Regulamentul (UE) 2022/2554 se aplică direct din 17 ianuarie 2025. Ceea ce lipsea în România era cadrul național: cine supraveghează, cine sancționează și, pentru partea de testare, cine coordonează. Ordonanța de urgență nr. 14/2026, publicată în Monitorul Oficial nr. 188 din 11 martie 2026 și în vigoare de la publicare, a rezolvat asta.
Un singur element din ordonanță schimbă efectiv modul în care se planifică testarea în sectorul financiar românesc: Banca Națională a României este desemnată autoritatea publică unică la nivel național responsabilă cu coordonarea testelor de penetrare bazate pe amenințări. Nu doar pentru entitățile pe care le supraveghează ea. Și pentru cele aflate în supravegherea ASF.
Supravegherea merge pe două trasee, testarea pe unul singur
Ordonanța împarte supravegherea prudențială după categoria entității:
- BNR — instituții de credit, instituții de plată, emitenți de monedă electronică, bănci de dezvoltare, depozitari centrali și administratori de indici de referință critici.
- ASF — societăți de servicii de investiții financiare, societăți de asigurare și reasigurare, administratori de fonduri de investiții și de pensii ocupaționale, intermediari în asigurări și furnizori de servicii de crowdfunding.
Pentru TLPT, însă, traseul se unifică. O societate de asigurări supravegheată de ASF care este identificată pentru TLPT își coordonează testul prin BNR, iar BNR este cea care emite atestatul. Este exact opțiunea pe care articolul 26 alineatul (9) din DORA o lasă statelor membre: „statele membre pot desemna o singură autoritate publică din sectorul financiar responsabilă cu chestiunile legate de TLPT la nivel național". România a folosit-o.
Consecința practică pentru un director de conformitate din asigurări: interlocutorul tău pentru scopul testului nu este autoritatea care îți supraveghează solvabilitatea. Sunt două relații instituționale separate, cu două calendare separate, iar în prima ești probabil un nume necunoscut.
Cine trebuie să facă TLPT
Nu toată lumea. Aici se pierde cel mai mult efort inutil.
TLPT se aplică entităților identificate de autoritatea competentă, nu tuturor entităților financiare. Criteriile din DORA și din standardele tehnice de reglementare urmăresc trei axe: caracterul sistemic (mărime, cotă de piață, interconectare), profilul de risc TIC (peisajul de amenințări, maturitatea detecției și a răspunsului, istoricul de incidente) și criticitatea serviciilor — în special funcțiile de plată, compensare și decontare. Instituțiile globale de importanță sistemică intră automat. O societate de asigurări de nișă cu un mediu TIC simplu, foarte probabil nu.
Dacă nu ai fost identificat, nu ești obligat la TLPT. Rămâi însă obligat la programul de testare din articolul 24 — evaluări de vulnerabilități, teste de penetrare, testarea continuității — iar asta este cerință permanentă, nu opțională.
Unde se termină un test de penetrare și începe un TLPT
Diferența nu este dificultatea. Este scopul, ținta și cine află dinainte.
Un test de penetrare obișnuit are un perimetru definit de tine, o fereastră agreată, o echipă internă informată și un obiectiv tehnic: găsește vulnerabilitățile din aplicația, rețeaua sau API-ul din scop.
Un TLPT are șase caracteristici pe care un pentest clasic nu le are:
- Se execută pe sisteme de producție reale. Articolul 26 alineatul (2) este explicit — testarea se face pe sisteme de producție active. Nu există substituție cu un mediu de test.
- Scopul se construiește pe funcții critice sau importante, nu pe active. Pornești de la ce nu ai voie să pierzi și cobori la sistemele care o susțin, inclusiv cele externalizate.
- Informațiile despre amenințări vin de la un furnizor extern independent, care nu poate fi afiliat nici echipei roșii, nici entității testate. Independența aceasta nu are excepții, nici măcar atunci când echipa roșie este internă.
- Echipa albastră nu știe. Testul măsoară detecția și răspunsul, nu doar existența unei breșe. Doar echipa albă — un grup restrâns, numit formal — este la curent.
