DORA
TLPT DORA: i test di resilienza avanzati
7 aprile 2026
Il TLPT (Threat-Led Penetration Testing) è la forma più avanzata di test di resilienza prevista dal regolamento DORA. Disciplinato dagli articoli 26 e 27, simula attacchi reali contro i sistemi di produzione di un'entità finanziaria per misurarne la capacità di resistere, rilevare e rispondere a minacce informatiche sofisticate. Non tutte le entità vi sono soggette, ma per quelle significative individuate dalle autorità è un obbligo periodico.
Questa guida spiega che cosa sono i TLPT, chi deve svolgerli, ogni quanto, come si articolano le loro fasi, qual è il legame con il framework europeo TIBER-EU e in che cosa si distinguono dai test di resilienza ordinari.
Che cosa sono i TLPT
Il TLPT è un test di penetrazione guidato dalle minacce: a differenza di un penetration test tradizionale, non parte da una checklist di vulnerabilità note, ma da scenari di minaccia reali costruiti su threat intelligence aggiornata e specifica per l'entità testata. L'obiettivo è riprodurre il comportamento di un attaccante avanzato — tattiche, tecniche e procedure realmente osservate — per mettere alla prova le difese nelle condizioni più vicine possibile a un attacco effettivo.
Tre elementi distinguono il TLPT da un test ordinario:
- parte da scenari di minaccia mirati, basati su intelligence dedicata;
- coinvolge i sistemi di produzione dell'entità, non ambienti di laboratorio isolati, con le dovute cautele per contenere i rischi operativi;
- è condotto da un red team che opera secondo metodologie riconosciute a livello europeo, in linea con il framework TIBER-EU.
Il test copre le funzioni critiche o importanti dell'entità ed è progettato per valutare non solo la tenuta tecnica dei sistemi, ma anche la capacità di rilevamento e di risposta del personale e dei processi (il cosiddetto blue team).
Chi deve svolgere i TLPT
Il TLPT non riguarda tutte le entità finanziarie. L'articolo 26 di DORA lo richiede alle entità significative, individuate dalle autorità competenti in base a criteri di rilevanza, profilo di rischio ICT e circostanze specifiche dell'entità. Si tratta tipicamente dei soggetti il cui malfunzionamento avrebbe un impatto rilevante sulla stabilità del sistema finanziario.
Le entità che non rientrano in questo perimetro restano comunque tenute a un programma di test di resilienza ordinari (analisi delle vulnerabilità, valutazioni della sicurezza, penetration test classici), ma non al TLPT. Anche per i soggetti rientranti, le autorità possono modulare il perimetro e le tempistiche del test in funzione del rischio.
Un aspetto rilevante: il TLPT deve includere, ove pertinente, anche i fornitori terzi di servizi ICT che supportano le funzioni critiche. Conoscere a fondo la propria catena di dipendenze diventa quindi un prerequisito, non un dettaglio.
Ogni quanto vanno svolti
Per i soggetti rientranti, il TLPT va effettuato almeno ogni tre anni. Le autorità competenti possono richiedere una frequenza diversa — anticipando o posticipando il test — sulla base del profilo di rischio dell'entità e delle circostanze operative.
Tra un test triennale e l'altro, l'entità resta tenuta a mantenere attivo il proprio programma di test ordinari su base annuale, in modo che la resilienza sia presidiata con continuità e non solo in occasione dell'esercizio avanzato.
Le fasi di un TLPT (preparazione, testing, chiusura)
Un TLPT si articola in tre fasi principali, coerenti con la metodologia TIBER-EU.
| Fase | Cosa succede | Output |
|---|---|---|
| Preparazione | Definizione del perimetro (scoping), individuazione delle funzioni critiche, ingaggio del red team e dei test manager, raccolta della threat intelligence specifica per l'entità | Scope formale, scenari di minaccia, regole d'ingaggio |
| Testing | Il red team conduce gli attacchi simulati sui sistemi di produzione, mentre il blue team (ignaro dei dettagli) reagisce; gli scenari di minaccia vengono eseguiti end-to-end | Evidenze tecniche, log delle attività, esito degli scenari |
| Chiusura e remediation | Confronto tra red team e blue team (purple teaming), redazione dei report, definizione del piano di rimedio e condivisione con l'autorità | Report finale, piano di remediation, attestazione |
Nella fase di preparazione si definisce con precisione il perimetro: quali funzioni critiche includere, quali sistemi di produzione coinvolgere e con quali cautele. È qui che la threat intelligence viene tradotta in scenari concreti e che vengono fissate le regole d'ingaggio per contenere i rischi.
Nella fase di testing il red team esegue gli attacchi simulati. Solo un gruppo ristretto di persone all'interno dell'entità è a conoscenza del test: il personale operativo reagisce come farebbe di fronte a un attacco reale, il che consente di misurare l'efficacia effettiva del rilevamento e della risposta.
