Kim jest dostawca TLPT? Dostawca TLPT to zewnętrzny podmiot, któremu instytucja finansowa powierza jedną z dwóch ról w teście penetracyjnym pod kątem wyszukiwania zagrożeń: analizę zagrożeń (threat intelligence) lub testowanie red team. Rozporządzenie DORA i RTS 2025/1190 określają minimalne wymogi wobec obu ról, a control team musi udokumentować ich spełnienie i przedstawić dowody organowi ds. TLPT – w Polsce KNF – zanim podpisze umowę.
Wybór dostawcy decyduje o tym, czy test zakończy się poświadczeniem, czy koniecznością powtórki. Podstawy TLPT – kto podlega, etapy i terminy – opisaliśmy w artykule Testy TLPT pod DORA – jak zacząć.
Definicja kanoniczna: Dostawca TLPT to – zgodnie z art. 1 pkt 11 rozporządzenia delegowanego (UE) 2025/1190 – tester lub dostawca analizy zagrożeń zaangażowany przez podmiot finansowy do przeprowadzenia testu penetracyjnego pod kątem wyszukiwania zagrożeń.
Jak wybrać dostawcę TLPT – w skrócie:
- Art. 27 DORA wymaga od testerów najwyższej reputacji, kompetencji w TI, pentestach i red teamingu, certyfikacji lub kodeksu etycznego, niezależnego raportu zapewnienia i ubezpieczenia OC.
- Art. 7 RTS 2025/1190 doprecyzowuje: kierownik z 5 latami doświadczenia, zespół z 2 latami, 3 rekomendacje dla dostawcy TI i 5 dla testerów, rozdzielenie personelu obu ról.
- Dostawca analizy zagrożeń musi być zawsze zewnętrzny; control team ocenia oba zespoły i przedstawia dowody KNF przed zawarciem umowy (art. 9 ust. 11 RTS).
- Według publicznych zestawień rynkowych (regulation-dora.eu, 2026) pełny cykl TLPT w UE kosztuje zwykle 140-560 tys. EUR bez remediacji – największą pozycją jest red team.
- Najczęstsze sygnały ostrzegawcze to oferta „TLPT w 6 tygodni”, brak procedury na wykrycie przez blue team i ten sam zespół w roli TI i red team.
- Patronusec realizuje obie role TLPT z rozdzielonymi zespołami, dostarcza komplet dokumentacji wymaganej przez art. 7 RTS i stałą wycenę po readiness assessment.
Spis treści
Kim jest dostawca TLPT i dlaczego DORA rozróżnia testerów od dostawcy analizy zagrożeń?
DORA rozróżnia dwie role dostawcy TLPT, bo wymagają innych kompetencji i muszą pozostać niezależne: dostawca analizy zagrożeń buduje profil agresorów i scenariusze, a testerzy je realizują. Gdyby jeden zespół robił obie rzeczy, scenariusze mogłyby zostać dopasowane do tego, co red team umie zrobić, a nie do tego, co realnie zagraża instytucji.
Art. 1 pkt 10 RTS 2025/1190 definiuje dostawcę analizy zagrożeń jako ekspertów zewnętrznych wobec podmiotu finansowego i jego dostawców ICT wewnątrz grupy, którzy gromadzą ukierunkowane informacje wywiadowcze i opracowują realistyczne scenariusze. Testerów (art. 1 pkt 5) definiuje jako zespół red team – wewnętrzny lub zewnętrzny. Różnica w statusie wynika z art. 27 ust. 2 DORA: testerzy mogą być pracownikami instytucji po zatwierdzeniu przez organ, ale dostawca analizy zagrożeń nigdy.
Dostawca analizy zagrożeń w TLPT odpowiada za sprawozdanie z ukierunkowanej analizy zagrożeń i co najmniej trzy scenariusze ataku, natomiast testerzy odpowiadają za plan testów red team, aktywne testowanie i raport z testu – obie role definiuje art. 1 RTS 2025/1190.
Podział ten ma praktyczną konsekwencję zakupową. Kupujesz dwa różne produkty: sprawozdanie TTI zgodne z załącznikiem III RTS oraz 12-tygodniową operację ofensywną z raportem zgodnym z załącznikiem V. Nawet jeśli oba dostarcza jedna firma, oceniasz je osobno – według innych kryteriów, z innymi rekomendacjami i innym składem zespołu.
