TIBER-NL en TLPT: red teaming voor de financiële sector

Wat is TIBER-NL?

TIBER-NL is een raamwerk voor een test waarin een red team een aanvaller nabootst op de productiesystemen van een financiële instelling. Het scenario komt uit dreigingsinformatie over de aanvallers die voor die instelling relevant zijn. Het werk wordt gedaan door gespecialiseerde externe testers, zoals een red team specialist. Het doel is de cyberweerbaarheid van de instelling te toetsen, niet een lijst kwetsbaarheden te maken.

DNB presenteerde het raamwerk in 2016 als een baanbrekend project om de cyberweerbaarheid in de financiële sector te testen. In 2018 nam de ECB het over als basis voor TIBER-EU, het Europese raamwerk dat de ECB en de nationale centrale banken van de EU samen maakten. De ECB Governing Council keurde het goed en in mei 2018 werd het gepubliceerd. In 2024 is het bijgewerkt om volledig aan te sluiten bij de DORA-standaarden voor threat-led penetration testing, en het raamwerk op de ECB-pagina draagt de datum januari 2025. Lees voor de herkomst de ECB-pagina over TIBER-EU en de DNB-pagina over begeleiding bij cyberweerbaarheidstesten.

Deelname aan een TIBER-test is volgens DNB vrijwillig. Volgens het raamwerk is de uitkomst geen geslaagd of gezakt. Een test laat zien waar een organisatie sterk is en waar de zwakke plekken zitten, zodat ze kan leren en doorgroeien naar een hoger niveau van cyberweerbaarheid. Een interval van drie jaar tussen tests is de norm.

Hoe verloopt een TIBER-test?

Een TIBER-test kent drie verplichte fasen: de voorbereiding, de testfase en de afsluiting. De tabel zet per fase de stappen en de termijnen naast elkaar, voor zover het raamwerk die noemt. De actieve test zelf is een vorm van security testing, met als verschil dat het scenario uit dreigingsinformatie komt.

De voorbereiding begint met een schriftelijke kennisgeving en duurt maximaal zes maanden vanaf de startdatum die daarin staat. Vóór deze fase kan een Generic Threat Landscape (GTL) beschikbaar zijn.

In de testfase verzamelt de threat intelligence-partij dreigingsinformatie en maakt ze scenario's. Daarna volgen het Targeted Threat Intelligence-rapport (TTI-rapport) en het red team-testplan. Voor de actieve red team-test moeten minimaal 12 weken worden uitgetrokken. Zo kunnen de testers alle aanvalsfasen doorlopen en de flags bereiken.

De test vindt plaats op echte productiesystemen, zodat je ziet hoe de verdediging reageert op de systemen die de instelling in het echt gebruikt. Slechts een klein groepje weet ervan. Het blue team moet realistisch reageren, dus het control team, de enige groep die van de test weet, houdt hem geheim voor de rest van de organisatie.

In de afsluiting rapporteren het red team en het blue team. Daarna volgen een replay, purple teaming, 360-graden feedback en rapportage. Bij de replay en purple teaming delen het blue team en de testers wat ze zagen en deden. Dat gaat over de reactie op een aanval, het terrein van incident response.

Het slot is de attestatie. Aan het einde van elke test ondertekent de testmanager een attestatie die bevestigt dat de test is uitgevoerd volgens de verplichte eisen en de geest van het TIBER-EU-raamwerk en het nationale of Europese implementatiedocument. Die attestatie is de basis voor wederzijdse erkenning. De volledige tekst van het raamwerk staat op de ECB-site als PDF.

Welke rollen zijn er bij een TIBER-test?

De ECB onderscheidt vijf rollen. Daarnaast ondersteunt het Test Cyber Team van DNB (TCT-DNB) de sector. Hieronder staat per rol wat het team doet en welke functietitel erbij past.

• Blue team. De mensen binnen de instelling die getest wordt. Zij verdedigen de systemen en reageren op meldingen, en ze weten niet dat het een test is. Het past bij de threat hunter, de SOC-analist en de incident responder, en ook bij detection engineers. Wat een SOC-analist dagelijks doet, staat in de carrièregids over SOC-analisten. Het blue team werkt binnen het security operations-vakgebied.
• Threat intelligence provider. Het team dat mogelijke dreigingen onderzoekt en verkenning uitvoert op de instelling. In de testfase levert het de dreigingsinformatie en de scenario's. Een passende functietitel is threat intelligence analyst.
• Red team testers. Het team dat de gesimuleerde aanval uitvoert door te proberen de kritieke functies van de instelling te compromitteren. Zij voeren de scenario's uit en leggen alles vast. Het past bij de red team specialist, de penetration tester en de ethical hacker.
• Control team. Een klein team binnen de getoetste instelling. De leden zijn de enigen die weten dat er een test plaatsvindt, en ze bewaken de veiligheid en voortgang van de test.
• TIBER cyber team. Het team bij de autoriteit dat toezicht houdt op de test.
• TCT-DNB. Het Test Cyber Team van DNB maakt een Generic Threat Landscape en bewaakt of tests aan de eisen van het raamwerk voldoen. Daarna geeft het de formele bevestiging, de attestatie, aan de instelling. De tests zelf worden uitgevoerd door gespecialiseerde externe partijen in samenwerking met financiële instellingen.