- Furnizorii TIC participă. Articolul 26 alineatul (3) obligă entitatea să ia măsurile necesare pentru participarea furnizorilor terți, păstrându-și în același timp răspunderea integrală pentru conformitate. Alineatul (4) permite testarea comună („pooled testing") atunci când participarea directă ar afecta calitatea serviciului sau confidențialitatea datelor.
- Se închide cu un raport transmis autorității și cu un atestat. Articolul 26 alineatul (7) prevede că autoritatea emite entității un atestat care confirmă că testul a fost efectuat conform cerințelor — mecanismul care face posibilă recunoașterea reciprocă între statele membre.
Ultimul punct este și argumentul comercial pe care îl ratează multe echipe: un TLPT făcut corect într-un stat membru nu se repetă în altul. Un test făcut în afara cadrului se repetă.
Ciclul de trei ani, citit corect
Articolul 26 alineatul (1) cere cel puțin un TLPT la fiecare trei ani, cu posibilitatea ca autoritatea competentă să ajusteze frecvența în funcție de profilul de risc.
Trei ani sună generos până calculezi înapoi. Un ciclu complet are cinci faze — delimitarea scopului, producerea informațiilor despre amenințări, testarea propriu-zisă, faza de purple teaming și închiderea cu remediere — și se întinde de regulă pe mai multe luni. Adaugă negocierea scopului cu BNR, contractarea a doi furnizori distincți și obținerea acordurilor de la furnizorii TIC care trebuie să participe, și fereastra de trei ani devine o planificare anuală, nu un eveniment trienal.
O regulă care surprinde des: echipa roșie poate fi internă pentru cel mult două cicluri din trei — al treilea test trebuie făcut cu o echipă roșie externă. Informațiile despre amenințări trebuie să vină întotdeauna din exterior, indiferent de echipa roșie.
Relația cu TIBER-EU
Standardele tehnice de reglementare pentru TLPT au fost construite compatibil cu cadrul TIBER-EU, iar ghidurile TIBER — pentru echipa albă, pentru informațiile despre amenințări și pentru echipa roșie — au fost aliniate la DORA. Practic: dacă ai făcut un test TIBER-EU după 17 ianuarie 2025 și acesta îndeplinește cerințele standardelor tehnice, poate satisface obligația TLPT.
Asta contează pentru grupurile cu prezență în mai multe state membre. Nu contează pentru o entitate românească aflată la primul test — acolo întrebarea este pur și simplu dacă furnizorii pe care îi contractezi pot lucra în cadrul cerut.
Cinci întrebări înainte de a semna orice
Dacă ai motive să crezi că intri în categoria identificabilă pentru TLPT:
- Ne-a identificat cineva? Dacă nu, nu contracta un TLPT. Contractează programul de testare din art. 24 și un inventar serios de funcții critice.
- Avem lista funcțiilor critice sau importante, aprobată, cu sistemele care le susțin? Fără ea, faza de delimitare a scopului se blochează în prima ședință.
- Cine este echipa albă și cine nu are voie să știe? Trebuie decis în scris, înainte de orice discuție cu furnizorii.
- Contractele cu furnizorii TIC critici permit testarea? Dacă nu există clauza, renegocierea durează mai mult decât testul.
- Furnizorul de informații despre amenințări și echipa roșie sunt entități independente una de cealaltă? Un singur furnizor care le oferă pe amândouă nu satisface cerința, oricât de bine ar arăta oferta.
Un TLPT nu este un pentest mai scump. Este un exercițiu de reziliență în care ținta reală este propria ta capacitate de detecție, iar rezultatul măsurabil nu este numărul de vulnerabilități, ci cât de departe a ajuns echipa roșie înainte să observe cineva. Dacă răspunsul la întrebarea 2 nu există încă, evaluarea de risc și conformitate este pasul care trebuie făcut întâi — iar testarea de penetrare în cadrul art. 24 rămâne obligatorie indiferent dacă ajungi vreodată la TLPT.
Registrul furnizorilor TIC pe care ordonanța îl presupune este un subiect separat, tratat în articolul despre registrul de informații DORA.