Patronusec Insight: Z naszego doświadczenia projektowego wynika, że instytucje wybierające dostawcę TLPT zaczynają od portfolio red teamu, a fazę TI traktują jako dodatek. Tymczasem to sprawozdanie TTI jako pierwsze trafia do zatwierdzenia przez kierownika testu z KNF – jeśli scenariusze są generyczne, cały harmonogram się przesuwa. Dobry test poznasz po tym, że profile agresorów w TTI odnoszą się do grup faktycznie atakujących polski sektor finansowy w ostatnich 12-24 miesiącach, a nie do ogólnego katalogu APT. Patronusec prowadzi fazę analizy zagrożeń w zespole oddzielonym od testerów, zgodnie z art. 7 ust. 1 lit. e pkt v RTS, i dostarcza sprawozdanie od razu w strukturze załącznika III.
Jakie wymogi formalne stawia art. 27 DORA i art. 7 RTS – co musisz udokumentować przed KNF?
Przed podpisaniem umowy control team musi zebrać od każdego dostawcy TLPT komplet dowodów: szczegółowe CV i certyfikaty zespołu, polisę OC zawodowej, 3 (TI) lub 5 (testerzy) rekomendacji z poprzednich projektów, oświadczenie o braku konfliktu interesów i rozdzieleniu personelu oraz – z art. 27 DORA – niezależny raport zapewnienia dotyczący zarządzania ryzykiem testu. Art. 9 ust. 11 RTS wymaga przedstawienia tych dowodów kierownikom testów przed zawarciem umowy.
Pełny zestaw wymogów wygląda następująco:
| Wymóg | Podstawa | Co powinieneś otrzymać od dostawcy |
|---|---|---|
| Najwyższa odpowiedniość i reputacja | art. 27 ust. 1 lit. a DORA | referencje, brak postępowań, historia firmy |
| Zdolności techniczne i organizacyjne, wiedza w TI, pentestach i red teamingu | art. 27 ust. 1 lit. b DORA | opis metodyki, infrastruktura C2, narzędzia, procedury OPSEC |
| Certyfikacja przez jednostkę akredytującą w państwie UE lub kodeks etyczny | art. 27 ust. 1 lit. c DORA | certyfikaty organizacji (np. CREST) lub podpisany kodeks postępowania |
| Niezależny raport zapewnienia lub audytu o zarządzaniu ryzykiem TLPT | art. 27 ust. 1 lit. d DORA | raport audytora obejmujący ochronę informacji poufnych i odpowiedzialność za ryzyko biznesowe |
| Ubezpieczenie OC zawodowe, w tym od uchybień i zaniedbań | art. 27 ust. 1 lit. e DORA, art. 7 ust. 1 lit. b RTS | polisa z sumą gwarancyjną adekwatną do zakresu |
| CV i certyfikaty osób | art. 7 ust. 1 lit. a RTS | życiorysy każdego członka zespołu, kopie certyfikatów |
| Rekomendacje | art. 7 ust. 1 lit. c-d RTS | min. 3 dla dostawcy TI, min. 5 dla testerów |
| Skład zespołu | art. 7 ust. 1 lit. e-f RTS | kierownik ≥5 lat, pozostali ≥2 lata; TI: min. 2 osoby, red team: min. 3 osoby |
| Brak konfliktu z zadaniami blue team | art. 7 ust. 1 lit. e pkt iv, lit. f pkt iv RTS | oświadczenie, że dostawca nie świadczy SOC/IR dla instytucji ani jej dostawców ICT |
| Rozdzielenie personelu TI od red team | art. 7 ust. 1 lit. e pkt v, lit. f pkt v RTS | schemat organizacyjny projektu, oświadczenie o braku podległości |
| Procedury po teście | art. 7 ust. 1 lit. g-h RTS | plan usunięcia narzędzi, dezaktywacji C2, zwrotu poświadczeń |
Zgodnie z art. 9 ust. 11 RTS 2025/1190 control team nie może zawrzeć umowy z dostawcą TLPT, jeżeli organ ds. TLPT uzna, że dostawca nie spełnia wymogów art. 27 DORA lub art. 7 RTS.
