DORA: sietokykytestaus ja TLPT

Yhdessä lauseessa: DORA-asetuksen (EU) 2022/2554 24–27 artikla velvoittaa jokaisen finanssitoimijan ylläpitämään digitaalisen häiriönsietokyvyn testausohjelmaa, jossa kriittiset järjestelmät testataan vähintään kerran vuodessa, ja merkittävimpien toimijoiden on lisäksi tehtävä uhkaperusteista tunkeutumistestausta (TLPT) vähintään joka kolmas vuosi TIBER-EU-kehyksen mukaisesti.

Tämä artikkeli erottaa kaksi tasoa, jotka menevät suomalaisissa finanssialan projekteissa jatkuvasti sekaisin: perustason testausohjelma, joka koskee kaikkia, ja TLPT, joka koskee vain nimettyjä toimijoita. Lähtökohdat ja Suomen valvontakehys on kuvattu artikkelissa DORA Suomessa.

Keskeiset huomiot

• Kaikki finanssitoimijat: testausohjelma (24 art.) ja kriittisten järjestelmien testaus vähintään vuosittain (24 art. 6 kohta).
• Nimetyt toimijat: TLPT (26 art.) vähintään joka kolmas vuosi tuotantoympäristössä.
• TLPT:n laajuuteen kuuluvat kriittiset toiminnot ja niitä tukevat ICT-kolmannet osapuolet.
• Testaajille on omat kelpoisuusvaatimukset (27 art.); sisäisiä testaajia käytettäessä joka kolmas TLPT on tehtävä ulkoisella testaajalla.
• Suomessa toimivaltainen viranomainen on Finanssivalvonta; TIBER-EU:n kansallinen toteutus on TIBER-FI.

Kaksi testaustasoa: kuka tekee mitäkin?

	Perustason testausohjelma (24–25 art.)	Uhkaperusteinen TLPT (26–27 art.)
Ketä koskee	Kaikkia DORA:n soveltamisalan finanssitoimijoita	Toimivaltaisen viranomaisen nimeämiä toimijoita
Tiheys	Kriittiset ICT-järjestelmät ja -sovellukset vähintään vuosittain	Vähintään joka kolmas vuosi
Ympäristö	Testi- tai tuotantoympäristö	Tuotantoympäristö
Laajuus	ICT-järjestelmät ja -sovellukset	Kriittiset tai tärkeät toiminnot kokonaisuutena
Testaajat	Riippumattomat sisäiset tai ulkoiset	27 artiklan kelpoisuusehdot täyttävät
Lopputulos	Havainnot ja korjaussuunnitelma	Viranomaisen validoima todistus

Yksinkertaistettu suhteellisuusperiaate on tämä: perustaso on kaikille pakollinen minimi, TLPT on järjestelmäriskin perusteella kohdennettu lisävelvoite. Pieni suomalainen maksulaitos tekee ensimmäisen mutta ei toista, ellei Finanssivalvonta toisin päätä.

Perustason testausohjelma (24–25 artikla)

24 artikla velvoittaa perustamaan ja ylläpitämään riskiperusteista testausohjelmaa osana ICT-riskienhallinnan kehystä. Ohjelman on oltava riippumaton toteuttajastaan: testaajat eivät saa olla samoja henkilöitä, jotka ovat rakentaneet testattavan järjestelmän. Havainnot on priorisoitava, luokiteltava ja korjattava, ja korjausten toteutuminen on todennettava.

24 artiklan 6 kohta asettaa tiheysvaatimuksen: kaikki kriittisiä tai tärkeitä toimintoja tukevat ICT-järjestelmät ja -sovellukset on testattava vähintään kerran vuodessa. Tämä on kova määräaika, ei suositus.

25 artikla luettelee hyväksyttävät testityypit. Ohjelma on rakennettava niistä valikoiden riskiperusteisesti:

• haavoittuvuusarvioinnit ja -skannaukset
• avoimen lähdekoodin analyysit
• verkon turvallisuusarvioinnit
• puuteanalyysit
• fyysisen turvallisuuden katselmoinnit
• kyselylomakkeet ja skannausohjelmistot
• lähdekoodin katselmoinnit silloin kun se on toteutettavissa
• skenaariopohjaiset testit
• yhteensopivuus-, suorituskyky- ja päästä päähän -testit
• tunkeutumistestaus

Mikroyrityksille 25 artiklan 3 kohta sallii testauksen suunnittelun riskiperusteisesti yhdistettynä kehitys- ja toimintasykleihin. Muille tämä lievennys ei päde.

Testauksen tuloksilla on suora yhteys ICT-riskienhallinnan kehykseen: löydökset syötetään takaisin riskirekisteriin ja jatkuvuussuunnitteluun. Kehyksen rakenne on kuvattu artikkelissa DORA ja ICT-riskienhallinta, ja testattavien järjestelmien tunnistaminen nojaa samaan tietopohjaan kuin DORA-tietorekisteri.

Kenen on tehtävä TLPT?

