuaciones más altas en cuanto a gravedad de la amenaza. Los escenarios de amenaza describirán la trayectoria de ataque de extremo a extremo e incluirán, como mínimo:

6.

Cuando proceda, una descripción del escenario no provocado por amenazas a que se refiere el artículo 10, apartado 4.

a)

los canales y procedimientos de comunicación;

b)

las tácticas, técnicas y procedimientos permitidos y no permitidos para su uso en el ataque, incluidos los límites éticos a la ingeniería social;

c)

las medidas de gestión de riesgos que deberán seguir los probadores;

d)

una descripción de cada escenario, que incluya:

e)

una descripción detallada de cada trayectoria de ataque prevista, incluidos los requisitos previos y la posible asistencia que deberá proporcionar el equipo de control, incluidos los plazos para su puesta a disposición y su posible uso;

f)

el calendario de las actividades de trabajo en equipo rojo, incluida la planificación temporal para la ejecución de cada escenario, desglosada como mínimo en función de las tres fases que el probador lleva a cabo a lo largo de la fase de prueba, a saber, la introducción en los sistemas de TIC de las entidades financieras, la navegación por dichos sistemas y la ejecución de acciones sobre objetivos y, en su caso, su extracción de los sistemas de TIC (fases de entrada, actuación y salida);

g)

las particularidades de la infraestructura de las entidades financieras que deben tenerse en cuenta durante la prueba;

h)

en su caso, información adicional u otros recursos necesarios para los probadores a efectos de la ejecución de los escenarios.

a)

información sobre el ataque perpetrado, en particular:

b)

todas las acciones de las que los probadores tengan conocimiento que llevó a cabo el equipo azul para reconstruir el ataque y mitigar sus efectos;

c)

las vulnerabilidades detectadas y otras constataciones, en particular:

1.

para cada paso del ataque descrito por los probadores en el informe de pruebas del equipo rojo:

2.

evaluación de las conclusiones y recomendaciones de los probadores;

3.

pruebas del ataque por los probadores recopiladas por el equipo azul;

4.

análisis del equipo azul sobre las causas profundas de los ataques llevados a cabo por los probadores que tuvieron éxito;

5.

relación de lecciones aprendidas y posibilidades de mejora detectadas;

6.

lista de temas que se abordarán en el trabajo en equipo morado.

a)

partes implicadas;

b)

plan del proyecto;

c)

alcance validado de la prueba, incluida la justificación de la inclusión o exclusión de funciones esenciales o importantes y los sistemas, procesos y tecnologías de TIC identificados que sustenten las funciones esenciales o importantes cubiertas por la prueba;

d)

escenarios seleccionados y cualquier desviación significativa del informe de inteligencia sobre amenazas específicas;

e)

vías de ataque ejecutadas y tácticas, técnicas y procedimientos utilizados;

f)

banderas capturadas y no capturadas;

g)

desviaciones del plan de pruebas del equipo rojo, en su caso;

h)

detecciones del equipo azul, en su caso;

i)

trabajo en equipo morado en la fase de prueba, cuando se haya llevado a cabo, y las condiciones en que se realizó;

j)

asistencia utilizada, en su caso;

k)

medidas de gestión de riesgos adoptadas;

l)

vulnerabilidades detectadas y otras constataciones, incluido su carácter esencial;

m)

análisis de las causas profundas de los ataques que tuvieron éxito;

n)

un plan corrector general en el que se establezca la relación entre las vulnerabilidades y otras constataciones, sus causas profundas y la prioridad de las medidas correctoras;

o)

lecciones extraídas de las observaciones recibidas.

a)

sobre la prueba de penetración basada en amenazas realizada:

b)

cuando participasen varias autoridades competentes en relación con la prueba de penetración basada en amenazas, el resto de las autoridades competentes en relación con dicha prueba y en qué calidad participaron;

c)

la lista de los documentos examinados por la autoridad competente en relación con la prueba de penetración basada en amenazas a efectos de la validación.