La guía de implementación de TIBER-ES es de enero de 2022 y no menciona DORA ni una vez. La firman el Banco de España, la CNMV y la DGSFP, y dice que: «es voluntaria la participación de las entidades en las pruebas, de modo que se les ofrece que las realicen, pero no se les exige». Desde enero de 2025, para las entidades que designe su autoridad competente, ese mismo procedimiento dejó de ser voluntario.
Quien prepare hoy su primer TLPT leyendo únicamente la guía nacional trabaja con el mapa anterior a DORA. Conviven tres capas normativas que no dicen lo mismo: el reglamento europeo, el marco TIBER-EU que el Eurosistema actualizó en 2025 y la guía española que lo implementa. El desajuste se paga en el pliego y en el calendario.
La atestación que cierra un TLPT la firma el consejo de administración, y el equipo del Banco de España que acompaña el ejercicio puede invalidarlo si no se ejecutó conforme al marco. Un procedimiento mal montado no produce un informe flojo: produce un ejercicio que la autoridad puede rechazar.
Qué obliga DORA exactamente
El artículo 26 fija el régimen. Las entidades identificadas por su autoridad competente realizan TLPT al menos cada 3 años, y esa autoridad puede reducir o aumentar la frecuencia según el perfil de riesgo y las circunstancias operativas. Cada prueba cubre varias o todas las funciones críticas o importantes y se ejecuta sobre sistemas en producción. La entidad identifica todos los sistemas, procesos y tecnologías que soportan esas funciones, incluidos los que ha externalizado, y el alcance resultante lo validan las autoridades competentes.
Dentro de ese mismo artículo hay tres previsiones que se pasan por alto en la fase de diseño y luego cuestan dinero.
- Los terceros entran en el alcance. Si un proveedor de servicios TIC soporta una función crítica, la entidad adopta las medidas necesarias para asegurar su participación y conserva la responsabilidad plena del cumplimiento del reglamento. Aquí la gestión del riesgo de terceros deja de resolverse con un cuestionario anual.
- Existe la prueba agrupada. Cuando la participación de un proveedor pueda perjudicar la calidad o la seguridad del servicio que presta a clientes ajenos al ámbito del reglamento, o la confidencialidad de esos datos, proveedor y entidad pueden acordar por escrito que sea el proveedor quien contrate directamente al equipo de pruebas, para un ejercicio agrupado dirigido por una entidad designada y con varias entidades participantes.
- La atestación es transferible. Terminado el ejercicio y acordados los informes y planes de remediación, la autoridad emite una atestación que habilita el reconocimiento mutuo entre autoridades competentes.
El artículo 27 regula a quién se puede contratar. Los encargados de las pruebas deben acreditar la máxima idoneidad y reputación, demostrar experiencia específica en inteligencia de amenazas, pruebas de penetración y red team, estar certificados por un organismo de acreditación de un Estado miembro o adherirse a códigos de conducta o marcos éticos formales, aportar un aseguramiento independiente o un informe de auditoría sobre la gestión de los riesgos del ejercicio, y estar cubiertos por seguros de responsabilidad civil profesional que incluyan los riesgos de mala conducta y negligencia.
Los encargados internos se admiten con tres condiciones acumulativas: aprobación de la autoridad competente, verificación por esa autoridad de que la entidad dispone de recursos suficientes y ha evitado conflictos de interés en el diseño y la ejecución, y externalización del proveedor de inteligencia de amenazas. El artículo 26 añade dos límites: hay que contratar encargados externos cada tres pruebas, y las entidades de crédito significativas del Mecanismo Único de Supervisión solo pueden usar encargados externos.
El desarrollo técnico lo fija el Reglamento Delegado (UE) 2025/1190, de 13 de febrero de 2025, publicado en el Diario Oficial el 18 de junio y en vigor desde julio de 2025. Concreta los criterios para determinar qué entidades están obligadas, los requisitos y estándares del uso de encargados internos y las exigencias sobre alcance, metodología, fases del ejercicio, resultados y medidas correctoras.
TIBER-ES: quién manda, quién responde y quién puede parar
El Banco de España es la autoridad propietaria del marco nacional y lo gestiona a través del TIBER Cyber Team, en el que se integran también la CNMV y la DGSFP. La coordinación de cada ejercicio recae en la autoridad a cuyo ámbito pertenezca la entidad, y el TCT nombra un Team Test Manager para cada prueba.