26 artiklan 1 kohta rajaa TLPT-velvoitteen toimijoihin, jotka toimivaltainen viranomainen nimeää ottaen huomioon:

• toimijan koko ja liiketoiminta- sekä riskiprofiili;
• ICT-alan kokonaisriskiprofiili ja järjestelmäriski;
• toimijan kriittisten tai tärkeiden toimintojen luonne ja niiden vaikutus rahoitusjärjestelmään;
• toimijan ICT-valmiudet.

Käytännössä tämä tarkoittaa merkittäviä luottolaitoksia, keskeisiä maksujärjestelmiä, arvopaperikeskuksia ja keskusvastapuolia sekä muita järjestelmän kannalta olennaisia toimijoita. Suomessa nimeämisen tekee Finanssivalvonta. Mikroyritykset on 26 artiklan nojalla suljettu velvoitteen ulkopuolelle.

Nimetyn toimijan on tehtävä TLPT vähintään joka kolmas vuosi. Viranomainen voi kuitenkin muuttaa tiheyttä riskiprofiilin perusteella.

Mitä TLPT käytännössä sisältää?

TLPT on olennaisesti eri asia kuin tavallinen tunkeutumistestaus. Kolme eroa ratkaisee:

Uhkatiedustelu ohjaa skenaariot. Testi ei perustu geneeriseen tarkistuslistaan vaan todellisiin, juuri tähän toimijaan ja toimialaan kohdistuviin uhkatoimijoihin ja niiden todennettuihin hyökkäystapoihin. Uhkatiedusteluvaihe (threat intelligence) tuottaa skenaariot, joita punainen tiimi sitten toteuttaa.

Testi tehdään tuotannossa. 26 artiklan 2 kohta edellyttää testausta live-tuotantojärjestelmissä, koska testiympäristö ei kerro mitään todellisesta havaitsemis- ja reagointikyvystä. Tämä tekee TLPT:stä hallinnollisesti raskaan: riskienhallintasuunnitelma, valvottu toteutus ja johdon hyväksyntä ovat pakollisia.

Puolustava tiimi ei tiedä. Sinisen tiimin tietämättömyys on testin ydin. Mitataan havaitsemista, eskalointia ja reagointia, ei pelkkiä haavoittuvuuksia.

Laajuuteen kuuluvat kaikki kriittisiä tai tärkeitä toimintoja tukevat ICT-järjestelmät, prosessit ja teknologiat, myös silloin kun toiminto on ulkoistettu. 26 artiklan 3 kohta velvoittaa sisällyttämään testin piiriin ne ICT-kolmannet osapuolet, jotka tukevat kriittisiä toimintoja. Jos palveluntarjoaja katsoo osallistumisen haittaavan muille asiakkaille tarjottavien palvelujen laatua, se voi 26 artiklan 4 kohdan mukaisesti sopia yhteistestauksesta (pooled testing) useiden finanssitoimijoiden kanssa. Ulkoistettujen toimintojen kartoitus tulee suoraan tietorekisteristä – katso DORA-tietorekisteri ja sen malli.

Testin päätteeksi 26 artiklan 6 kohdan mukaisesti toimijalle annetaan todistus (attestation) siitä, että testi on tehty vaatimusten mukaisesti. Viranomainen validoi asiakirjat. Todistus on tunnustettava vastavuoroisesti muissa jäsenvaltioissa, mikä poistaa monikansallisilta ryhmiltä päällekkäisen testauksen.

TIBER-EU ja TIBER-FI

DORA:n TLPT-vaatimukset on tietoisesti rakennettu TIBER-EU-kehyksen päälle. TIBER-EU (Threat Intelligence-based Ethical Red Teaming) on Euroopan keskuspankin vuonna 2018 julkaisema kehys, jota kansalliset keskuspankit ja valvojat ovat toteuttaneet omissa maissaan. Suomessa toteutus tunnetaan nimellä TIBER-FI, ja siitä vastaavat Suomen Pankki ja Finanssivalvonta.

Käytännön merkitys on suoraviivainen: jos organisaatio on jo tehnyt TIBER-FI-testin, prosessi on olennaisilta osiltaan sama kuin DORA:n TLPT. Vaiheet – valmistelu, uhkatiedustelu, punaisen tiimin toteutus, sulkeminen ja korjaus – vastaavat toisiaan, ja TIBER-EU:ta on päivitetty vastaamaan DORA:n vaatimuksia. Yksityiskohdat TLPT:n toteutuksesta, testaajien pätevyydestä ja viranomaisyhteistyöstä on täsmennetty asetusta täydentävällä teknisellä sääntelystandardilla (RTS). EKP:n aineisto löytyy TIBER-EU:n sivulta ja asetuksen teksti EUR-Lexistä.

