DORA y pruebas de resiliencia

El artículo 25 enumera pruebas que el programa puede incluir: evaluaciones y exploraciones de vulnerabilidad, análisis de código abierto, evaluaciones de seguridad de red, análisis de carencias, revisiones de seguridad física, revisiones del código fuente cuando sea posible, pruebas basadas en escenarios, pruebas de rendimiento, pruebas de extremo a extremo y pruebas de penetración. La tabla lista_de_pruebas recoge algunas con palabras propias.

La consecuencia práctica para el analista: el informe de escaneo es una pieza del programa, no el programa. Un escaneo limpio no sustituye una prueba de escenario ni una de penetración cuando el programa las pide.

El artículo 24 exige que, al menos una vez al año, se prueben los sistemas y aplicaciones de TIC que sustenten funciones esenciales o importantes. Consulta sistemas, con corte al 2026-10-14. La regla solo mira los sistemas de funciones esenciales: una intranet sin esa función puede estar más atrasada y no ser la que importa.

El mismo artículo pide que las pruebas las realicen partes independientes, internas o externas, y que, si las hace un probador interno, se eviten los conflictos de intereses. La independencia no es un detalle de forma: quien probó su propio trabajo tiene un motivo para no encontrar problemas.

Revisa la columna quien_la_hizo de los sistemas de funciones esenciales.

Los problemas descubiertos en las pruebas se ordenan por prioridad, se clasifican y se corrigen, y la entidad debe tener métodos internos para validar que cada debilidad se trató de forma completa. En hallazgos_de_pruebas, la columna validado_por dice quién comprobó la corrección.

Un estado «cerrado» sin esa comprobación es una afirmación, no una evidencia.

Las entidades que la autoridad identifica deben hacer, al menos cada tres años, pruebas avanzadas de penetración basadas en amenazas sobre sus sistemas de producción. Son pruebas que ejecuta un equipo contratado y autorizado, con un alcance pactado: aquí solo se lee el calendario y no se ejecuta nada.

Consulta pruebas_avanzadas y calcula cuántos días quedan, a contar desde el corte, para que se cumpla el máximo de tres años desde la última.