El reparto de responsabilidades tiene una asimetría que merece mirarse de frente. El TCT no supervisa: la guía dice que «no desempeña un papel supervisor, y sus acciones no están ligadas a la imposición de requisitos en el caso de que se identifiquen debilidades», y tampoco responde de los daños causados durante la ejecución. Pero entre sus funciones figura «invalidar los test si no se realizan de acuerdo con los requisitos de TIBER-ES y de TIBER-EU». No supervisa, no responde y puede tirar seis meses de trabajo. De ahí que la póliza del proveedor sea una cláusula que se negocia y no un anexo que se firma.
Del lado de la entidad, el White Team responde de que los riesgos se identifiquen, analicen y mitiguen durante el ejercicio, y puede desistir de la ejecución cuando concurran circunstancias objetivas que lo justifiquen. El equipo defensor no sabe nada hasta la fase de cierre; si el Team Test Manager sospecha que lo sabe y que trata de manipular los resultados, puede no validar la prueba.
Sobre la composición del White Team el documento es minucioso: número reducido de miembros, confidencialidad frente al resto de la organización, perfiles ejecutivos y de gestión, y entre ellos expertos en ciberseguridad y responsables de los procesos de escalado y notificación de ciberincidentes. Este último punto no está ahí por simetría. Alguien tiene que impedir que un incidente simulado dispare la respuesta a incidentes real y con ella las notificaciones obligatorias a terceros, incluidas las Fuerzas y Cuerpos de Seguridad del Estado.
Seis meses, si la licitación va rodada
De 4 a 6 semanas de preparación, de 16 a 18 de test y 4 de cierre. Son las duraciones que publica la guía, y la única referencia pública de ese tipo para un ejercicio en España.
Antes de meterlas en un plan hay una salvedad. El BCE señala que el reglamento delegado introdujo plazos estrictos para completar los entregables, ya incorporados al TIBER-EU actualizado. Las cifras de 2022 sirven para dimensionar el esfuerzo, no para fijar hitos contractuales.
Dentro de la fase de test, el documento reparte 5 semanas de recopilación de inteligencia, 1 o 2 de elaboración del plan del red team y de 10 a 12 de ejecución. La preparación excluye de forma expresa el tiempo de contratar a los proveedores, que en el mercado español no es un trámite corto. Sumadas las tres fases, el ejercicio ocupa entre seis y siete meses desde el arranque, sin contar la licitación.
Y hay algo que el documento deja sin cuadrar: los pasos de la fase de test suman de 16 a 19 semanas frente a las 16 a 18 declaradas para el conjunto. La suma alta es la que hay que llevar al comité.
Los entregables que deciden si el ejercicio cuenta
La cadena documental de un TLPT tiene nueve piezas y un orden. Arranca con el panorama genérico de amenazas del sector, el GTL, que el TCT facilita al proveedor de inteligencia cuando dispone de él. Sobre esa base, el proveedor externo elabora la inteligencia de amenazas dirigida, el TTI: sistemas que soportan las funciones críticas, actores, ejemplos de ataques recientes y escenarios probables. Lo valida el White Team junto al TCT, y la guía marca la validación de los escenarios por parte del red team como el paso crítico.
Cerrado el TTI, el red team escribe su plan de test con los escenarios, los objetivos que debe capturar y las vías alternativas si la primera no funciona. Después llega la ejecución, y con ella dos informes. El del red team, el RTTR, tiene plazo tasado: dos semanas como máximo desde el final del test, y va al White Team y al TCT. El del equipo defensor, el BTTR, se elabora a partir del anterior y debe estar completo antes de recrear el ejercicio.
La recreación, o replay, la hacen red team y blue team repasando juntos los pasos dados; el documento aclara que no es estrictamente necesaria una recreación completa ni en entornos de producción. De ahí salen las dos piezas que ven los de fuera: el plan de acción, que elabora la entidad y debe acordarse con los proveedores y con el TCT antes de enviarlo a la autoridad supervisora, y el informe resumen del test, sin detalle técnico de las vulnerabilidades porque esa información se queda dentro.