Art. 7 ust. 2 RTS dopuszcza wyjątek: w szczególnych okolicznościach instytucja może zaangażować dostawcę, który nie spełnia jednego z wymogów lit. a-f, jeśli udokumentuje środki ograniczające wynikające z tego ryzyko. To furtka na wypadek braku dostawców, nie sposób na obniżenie wymagań – kierownik testu oceni każdy taki przypadek osobno.
W praktyce oznacza to, że zapytanie ofertowe powinno wprost żądać tych 11 dowodów jako załączników do oferty. Dostawca, który realizuje testy TLPT regularnie, ma je gotowe; dostawca, który dopiero wchodzi na ten rynek, poprosi o czas.
Jeden dostawca czy dwóch – kiedy łączyć role TI i red team?
Jeden dostawca dla obu ról jest dopuszczalny, jeśli personel analizy zagrożeń i testerów jest rozdzielony i wzajemnie niepodległy (art. 7 ust. 1 lit. e pkt v i lit. f pkt v RTS). Model jednego dostawcy skraca koordynację i obniża koszt, model dwóch dostawców daje silniejszą niezależność scenariuszy. Decyzję warto oprzeć na dojrzałości control teamu i dostępności dostawców na rynku.
Drzewo decyzyjne – jeden czy dwóch dostawców TLPT?
- Czy Twój control team ma doświadczenie w koordynacji dwóch niezależnych zespołów zewnętrznych (np. z poprzednich testów TIBER lub dużych red teamów)?
→ NIE: rozważ jednego dostawcę z udokumentowanym rozdzieleniem zespołów; koordynację TI i red team przejmuje jego kierownik projektu.
→ TAK: przejdź do pkt 2. - Czy zależy Ci na maksymalnej niezależności scenariuszy od możliwości red teamu (np. pierwszy test, oczekiwania KNF, wrażliwość zarządu)?
→ TAK: dwóch dostawców.
→ NIE: przejdź do pkt 3. - Czy na rynku jest dostawca, który spełnia wymogi art. 7 RTS dla obu ról i wykaże schemat rozdzielności?
→ TAK: jeden dostawca z klauzulą umowną o rozdzieleniu personelu i prawem KNF do weryfikacji.
→ NIE: dwóch dostawców.
Porównanie obu modeli:
| Kryterium | Jeden dostawca (obie role) | Dwóch dostawców |
|---|---|---|
| Zgodność z RTS | tak, przy rozdzieleniu personelu | tak |
| Koszt łączny | zwykle o 10-20 % niższy (jedna obsługa projektu) | wyższy |
| Koordynacja fazy TI → red team | wewnętrzna u dostawcy, szybsza | przez control team, wymaga spotkań przekazania |
| Niezależność scenariuszy | zależna od rzeczywistej separacji zespołów | strukturalna |
| Ryzyko konfliktu interesów | wymaga oświadczeń i schematu organizacyjnego | niższe |
| Obciążenie control teamu | niższe | wyższe (dwie umowy, dwa harmonogramy) |
Model jednego dostawcy TLPT jest zgodny z RTS 2025/1190 pod warunkiem, że personel analizy zagrożeń i personel red team są od siebie oddzieleni i nie podlegają sobie nawzajem.
Nie wiesz, który model wyboru dostawcy zaakceptuje Twój control team i KNF?
Patronusec przygotowuje dla instytucji analizę modelu zakupu TLPT: w ciągu 5 dni roboczych dostajesz rekomendację (jeden lub dwóch dostawców) z uzasadnieniem względem art. 7 RTS, projekt wymagań do zapytania ofertowego i listę załączników dowodowych, których musisz zażądać od oferentów.
Zamów analizę modelu zakupu TLPT
Jakie 9 kryteriów merytorycznych odróżnia dobrego dostawcę TLPT od spełniającego minimum?