Nella fase di chiusura (closure & remediation) red team e blue team confrontano le rispettive prospettive, si redige il report finale e — soprattutto — si definisce il piano di remediation delle debolezze emerse. La capacità di tracciare ogni debolezza fino alla sua risoluzione è ciò che distingue un test utile da un mero esercizio formale.
TLPT e TIBER-EU
Il TLPT di DORA non nasce dal nulla: è basato sul framework TIBER-EU (Threat Intelligence-Based Ethical Red Teaming), sviluppato dalla Banca Centrale Europea e già adottato su base volontaria da diverse autorità nazionali, tra cui la Banca d'Italia. TIBER-EU fornisce la metodologia di riferimento per condurre red teaming guidato dall'intelligence in modo controllato e armonizzato a livello europeo.
DORA recepisce e rende obbligatorio per le entità significative questo approccio, allineando le specifiche tecniche del TLPT — definite negli standard tecnici di regolamentazione (RTS) — alla metodologia TIBER-EU. In pratica, le organizzazioni che hanno già maturato esperienza con esercizi TIBER-EU partono avvantaggiate nell'adempimento dell'obbligo previsto dall'articolo 26.
Test ordinari vs TLPT
Capire la differenza tra i due livelli di test aiuta a dimensionare correttamente il proprio programma di resilienza.
| Dimensione | Test di resilienza ordinari | TLPT |
|---|---|---|
| Base normativa | Art. 24-25 DORA | Art. 26-27 DORA |
| A chi si applica | Tutte le entità (proporzionalità) | Solo le entità significative individuate dalle autorità |
| Frequenza | Almeno annuale | Almeno ogni 3 anni |
| Approccio | Vulnerability assessment, penetration test classici | Guidato dalle minacce, scenari di intelligence reale |
| Ambiente | Anche ambienti di test | Sistemi di produzione |
| Metodologia | Buone pratiche di settore | Framework TIBER-EU |
| Coinvolgimento | Team di sicurezza | Red team esterno + blue team ignaro |
I test ordinari verificano la robustezza tecnica su base ricorrente; il TLPT è l'esercizio avanzato che mette alla prova l'intero impianto difensivo — tecnologia, processi e persone — contro un attaccante realistico.
Domande frequenti
Quali articoli di DORA disciplinano il TLPT?
Il TLPT è previsto dagli articoli 26 e 27 del Regolamento (UE) 2022/2554. L'art. 26 ne definisce ambito, requisiti e frequenza; l'art. 27 disciplina i requisiti per i tester e per i fornitori che conducono il test.
Il TLPT è obbligatorio per tutte le banche?
No. È obbligatorio solo per le entità significative individuate dalle autorità competenti in base a rilevanza e profilo di rischio ICT. Le altre entità svolgono i test di resilienza ordinari, ma non il TLPT.
Ogni quanto va ripetuto il TLPT?
Almeno ogni tre anni, salvo diverse indicazioni delle autorità competenti, che possono modulare la frequenza in funzione del profilo di rischio dell'entità.
Che cos'è TIBER-EU e che rapporto ha con il TLPT?
TIBER-EU è il framework europeo di red teaming guidato dall'intelligence, sviluppato dalla BCE. Il TLPT di DORA si basa su questa metodologia: chi ha già condotto esercizi TIBER-EU dispone di una base solida per l'adempimento dell'obbligo.
Come prepararsi a un TLPT con SinergIA
Un TLPT efficace richiede di conoscere a fondo il proprio impianto ICT: asset, funzioni critiche, dipendenze dai fornitori e controlli in essere. Avere questa conoscenza mappata e verificabile — e non sparsa tra documenti, fogli di calcolo e team diversi — accelera sia la fase di preparazione sia la successiva remediation.
È esattamente il tipo di lavoro che la piattaforma SinergIA consolida: agenti AI che consultano le fonti, verificano le evidenze di resilienza ICT e tracciano la remediation delle debolezze emerse, con risposte citate fino al documento e alla riga di origine. Il cuore di questo approccio è il RAG privato: la conoscenza resta nella tua knowledge base isolata, conforme al GDPR e con dati trattati in UE, e ogni risposta cita la fonte esatta — così i team Compliance ICT passano dalla rincorsa all'audit al presidio continuo.
Approfondisci il regolamento DORA.
Per il quadro d'insieme sull'AI agentica applicata alla compliance bancaria, vedi Cos'è l'AI agentica.
Questa guida ha scopo informativo e non costituisce consulenza legale. Per l'applicazione del TLPT e del regolamento DORA alla tua organizzazione, fai riferimento al testo ufficiale del Regolamento (UE) 2022/2554, agli standard tecnici applicabili e alle indicazioni delle autorità competenti.