Al final está la atestación, y de ella depende que el ejercicio cuente. El White Team da fe de que el test cumplió el marco en un documento que firman el consejo de administración y los proveedores, y que el TCT debe validar para habilitar el reconocimiento mutuo. Sin esa validación lo que queda es un red team caro.
Hay además una pieza del procedimiento que rara vez aparece en los pliegos y que determina cuánto vale el resultado. Durante la ejecución, el red team puede pedir al White Team que deshabilite barreras o controles internos para desbloquear el ejercicio. Está previsto para cuando el equipo defensor protege con eficacia un objetivo, o cuando ambos consideran trivial un paso intermedio.
La guía no lo deja abierto: si esa ayuda se concede, «deberá reflejarse en los informes, puesto que los resultados que puedan producirse a partir de la desconexión de un control o mecanismo de seguridad deben ser puestos en un contexto propio». Un informe que presenta como hallazgo lo ocurrido después de apagar un control, sin mencionar que se apagó, no describe cómo se defiende esa entidad.
Dónde la guía española se ha quedado atrás
El 11 de febrero de 2025 el Eurosistema actualizó TIBER-EU para alinearlo con las normas técnicas de regulación de DORA sobre TLPT. La nota del BCE enumera los cambios; tres afectan directamente a quien trabaje con la guía española.
- El White Team pasa a llamarse Control Team, por coherencia terminológica con DORA. La guía TIBER-ES y los documentos del BCE a los que remite siguen hablando de White Team.
- El purple teaming pasa a ser obligatorio en TIBER-EU, según prescribe el reglamento delegado. En la guía TIBER-ES el Purple Team figura como opcional.
- Los pasos del proceso se alinean con los entregables del reglamento delegado, que introdujo plazos estrictos para completarlos. Esos plazos ya están en TIBER-EU y no aparecen en la guía de 2022.
El BCE publicó además, en noviembre de 2025, una guía sobre cómo adopta e implementa TIBER-EU para las pruebas dirigidas por amenazas de las entidades significativas del Mecanismo Único de Supervisión, según recoge el seguimiento regulatorio de Norton Rose Fulbright.
Queda una pregunta sin respuesta pública que afecta a proyectos en curso: si el purple teaming obligatorio alcanza a un ejercicio contratado antes de febrero de 2025, ni la nota del BCE ni la guía española lo aclaran. Nosotros trabajamos asumiendo que sí, porque el coste de equivocarse en ese sentido es una sesión de trabajo conjunta y el de equivocarse en el otro es una atestación en el aire. Pero es una asunción, no una lectura cerrada.
Ninguno de esos cambios invalida la guía nacional, que sigue siendo la referencia sobre gobernanza y reparto de responsabilidades en España. Pero la guía publicada continúa siendo la de enero de 2022, y la página del Banco de España describe todavía el marco en términos voluntarios y remite a la White Team Guidance del BCE. Un TLPT obligatorio exige leer las tres capas a la vez.
Los errores que invalidan un TLPT
- Recortar el alcance hasta dejar fuera funciones críticas externalizadas. El artículo 26 obliga a identificar los sistemas que soportan esas funciones aunque estén contratados a un tercero, y el alcance lo validan las autoridades. La guía llega a sugerir que se valore incorporar al White Team a un representante del proveedor en quien se haya externalizado la función.
- Constituir un White Team sin autoridad para parar. Si en la sala no hay nadie que pueda desistir del ejercicio ni controlar el escalado de incidentes, la organización asume el riesgo operativo del test sin haberlo decidido.
- Contratar inteligencia y red team al mismo proveedor sin comprobar los recursos. La guía lo permite y deja escrito que es deseable separar ambas funciones cuando un único proveedor no pueda garantizar recursos técnicos y humanos suficientes. Con encargados internos, DORA exige en todo caso que la inteligencia sea externa.
- Nadie anotó que el control se apagó. Sin esa línea en el informe, el hallazgo es un artefacto del ejercicio y no una debilidad de la entidad.
- El equipo defensor se entera. Ocurre más de lo que parece, y es el fallo que la guía vincula de forma expresa a la no validación. Depende por completo de la disciplina del White Team.