Wymogi art. 7 RTS to próg wejścia; o jakości testu decyduje dziewięć kryteriów, których RTS nie mierzy: doświadczenie w sektorze finansowym, zdolność do 12-tygodniowej operacji bez wykrycia, procedura na wykrycie, jakość raportowania dla blue teamu, znajomość procesu z organem nadzoru, zaplecze TI dla Polski, inżynieria społeczna i testy fizyczne, zarządzanie ryzykiem na produkcji oraz wsparcie po teście.
| # | Kryterium | Jak je zweryfikować w postępowaniu |
|---|---|---|
| 1 | Doświadczenie w sektorze finansowym | poproś o zanonimizowane opisy 3 projektów red team w bankowości, płatnościach lub ubezpieczeniach z ostatnich 3 lat |
| 2 | Zdolność do długiej, niewykrytej operacji | zapytaj o infrastrukturę C2, rotację domen, zasady OPSEC i najdłuższą operację bez wykrycia |
| 3 | Procedura na wykrycie przez blue team | poproś o pisemną procedurę zgodną z art. 11 ust. 9 RTS: kto decyduje, jak kontynuować, jak chronić poufność |
| 4 | Raport red team użyteczny dla blue teamu | poproś o przykładowy raport (zanonimizowany): mapowanie na MITRE ATT&CK, znaczniki czasu, IoC do odtworzenia w logach |
| 5 | Znajomość procesu z organem ds. TLPT | zapytaj, ile razy zespół uczestniczył w spotkaniach zatwierdzających TTI i plan testów z kierownikami testów (TIBER lub TLPT) |
| 6 | Zaplecze TI dla polskiego rynku | poproś o przykład profilu agresora atakującego polski sektor finansowy i źródła (dark web, wycieki, CERT Polska, CSIRT KNF) |
| 7 | Inżynieria społeczna i penetracja fizyczna | art. 7 ust. 1 lit. f pkt ii RTS wymienia je wśród kompetencji – zapytaj o granice etyczne i wcześniejsze realizacje |
| 8 | Zarządzanie ryzykiem na produkcji | poproś o listę zabezpieczeń: wyłączniki awaryjne, okna czasowe, testy exploitów w labie, kontakt 24/7 z control teamem |
| 9 | Wsparcie po teście | zapytaj, czy dostawca prowadzi odtworzenie ataku, purple teaming i pomaga w planie naprawczym wg art. 13 RTS |
Dobry dostawca TLPT różni się od dostawcy spełniającego minimum RTS tym, że potrafi udokumentować procedurę postępowania po wykryciu przez blue team i dostarczyć raport, który zespół obrony jest w stanie odtworzyć w swoich logach.
Kryteria 3 i 4 są najbardziej rozstrzygające, a najrzadziej sprawdzane. Wykrycie testerów w 6. tygodniu to nie porażka testu – to cenny wynik. Ale bez procedury, kto decyduje o kontynuacji i jak zachować poufność wobec reszty organizacji, control team traci kontrolę, a KNF może zakwestionować przebieg testu. Podobnie raport red team: jeśli blue team nie może go odtworzyć w logach, sprawozdanie blue team (załącznik VI RTS) będzie puste, a purple teaming – bezwartościowy.
Patronusec Insight: Kryterium 5 – doświadczenie w pracy z kierownikami testów – warto rozumieć szerzej niż liczbę testów TIBER. Z naszego doświadczenia projektowego wynika, że dostawca, który zna perspektywę nadzorcy i audytora, pisze inaczej: uzasadnia każdy scenariusz, dokumentuje odstępstwa od planu, oznacza ułatwienia. Patronusec łączy zespół pentesterów z certyfikatami OSCP, CREST i OSWE z doświadczeniem audytorskim (status QSA, audyty ISO 27001) – dzięki temu raport red team od początku ma strukturę załącznika V RTS, a control team nie musi go przepisywać przed przekazaniem do KNF.
Jak rozpoznać 7 sygnałów ostrzegawczych w ofertach TLPT?
Siedem sygnałów ostrzegawczych w ofertach TLPT to: obietnica testu krótszego niż 12 tygodni, ten sam zespół w roli TI i red team bez schematu rozdzielności, brak procedury na wykrycie, oferta oparta na skanach i pentestach nazwanych „TLPT”, brak polisy OC i raportu zapewnienia, cena bez wskazania liczby scenariuszy oraz zapewnienie, że dostawca „załatwi zgodność z KNF”.
Każdy z tych sygnałów wynika wprost z wymogów RTS lub DORA:
- „TLPT w 6-8 tygodni” – art. 11 ust. 5 RTS wymaga co najmniej 12 tygodni aktywnego testowania; krótsza oferta oznacza, że dostawca nie zna RTS albo wycenia pentest.
- Jeden zespół, dwie role, brak schematu – naruszenie art. 7 ust. 1 lit. e pkt v RTS; KNF może odrzucić dostawcę na etapie art. 9 ust. 11.
- Brak procedury na wykrycie – art. 11 ust. 9 RTS wymaga środków kontynuacji z zachowaniem poufności; jeśli dostawca nie ma takiej procedury, test po pierwszym wykryciu zamienia się w improwizację.
- Pentest i skany nazwane TLPT – motyw 12 RTS wprost odróżnia konwencjonalne testy penetracyjne od testów opartych na analizie zagrożeń; jeśli oferta nie zawiera sprawozdania TTI wg załącznika III, nie jest ofertą TLPT.
- Brak polisy OC i niezależnego raportu zapewnienia – art. 27 ust. 1 lit. d-e DORA; bez tych dokumentów control team nie może wykazać zgodności przed KNF.
- Cena bez liczby scenariuszy i funkcji – art. 10 ust. 3 RTS wymaga co najmniej trzech scenariuszy; oferta ryczałtowa bez tych parametrów zwykle kończy się aneksem.
- „Zapewnimy zgodność z KNF” – poświadczenie wydaje organ ds. TLPT (art. 14 RTS) na podstawie całego procesu; żaden dostawca nie może go zagwarantować.
Oferta TLPT, która nie przewiduje sprawozdania z ukierunkowanej analizy zagrożeń zgodnego z załącznikiem III RTS 2025/1190, jest ofertą testu penetracyjnego lub red teamu, a nie testu TLPT w rozumieniu DORA.
Sygnałem pozytywnym jest sytuacja odwrotna: dostawca sam pyta o rejestr funkcji krytycznych lub istotnych, skład control teamu i dojrzałość SOC, zanim poda cenę. Klasyczne testy penetracyjne i skany podatności mają swoje miejsce w programie testów z art. 24 DORA – ale nie zastąpią TLPT i nie powinny być tak nazywane.
Ile kosztuje TLPT i z czego składa się cena?
Pełny cykl TLPT dla średniej lub dużej instytucji w UE kosztuje według publicznych zestawień rynkowych (regulation-dora.eu, 2026) od około 140 do 560 tys. EUR bez kosztów remediacji. Największą pozycją jest red team (80-300 tys. EUR), następnie analiza zagrożeń (30-80 tys. EUR) oraz koszt własny control teamu i infrastruktury. Cena zależy przede wszystkim od liczby funkcji w zakresie, liczby scenariuszy i długości fazy aktywnej.
| Pozycja kosztowa | Dolny zakres | Górny zakres | Główne czynniki |
|---|---|---|---|
| Dostawca analizy zagrożeń (sprawozdanie TTI, scenariusze) | 30 tys. EUR | 80 tys. EUR | liczba funkcji, głębokość profilowania agresorów, źródła dark web |
| Testerzy (red team, ≥12 tygodni) | 80 tys. EUR | 300 tys. EUR | liczba scenariuszy, równoległość, dostawcy ICT w zakresie, testy fizyczne |
| Control team (czas własny: PM, bezpieczeństwo, prawo) | 20 tys. EUR | 100 tys. EUR | wielkość zespołu, liczba spotkań z KNF |
| Doradztwo zewnętrzne dla control teamu (opcjonalnie) | 0 | 50 tys. EUR | brak własnego doświadczenia TIBER/TLPT |
| Infrastruktura tymczasowa i dodatkowy monitoring | 10 tys. EUR | 30 tys. EUR | wymagania control teamu |
| Razem bez remediacji | 140 tys. EUR | 560 tys. EUR | |
| Remediacja po teście | 50 tys. EUR | 500 tys. EUR i więcej | krytyczność ustaleń |
Źródło zakresów: publiczne zestawienia rynkowe regulation-dora.eu (2026) [WYMAGA WERYFIKACJI przed publikacją – zakresy orientacyjne dla rynku UE; ceny w Polsce mogą być niższe w części usług lokalnych].
Koszt TLPT rośnie przede wszystkim wraz z liczbą funkcji krytycznych lub istotnych objętych zakresem oraz liczbą realizowanych scenariuszy – RTS 2025/1190 wymaga co najmniej trzech scenariuszy i co najmniej 12 tygodni aktywnego testowania.