Testaajien vaatimukset (27 artikla)

27 artiklan 1 kohta asettaa testaajille tiukat ehdot. Testaajilla on oltava:

• korkein soveltuvuus ja maine;
• tekniset ja organisatoriset valmiudet sekä erityisosaaminen uhkatiedustelusta, tunkeutumistestauksesta ja punaisen tiimin toiminnasta;
• akkreditointielimen antama sertifiointi tai virallisiin toimintasääntöihin tai eettisiin kehyksiin sitoutuminen;
• riippumaton varmennus testin riskienhallinnasta;
• ammatillinen vastuuvakuutus, joka kattaa muun muassa väärinkäytöksen ja laiminlyönnin riskit.

Sisäisiä testaajia saa käyttää vain 27 artiklan 2 kohdan ehdoin: toimivaltainen viranomainen on hyväksynyt käytön, testaukseen on osoitettu riittävät resurssit, eturistiriidat on estetty koko testin elinkaaren ajan – ja ennen kaikkea joka kolmannessa testissä on käytettävä ulkoista testaajaa. Uhkatiedustelun toimittajan on aina oltava ulkoinen.

Suomen markkinoilla käytännön pullonkaula on tarjonta: pätevien punaisen tiimin toimijoiden määrä on rajallinen, ja TLPT-projektin läpimenoaika on kuukausia. Testaajan kilpailutus kannattaa aloittaa hyvissä ajoin ennen kolmen vuoden määräajan täyttymistä.

Miten testaus kytkeytyy muihin DORA-velvoitteisiin?

Testaus ei ole erillinen siilo. Testin löydökset syötetään ICT-riskienhallinnan kehykseen, jatkuvuus- ja palautumissuunnitelmiin sekä toimittajahallintaan. Testin aikana havaittu todellinen poikkeama laukaisee normaalin DORA-poikkeamailmoituksen. Laiminlyönnistä seuraava valvonta ja seuraamukset on käsitelty artikkelissa DORA-seuraamukset ja valvonta, ja pankkien näkökulma artikkelissa DORA pankeille.

Testausohjelman, löydösten ja korjausten dokumentointi on juuri sitä hallinnollista työtä, jota DORA-compliance-ohjelmistot hoitavat: testikalenteri, havaintorekisteri, korjausten seuranta ja auditointijälki samassa paikassa. Jos toimija kuuluu myös NIS2:n piiriin muun kuin finanssitoiminnan osalta, kannattaa tarkistaa päällekkäisyydet artikkelista DORA vs NIS2 ja rakentaa testaus yhteiseksi NIS2:n riskienhallinnan kanssa.

Usein kysytyt kysymykset

Onko TLPT pakollinen kaikille finanssitoimijoille?

Ei. TLPT koskee vain toimijoita, jotka toimivaltainen viranomainen nimeää 26 artiklan kriteerien perusteella. Suomessa nimeämisen tekee Finanssivalvonta. Sen sijaan 24 artiklan mukainen testausohjelma ja kriittisten järjestelmien vuosittainen testaus koskevat kaikkia soveltamisalan toimijoita.

Kuinka usein TLPT on tehtävä?

Vähintään joka kolmas vuosi. Toimivaltainen viranomainen voi muuttaa tiheyttä toimijan riskiprofiilin perusteella.

Voiko TLPT:n tehdä oma tietoturvatiimi?

Vain rajoitetusti. Sisäisten testaajien käyttö edellyttää viranomaisen hyväksyntää, riittäviä resursseja ja eturistiriitojen estämistä, ja joka kolmannessa testissä on käytettävä ulkoista testaajaa. Uhkatiedustelun tarjoajan on aina oltava ulkopuolinen.

Korvaako TIBER-FI-testi DORA:n TLPT-vaatimuksen?

Kehykset on yhteensovitettu, ja TIBER-EU:n mukainen testi vastaa rakenteeltaan DORA:n TLPT:tä. Ratkaisevaa on, että testi täyttää 26 ja 27 artiklan vaatimukset ja että toimivaltainen viranomainen validoi sen todistuksella. Sovi laajuudesta Finanssivalvonnan kanssa etukäteen.

Riittääkö vuosittainen haavoittuvuusskannaus 24 artiklan täyttämiseen?

Ei. 25 artikla edellyttää riskiperusteista valikoimaa testityyppejä. Pelkkä skannaus ei kata skenaariopohjaisia testejä, tunkeutumistestausta eikä palautumisen testaamista, joita kriittisten toimintojen osalta odotetaan.

Yhteenveto

DORA:n testausvelvoite on kaksitasoinen: kaikille pakollinen vuosittainen testausohjelma ja nimetyille toimijoille kolmen vuoden välein toistuva uhkaperusteinen TLPT tuotantoympäristössä. Ensimmäinen on hallittavissa omalla organisaatiolla, toinen vaatii ulkoisia pätevöityneitä testaajia, kuukausien valmistelun ja Finanssivalvonnan validoinnin. Aloita tunnistamalla kriittisiä toimintoja tukevat järjestelmät ja ulkoistetut palvelut – ilman sitä listaa kumpaakaan tasoa ei voi rajata oikein. Kokonaiskuva Suomen valvontakehyksestä: DORA Suomessa.

Viimeksi tarkistettu: heinäkuu 2026.