- El presupuesto no contempla la licitación. Contratar a los proveedores exige acordar condiciones económicas, alcance, límites de ejecución, actividades no permitidas, recursos, responsabilidades y, si procede, seguros. Ese tiempo va aparte del calendario de la guía.
- Confundir la atestación con un aprobado. El objetivo del marco, dice la guía, no es calificar a la entidad como apta o no apta, sino conocer sus debilidades y fortalezas. Los costes y los riesgos los asume íntegramente la entidad, en ningún caso la autoridad.
En los procesos de compra que acompañamos desde Hard2bit, la primera reunión rara vez trata sobre la metodología del proveedor. Trata sobre cuál de esos siete puntos tiene ya una respuesta escrita, y sobre quién la firma.
Qué firma el consejo y qué no puede delegar en el CISO
Dos firmas del consejo de administración enmarcan el ejercicio. La primera es la aprobación formal del documento de alcance preliminar. La segunda, la atestación final. Entre una y otra, el consejo ha asumido que se van a ejecutar ataques reales contra sistemas en producción y que el resultado se comparte con el supervisor en forma de plan de acción e informe resumen. Ninguna de las dos firmas se delega.
Para un consejo que ya sigue indicadores de ciberresiliencia, el TLPT aporta la evidencia empírica más completa de si la organización detecta y responde ante un adversario que no avisa. Cada escenario que el red team ejecutó sin generar alerta señala una analítica que falta, que es material directo para el trabajo de ingeniería de detección. El ejercicio deja también un registro del proceso humano: quién escaló, a quién y en cuánto tiempo. Es el mismo material que se examina cuando una crisis entra en sus primeras 24 horas.
Hasta dónde llega este ejercicio
El documento no fija umbrales cuantitativos para definir qué entidad es significativa ni un procedimiento formal de solicitud con plazos: los criterios de designación los aplica la autoridad competente conforme al reglamento delegado, no la guía nacional. Tampoco hay cifras de coste. Ni la guía ni la página del Banco de España publican qué cuesta un ejercicio, y los rangos que circulan por el mercado no tienen fuente pública detrás.
El marco advierte además de algo que merece atención antes de contratar nada: estas pruebas solo son recomendables para entidades que ya tienen cierto nivel de madurez en ciberresiliencia, porque las menos maduras «posiblemente presenten debilidades que pueden detectarse mediante pruebas más sencillas y que conllevan un coste y un riesgo menores». Un TLPT no sustituye a un test de intrusión ni a un ejercicio de red team convencional: el marco los da por hechos cuando habla de madurez previa.
El TLPT se gestiona aparte del resto del programa de pruebas. Las metodologías de pentesting y los criterios para leer un informe técnico siguen aplicando al día a día de una entidad del sector financiero. El TLPT tiene otro contratante, otros plazos y otro destinatario final.
Antes de firmar el alcance
La distancia entre guía y reglamento no se cierra leyendo mejor. Se cierra decidiendo antes de firmar, y cabe en una tabla de tres columnas: qué dice DORA, qué dice el TIBER-EU actualizado y qué dice la guía TIBER-ES sobre cada decisión del proyecto. Donde las tres coincidan, el criterio es claro; donde no, prevalece el reglamento.
DORA es aplicable desde enero de 2025 y la frecuencia mínima del TLPT es de tres años, así que el primer ciclo está corriendo. Ni la guía ni la página del Banco de España publican qué entidades han sido designadas. Quien esté en esa lista lo sabe por su supervisor; quien crea que puede estarlo tiene una llamada que hacer antes que un pliego que escribir. Ese es el punto de partida que una empresa de ciberseguridad con experiencia en proyectos DORA debería plantear, antes de hablar de metodología, del servicio de inteligencia de amenazas o de la composición del equipo ofensivo.
Este artículo resume el marco normativo y el procedimiento publicados a fecha de agosto de 2026, a partir del texto de DORA, del Reglamento Delegado (UE) 2025/1190 y de la guía de implementación de TIBER-ES. Las designaciones de entidades obligadas, los plazos y las versiones de los marcos citados evolucionan: contrastar con la autoridad competente y con la documentación vigente del Banco de España y del BCE es siempre el paso previo a cualquier decisión sobre un ejercicio concreto.