Trzy sposoby na kontrolę kosztu bez obniżania jakości:
- Testowanie zbiorcze lub wspólne (art. 26 ust. 4 DORA, art. 16 RTS) – instytucje z jednej grupy lub korzystające z tego samego dostawcy ICT dzielą koszt jednego testu.
- Dojrzałość przygotowań – aktualny rejestr funkcji i gotowe umowy z dostawcami ICT skracają etap przygotowawczy, za który płacisz czasem control teamu i doradców.
- Jeden dostawca dla obu ról – przy udokumentowanej rozdzielności obniża koszt obsługi projektu.
W praktyce oznacza to, że budżet TLPT warto zaplanować 12-18 miesięcy przed spodziewanym powiadomieniem, bo procedura zakupowa i zatwierdzenie dostawców przez KNF muszą zmieścić się w 6-miesięcznym etapie przygotowawczym.
Masz budżet do zatwierdzenia przez zarząd i potrzebujesz wyceny, która nie zmieni się w trakcie testu?
Po bezpłatnym readiness assessment (10 dni roboczych) Patronusec przedstawia stałą wycenę TLPT dla obu ról lub wybranej, z rozbiciem na fazy z RTS, liczbą scenariuszy i harmonogramem odniesionym do terminów art. 9-13. Cena nie rośnie, gdy blue team wykryje test i trzeba uruchomić procedurę kontynuacji.
Zamów wycenę TLPT po readiness assessment
Jakie pytania zadać w zapytaniu ofertowym i jakie klauzule wpisać do umowy TLPT?
Zapytanie ofertowe na TLPT powinno zawierać 11 załączników dowodowych z art. 27 DORA i art. 7 RTS, pytania o 9 kryteriów merytorycznych oraz wymagania dotyczące struktury dokumentów (załączniki III-V RTS). Umowa powinna regulować poufność i kryptonim, rozdzielenie personelu, zakres dozwolonych TTP, wyłączniki awaryjne, procedury po teście, odpowiedzialność i współpracę z organem ds. TLPT.
Minimalny zestaw klauzul umownych:
- Poufność i kryptonim – zakaz ujawniania testu poza listą osób z art. 4 ust. 2 lit. a RTS; komunikacja wyłącznie kryptonimem (art. 4 ust. 2 lit. f).
- Rozdzielenie personelu – imienna lista zespołu TI i red team, zakaz podległości, prawo control teamu i KNF do weryfikacji.
- Zakres i granice etyczne – dozwolone i niedozwolone TTP, granice inżynierii społecznej (załącznik IV lit. b RTS), zakaz działań z art. 7 ust. 1 lit. i RTS (niszczenie sprzętu, celowe naruszenie ciągłości, systemy poza zakresem).
- Zarządzanie ryzykiem – wyłączniki awaryjne, okna czasowe, obowiązek zgłaszania każdego nieplanowanego skutku, kontakt 24/7.
- Raportowanie – cotygodniowe raporty postępu (art. 11 ust. 7), raport red team w 4 tygodnie od zakończenia fazy aktywnej (art. 12 ust. 2), udział w odtworzeniu ataku i purple teamingu (art. 12 ust. 5).
- Procedury po teście – dezaktywacja C2, usunięcie backdoorów, bezpieczne usunięcie poświadczeń i danych (art. 7 ust. 1 lit. g-h).
- Odpowiedzialność i ubezpieczenie – polisa OC jako załącznik, zasady odpowiedzialności za szkody na produkcji, zgodnie z art. 27 ust. 3 DORA.
- Współpraca z organem – obowiązek udziału w spotkaniach z kierownikami testów i udostępnienia dokumentów na żądanie KNF.
- Własność wyników i retencja – kto przechowuje sprawozdanie TTI i raporty, jak długo, kto ma dostęp.
Zgodnie z art. 27 ust. 3 DORA umowa z testerami zewnętrznymi musi zapewniać należyte zarządzanie wynikami TLPT, a przetwarzanie danych – w tym ich generowanie, przechowywanie i usuwanie – nie może stwarzać ryzyka dla podmiotu finansowego.
