Articolo Pubblicazioni

DORA: i test di resilienza operativa digitale e i TLPT

di · Pubblicato il 14 novembre 2026

Abstract

Il regolamento DORA chiede a tutte le entità finanziarie un programma di test della resilienza operativa digitale e, alle più rilevanti, test di penetrazione avanzati basati sulle minacce, i TLPT. L’articolo descrive i test richiesti a tutti, chi deve svolgere i TLPT e con quale frequenza, come si svolge un test secondo il modello TIBER-EU, quali requisiti devono avere i tester e come si arriva all’attestazione dell’autorità.

Vincenzo Calabrò | DORA: i test di resilienza operativa digitale e i TLPT
 

Il programma di test per tutti

Gli artt. 24 e 25 di DORA chiedono a ogni entità finanziaria, salvo le microimprese con regole semplificate, un programma di test della resilienza operativa digitale, proporzionato alla dimensione e al profilo di rischio. Il programma comprende valutazioni delle vulnerabilità e scansioni, analisi delle fonti aperte, valutazioni della sicurezza di rete, analisi delle lacune, revisioni della sicurezza fisica, verifiche del codice sorgente, test basati su scenari, test di compatibilità e prestazioni e test di penetrazione. I sistemi che supportano funzioni essenziali o importanti vanno testati almeno una volta l’anno, e i test devono essere svolti da soggetti indipendenti, interni o esterni.

I TLPT

L’art. 26 aggiunge, per le entità individuate dalle autorità, i test di penetrazione basati sulle minacce, da svolgere almeno ogni tre anni. Sono test che simulano un attacco reale, condotto con le tattiche e le tecniche dei gruppi che minacciano davvero quell’entità, sui sistemi di produzione che supportano funzioni essenziali o importanti, compresi quelli gestiti da fornitori ICT. Le autorità individuano le entità obbligate in base all’impatto, ai rischi per la stabilità finanziaria e al profilo di rischio ICT, e possono modificare la frequenza. Le norme tecniche di regolamentazione adottate nel 2025 seguono da vicino il modello europeo TIBER-EU.

Come si svolge un TLPT

  1. Preparazione. Si definisce l’ambito, cioè le funzioni essenziali o importanti e i sistemi coinvolti, si costituisce un gruppo di controllo interno ristretto che conosce il test e lo gestisce, e si comunica l’avvio all’autorità;
  2. Threat intelligence. Un fornitore specializzato produce un’analisi delle minacce specifiche per l’entità e scenari di attacco realistici;
  3. Red team. I tester eseguono gli scenari sui sistemi reali per un periodo di più settimane, senza che i difensori, il blue team, siano informati;
  4. Chiusura. Red team e blue team ripercorrono insieme l’attacco, spesso con sessioni di purple teaming, e si redigono le relazioni;
  5. Rimedio e attestazione. L’entità prepara un piano di rimedio, l’autorità lo esamina e rilascia un’attestazione che il test è stato svolto secondo le regole, riconosciuta anche dalle autorità di altri Stati.

I tester

DORA richiede tester affidabili, con competenze certificate, assicurati per i danni che il test potrebbe causare e indipendenti. I test sono di norma affidati a tester esterni. Le banche possono usare tester interni solo a determinate condizioni, fra cui l’alternanza con tester esterni ogni tre test, e il fornitore di threat intelligence deve comunque essere esterno. Ogni fornitore di servizi ICT coinvolto può partecipare a un test congiunto organizzato per più entità, per evitare che i suoi sistemi vengano attaccati più volte.

Che cosa conviene fare prima

Un TLPT mette alla prova la capacità di rilevare e rispondere, e chi non ha ancora un monitoraggio maturo rischia di ricavarne soprattutto una lista di lacune note. Prima del primo test conviene aver completato il registro dei fornitori, mappato le funzioni essenziali, aver svolto test di penetrazione tradizionali e un esercizio di simulazione di crisi, e aver definito chi farà parte del gruppo di controllo. Il valore del test sta nel piano di rimedio e nel modo in cui viene seguito nei tre anni successivi.

I test per le entità più piccole

Le entità che non devono svolgere TLPT restano soggette al programma di test generale, che va comunque preso sul serio. Un buon programma annuale combina scansioni delle vulnerabilità frequenti, un test di penetrazione esterno e uno interno sui sistemi che supportano funzioni essenziali, una verifica delle configurazioni dei servizi cloud, prove di ripristino dei backup e almeno un’esercitazione su uno scenario di attacco con il coinvolgimento della direzione. I risultati vanno classificati, assegnati a un responsabile con una data di chiusura e riportati all’organo di gestione.

Purple teaming e riscontri

La fase finale di un TLPT è spesso la più utile. Il red team mostra al blue team le tecniche usate, il momento in cui sarebbe stato possibile rilevarle e le tracce che hanno lasciato nei sistemi. Insieme verificano quali allarmi sono scattati, quali sono stati ignorati e quali mancavano. Il risultato è un elenco concreto di miglioramenti alle regole di rilevamento, ai processi di risposta e alle configurazioni, molto più utile di un elenco di vulnerabilità.

Riservatezza e rischi del test

Un TLPT si svolge sui sistemi di produzione e comporta rischi reali, come interruzioni di servizio o accessi a dati sensibili. Il gruppo di controllo definisce regole di ingaggio precise, con i sistemi esclusi, le azioni vietate, le procedure di interruzione d’emergenza e la gestione dei dati incontrati durante il test. Solo poche persone conoscono il test, e se il blue team lo scopre durante l’esecuzione il gruppo di controllo decide se proseguire, per evitare che la reazione a un falso incidente coinvolga autorità o clienti.
Il costo di un TLPT è significativo, fra fornitore di threat intelligence, red team e impegno interno, e va pianificato con anticipo nel bilancio. Il riconoscimento reciproco fra autorità permette ai gruppi con entità in più Stati di svolgere un unico test valido per tutte, a condizione di coordinarsi con le autorità coinvolte fin dalla fase di preparazione.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn