TLPT (threat-led penetration testing) to zaawansowane, oparte na realnych scenariuszach ataku testy, które DORA nakłada na wyznaczone podmioty finansowe co najmniej raz na trzy lata. Żeby się do nich przygotować, instytucja potrzebuje trzech rzeczy: aktualnej mapy systemów wspierających funkcje krytyczne, zespołu i procesu zdolnego przejść przez wszystkie fazy TLPT (od wywiadu o zagrożeniach po remediację) oraz zgodności ze standardami z rozporządzenia 2025/1190 i ramami TIBER-EU. Poniżej rozkładamy to na czynniki pierwsze i pokazujemy, gdzie instytucje najczęściej nie są gotowe.
TLPT a „zwykłe” testy odporności - dwa poziomy
DORA rozróżnia dwa poziomy testowania. Poziom podstawowy wynika z art. 24-25: każdy podmiot w zakresie regulacji musi prowadzić program testów odporności, a wszystkie systemy i aplikacje wspierające funkcje krytyczne lub istotne muszą być testowane co najmniej raz w roku. Katalog metod obejmuje m.in. badanie podatności, przeglądy kodu źródłowego, testy bezpieczeństwa sieci i testy scenariuszowe.
Poziom zaawansowany to właśnie TLPT (art. 26-27). Szczegółowe standardy techniczne (rozporządzenie delegowane UE 2025/1190) obowiązują od 8 lipca 2025 r. i są spójne z ramami TIBER-EU. TLPT to nie jest kolejny, głębszy skan podatności – to symulacja realnego ataku na żywe systemy produkcyjne, prowadzona w oparciu o aktualny wywiad o zagrożeniach dla konkretnego podmiotu i jego sektora.
Kogo dotyczy obowiązek TLPT
TLPT nie dotyczy każdego. To krajowy nadzór wskazuje podmioty zobowiązane, na podstawie kryteriów z art. 26 ust. 8 – m.in. znaczenia systemowego, potencjalnego wpływu na stabilność finansową, profilu ryzyka ICT oraz dojrzałości technologicznej. Wyznaczone podmioty muszą przeprowadzać TLPT co najmniej raz na trzy lata, choć nadzór może tę częstotliwość dostosować do profilu ryzyka. Warto przy tym pamiętać, że nawet podmioty poza reżimem TLPT muszą spełnić podstawowe wymogi testowe – a przygotowanie do TLPT najlepiej zacząć, zanim przyjdzie oficjalne wyznaczenie.
Fazy TLPT - co realnie trzeba przejść
TLPT to ustrukturyzowany proces, a nie jednorazowy test. Ma kilka faz, przez które instytucja musi przejść.
Przygotowanie i ustalenie zakresu. Zakres obejmuje systemy wspierające funkcje krytyczne lub istotne. Po stronie podmiotu działa wąski, zaufany zespół kontrolny (Control Team), który wie o teście – w odróżnieniu od zespołu broniącego.
Wywiad o zagrożeniach. Dostawca wywiadu przygotowuje realistyczne scenariusze ataku dopasowane do danego podmiotu i sektora, tak by test odzwierciedlał zagrożenia, z którymi instytucja faktycznie się mierzy.
Faza aktywna – red teaming. Zespół atakujący (Red Team) próbuje osiągnąć uzgodnione cele na żywych systemach, podczas gdy zespół broniący (Blue Team) najczęściej nie wie o teście. Po aktualizacji ram TIBER-EU obowiązkowym elementem stało się purple teaming, czyli wspólna praca zespołów w części ćwiczenia.
Zamknięcie i remediacja. Test kończy się raportem, oceną i planem naprawczym. To etap, którego nie wolno pominąć – sam test bez remediacji nie poprawia odporności.
Do tego dochodzą wymogi co do samych testerów, w tym warunki korzystania z testerów wewnętrznych i zewnętrznych.
Gdzie instytucje najczęściej nie są gotowe
Największe problemy nie dotyczą samego ataku, lecz przygotowania. Po pierwsze, brak mapy funkcji krytycznych i zależności – bez niej nie da się rozsądnie wyznaczyć zakresu testu. Druga kwestia to nietestowalne systemy legacy: na nieudokumentowanym systemie w Delphi, VB6 czy starej Javie EE trudno bezpiecznie prowadzić scenariusze i ocenić „promień rażenia” ataku. Po trzecie, brak procesu remediacji – instytucja przeprowadza test, dostaje listę problemów i nie ma jak ich systematycznie zamknąć.
Wspólny mianownik jest ten sam, co przy całej DORA: nie chodzi o to, że system jest zły, tylko o to, że jest nieprzejrzysty. A testu odporności nie da się wiarygodnie zaprojektować dla czegoś, czego nikt do końca nie rozumie.
Jak się przygotować
Przygotowanie do TLPT zaczyna się od widoczności, nie od pentestu. Inwentaryzacja procesów i odtworzenie dokumentacji architektury (S*.doc) dają mapę funkcji krytycznych i zależności, czyli podstawę do wyznaczenia zakresu. Audyt architektury IT pozwala znaleźć i domknąć podatności, zanim zrobi to zespół atakujący. A doradztwo DORA w połączeniu z testami pomaga zbudować program testów proporcjonalny do profilu ryzyka i przygotować organizację do przejścia przez pełny cykl TLPT.
FAQ
Co to jest TLPT pod DORA?
Kogo dotyczy obowiązek TLPT?
Jak często trzeba przeprowadzać TLPT?
Czym TLPT różni się od zwykłego pentestu?
Od czego zacząć przygotowania do TLPT?
Spodziewacie się wyznaczenia do TLPT albo chcecie sprawdzić, czy przejdziecie testy odporności DORA? Porozmawiajmy – zaczniemy od zakresu i mapy funkcji krytycznych, a nie od samego ataku.