Do pytań o 9 kryteriów merytorycznych dodaj trzy pytania o proces: kto będzie kierownikiem zespołu i czy zmieni się w trakcie 12 tygodni, jak dostawca dokumentuje ułatwienia (leg-ups) i odstępstwa od planu oraz w jakiej formie przekaże IoC blue teamowi po teście.
Patronusec Insight: Klauzula, o której instytucje zapominają najczęściej, dotyczy zmiany składu zespołu. RTS ocenia konkretne osoby (CV, lata doświadczenia), więc podmiana kierownika red teamu w 5. tygodniu oznacza ponowną ocenę przez control team i potencjalnie przez KNF. Z naszego doświadczenia projektowego wynika, że warto wpisać do umowy imienny skład, zasadę uprzedniej zgody control teamu na każdą zmianę i obowiązek dostarczenia dokumentów zastępcy z wyprzedzeniem. Patronusec dostarcza imienny skład obu zespołów wraz z ofertą – z CV, certyfikatami i oświadczeniami o rozdzielności – żeby control team mógł od razu skompletować dowody z art. 9 ust. 11 RTS.
Jak zaplanować proces zakupowy w czasie, żeby zdążyć przed etapem testowania?
Proces zakupowy TLPT trwa realnie 3-5 miesięcy: 2-4 tygodnie na przygotowanie zapytania, 4-6 tygodni na oferty i pytania, 2-4 tygodnie na ocenę i negocjacje oraz 2-4 tygodnie na przedstawienie dowodów KNF i zawarcie umowy. Musi zmieścić się między zatwierdzeniem karty projektu (D + 3 miesiące) a zakończeniem dokumentu określającego zakres (D + 6 miesięcy), bo art. 9 ust. 9 RTS wymaga zakontraktowania dostawców przed etapem testowania.
Orientacyjny harmonogram względem dnia powiadomienia (D):
| Okno | Działanie | Uwagi |
|---|---|---|
| D – 6 do D | rozeznanie rynku, budżet, wstępna lista dostawców | jeszcze bez powiadomienia; nie informować blue teamu |
| D do D + 1 miesiąc | karta projektu, decyzja: jeden czy dwóch dostawców | zatwierdzenie modelu przez zarząd |
| D + 1 do D + 2 | zapytanie ofertowe z 11 załącznikami dowodowymi i pytaniami o 9 kryteriów | równolegle prace nad dokumentem określającym zakres |
| D + 2 do D + 4 | oferty, sesje pytań, prezentacje przykładowych raportów | ocena punktowa wg kryteriów |
| D + 4 do D + 5 | ocena zgodności z art. 27 DORA i art. 7 RTS, dowody dla kierowników testów | art. 9 ust. 11 RTS |
| D + 5 do D + 6 | umowa, udostępnienie dokumentu określającego zakres dostawcom (art. 9 ust. 8) | start fazy TI po zatwierdzeniu zakresu przez KNF |
Art. 9 ust. 9 RTS 2025/1190 wymaga, aby pozyskanie testerów i dostawcy analizy zagrożeń zostało zakończone przed rozpoczęciem etapu testowania – w praktyce w ciągu 6 miesięcy od powiadomienia organu ds. TLPT.
Instytucje podlegające prawu zamówień publicznych lub wewnętrznym procedurom przetargowym z progami kwotowymi powinny doliczyć czas na te procedury – to główny powód, dla którego rozeznanie rynku warto zrobić przed powiadomieniem. Jeśli w organizacji nie ma osoby, która poprowadzi to postępowanie z pozycji merytorycznej, rolę doradcy control teamu może pełnić vCISO lub IT Compliance Officer, pod warunkiem rozdzielenia od zespołów testowanych i od dostawców TLPT.
FAQ – jak wybrać dostawcę TLPT
Czy dostawca TLPT musi mieć certyfikat CREST lub podobny?
Nie wprost. Art. 27 ust. 1 lit. c DORA wymaga certyfikacji przez jednostkę akredytującą w państwie członkowskim albo przestrzegania formalnych kodeksów postępowania lub ram etycznych. Certyfikaty organizacji (np. CREST) i osób (OSCP, OSCE, CRTO) są najprostszym dowodem, ale RTS ocenia przede wszystkim doświadczenie zespołu w latach i rekomendacje.
