Requisitos de pruebas de penetración fintech | Alcance de DORA y PCI DSS

Qué implica esto para su prueba

El término fintech no determina si resulta aplicable la normativa. Identifique la entidad jurídica y la actividad regulada, delimite por separado los entornos de tarjetas de pago y encargue la evaluación que responda al requisito pertinente. Las pruebas técnicas son una fuente de evidencias, no una certificación de cumplimiento.

La aplicabilidad prima sobre la denominación

«Fintech» es una descripción empresarial, no una categoría regulatoria única. La aplicabilidad de DORA depende de la entidad jurídica y de la actividad regulada; la designación para TLPT es una cuestión aparte. El alcance de PCI DSS depende de los datos de tarjetas de pago y de los sistemas correspondientes. Las pruebas de seguridad de productos deben planificarse junto con estas obligaciones, el RGPD y los requisitos de los clientes.

Registre la entidad jurídica, los servicios, las jurisdicciones, las categorías de datos y los compromisos contractuales. Confirme el texto oficial vigente y las directrices de las autoridades con el equipo jurídico o de cumplimiento responsable. Una misma tecnología puede dar soporte a organizaciones con obligaciones diferentes.

Qué puede aportar una prueba técnica

Las observaciones dentro del alcance acordado pueden respaldar decisiones sobre riesgos de seguridad y demostrar si los controles seleccionados funcionan según lo previsto. Las evidencias deben incluir fechas, sistemas, identidades y limitaciones. Un registro de hallazgos ayuda a vincular las medidas correctivas con responsables concretos; no evalúa todas las obligaciones de gobernanza, contractuales u organizativas.

Utilice las fuentes primarias pertinentes

• DORA: Reglamento (UE) 2022/2554
• Normas técnicas de regulación de TLPT de DORA: Reglamento (UE) 2025/1190
• PCI SSC: normas oficiales y biblioteca de documentos
• RGPD: Reglamento (UE) 2016/679
• OWASP Top 10 de seguridad de API
• NIST SP 800-115: pruebas y evaluaciones de seguridad

Las pruebas generales de DORA y el TLPT reglamentario son distintos. El alcance de PCI DSS y las expectativas de evaluación deben confirmarse con el programa o evaluador responsable. Una prueba de penetración genérica nunca debe presentarse como una certificación completa de cumplimiento.

Explicitar los límites del aseguramiento

Indique qué se probó, qué no se probó y qué se basó en un punto de partida proporcionado. Si se requiere coordinación con una autoridad, una evaluación independiente o una atestación formal, trátela como un proceso propio. El informe de muestra ilustra el formato con fines educativos y no demuestra que una organización real cumpla los requisitos.