Czy można wykorzystać obecnego dostawcę pentestów jako testerów TLPT?
Tak, jeśli spełnia art. 27 DORA i art. 7 RTS i nie świadczy dla instytucji zadań blue team (SOC, IR, wsparcie infrastruktury). Dostawca pentestów z doświadczeniem wyłącznie w testach aplikacji może nie spełnić wymogu kompetencji w inżynierii społecznej, penetracji fizycznej i długich operacjach red team.
Czy dostawca SOC może być jednocześnie dostawcą TLPT?
Nie. Art. 7 ust. 1 lit. e pkt iv i lit. f pkt iv RTS wykluczają personel wykonujący zadania blue team dla instytucji lub jej dostawców ICT. Dostawca SOC jest częścią blue teamu i nie może wiedzieć o teście, a tym bardziej go prowadzić.
Ile rekomendacji musi przedstawić dostawca TLPT?
Dostawca analizy zagrożeń co najmniej 3, testerzy zewnętrzni co najmniej 5 – z poprzednich projektów pentestowych i red team (art. 7 ust. 1 lit. c-d RTS). Dodatkowo zespół red team musi łącznie wykazać udział w co najmniej 5 wcześniejszych zadaniach, a zespół TI w co najmniej 3.
Czy KNF zatwierdza dostawcę TLPT?
Tak – pośrednio. Control team przedstawia kierownikom testów dowody spełnienia wymogów przed zawarciem umowy, a jeśli organ ds. TLPT uzna, że dostawca ich nie spełnia, control team nie może podpisać umowy (art. 9 ust. 11 RTS). Organ nie prowadzi listy akredytowanych dostawców.
Ile kosztuje TLPT w Patronusec?
Wycena zależy od liczby funkcji krytycznych lub istotnych w zakresie, liczby scenariuszy, udziału dostawców ICT oraz tego, czy zamawiasz obie role (TI i red team), czy jedną. Po bezpłatnym readiness assessment przedstawiamy stałą wycenę z rozbiciem na fazy RTS; cena nie zmienia się w trakcie testu.
Jak rozpocząć współpracę z Patronusec przy TLPT?
Od bezpłatnej 30-minutowej konsultacji, na której weryfikujemy, czy Twoja instytucja podlega TLPT, i uzgadniamy zakres readiness assessment. W ciągu 10 dni roboczych otrzymujesz ocenę gotowości, rekomendację modelu zakupu i komplet dokumentów dowodowych naszych zespołów wymaganych przez art. 7 RTS.
Warto przeczytać
- Testy TLPT pod DORA – jak zacząć – kto podlega, role, harmonogram i terminy z RTS 2025/1190 (hub definicji TLPT).
- Jak wybrać firmę audytorską – uniwersalne kryteria weryfikacji dostawcy usług bezpieczeństwa, które uzupełniają wymogi specyficzne dla TLPT.
- Jak wybrać assessora PCI DSS (QSA) – analogiczny proces wyboru dostawcy regulowanego, przydatny dla instytucji płatniczych.
- Zarządzanie ryzykiem dostawców ICT – jak włączyć dostawców TLPT do rejestru umów ICT wymaganego przez DORA.
Wybór dostawcy TLPT – bezpłatna konsultacja
Patronusec realizuje testy TLPT w roli dostawcy analizy zagrożeń i testerów, z rozdzielonymi zespołami udokumentowanymi zgodnie z art. 7 RTS 2025/1190. Łączymy zespół pentesterów z certyfikatami OSCP, CREST i OSWE z doświadczeniem audytorskim (status QSA, audyty ISO 27001), pracując z instytucjami z sektora finansowego i fintech.
W bezpłatnej 30-minutowej konsultacji pomożemy Ci:
- zdecydować, czy wybrać jednego dostawcę dla obu ról, czy dwóch, i jak to uzasadnić przed KNF,
- przygotować listę 11 załączników dowodowych i pytań do zapytania ofertowego,
- ocenić otrzymane oferty pod kątem 7 sygnałów ostrzegawczych i wymogów art. 7 RTS,
- oszacować budżet TLPT z rozbiciem na fazy i zaplanować proces zakupowy w oknie 6 miesięcy.
Umów bezpłatną konsultację | Testy TLPT | Testy penetracyjne | Wdrożenie DORA | vCISO