De testmanager bewaakt dat de eisen worden gevolgd. Wie in dit vak werkt, ziet dat de procedurele kant, met het scopedocument, de risicobeoordeling en de rapporten, minstens zo belangrijk is als de technische kant.

Wat is TLPT onder DORA?

DORA is de digitale operationele weerbaarheidsverordening voor de financiële sector, Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022. De verordening is van toepassing met ingang van 17 januari 2025, zie de tekst op EUR-Lex. Zie ook de vacatures met DORA als vaardigheid.

TLPT, threat-led penetration testing, staat in artikel 26. Aangewezen financiële entiteiten voeren ten minste om de drie jaar een TLPT uit. Dat geldt niet voor micro-ondernemingen en niet voor de entiteiten die artikel 16 lid 1, eerste alinea, noemt. De bevoegde autoriteit kan op basis van het risicoprofiel en de operationele omstandigheden vragen die frequentie te verlagen of te verhogen.

Artikel 26 lid 2 bepaalt de scope. Een TLPT beslaat meerdere of alle kritieke of belangrijke functies van de entiteit en draait op systemen die echte productiediensten leveren ter ondersteuning van die functies. De financiële entiteit bepaalt voor welke functies TLPT nodig is, en de bevoegde autoriteit valideert het resultaat.

Artikel 26 lid 8 regelt het aanwijzen. De bevoegde autoriteiten bepalen welke entiteiten TLPT moeten doen, op basis van de mate waarin de diensten de financiële sector raken, mogelijke zorgen over financiële stabiliteit (waaronder het systemische karakter van de entiteit) en het specifieke ICT-risicoprofiel. De details staan in een gedelegeerde verordening, zie hieronder. Dat geldt ook voor financiële entiteiten buiten de banksector, zoals in verzekeringen en pensioenen: of een entiteit TLPT moet doen, bepaalt de bevoegde autoriteit.

Artikel 26 lid 7 regelt het attest. De autoriteit geeft de financiële entiteit een bevestiging dat de test in overeenstemming met de vereisten is verricht, zodat bevoegde autoriteiten TLPT's onderling kunnen erkennen. De entiteit blijft zelf volledig verantwoordelijk voor de gevolgen van de tests.

De Gedelegeerde Verordening (EU) 2025/1190 van 13 februari 2025 vult DORA aan met technische normen voor TLPT. Ze gaat over de eisen aan interne testers, de scope, de testmethodologie per fase, de resultaten, de afsluiting en remediatie, en de samenwerking met toezichthouders. Ze is op 18 juni 2025 in het Publicatieblad bekendgemaakt en is opgesteld volgens het TIBER-EU Framework.

Wat is het verschil tussen TIBER en TLPT?

TIBER is vrijwillig, en TLPT is verplicht voor entiteiten die aan de DORA-criteria voldoen. Vanaf 2025 is testen dus in sommige gevallen niet meer vrijwillig. In dat geval zijn de inhoud en aanpak van een TIBER-test identiek aan een TLPT.

De gedelegeerde verordening is opgesteld volgens het TIBER-EU Framework. Wie een test onder een nationale of Europese uitvoering van TIBER-EU afrondt, is volgens het raamwerk DORA TLPT-conform, mits de formele TLPT-eisen van de bevoegde autoriteit zijn nageleefd. Volgens de ECB kan het raamwerk dienen als handboek of set richtlijnen voor het uitvoeren van een DORA TLPT.

Naast TIBER en TLPT bestaat Advanced Red Teaming (ART). DNB introduceerde dat in 2024 als modulair raamwerk. Omvang en frequentie van de test worden afgestemd op de cyberweerbaarheid van de organisatie, en het is geschikt voor kleinere financiële instellingen. Het overzicht staat op de DNB-pagina in het Engels.

Wat eist DORA van de testers?

Artikel 27 lid 1 stelt eisen aan de testers. Een financiële entiteit gebruikt voor TLPT alleen testers die in de hoogste mate geschikt en deugdelijk zijn. Ze hebben technische en organisatorische capaciteiten en specifieke deskundigheid op het gebied van threat intelligence, penetratietests en red-teamtests. Ze zijn gecertificeerd door een accrediteringsinstantie in een lidstaat of hebben formele gedragscodes of ethische kaders onderschreven. Ook leveren ze een onafhankelijke waarborg of auditverslag over het beheer van de risico's van TLPT, en ze zijn volledig gedekt door een beroepsaansprakelijkheidsverzekering.

Interne testers kunnen alleen als de bevoegde autoriteit het gebruik goedkeurt. Belangenconflicten moeten worden voorkomen, en de verstrekker van dreigingsinformatie moet extern zijn. Wie interne testers gebruikt, zet elke derde test externe testers in. Kredietinstellingen die als belangrijk zijn aangemerkt, zetten alleen externe testers in.

De gedelegeerde verordening schrijft voor externe testers een minimale bezetting voor. Het red team heeft ten minste één manager met ten minste vijf jaar ervaring in penetratietests en red-teamtests, en ten minste twee andere testers met elk ten minste twee jaar ervaring. De threat intelligence-aanbieder heeft ten minste één manager met vijf jaar ervaring met dreigingsinformatie en één ander lid met twee jaar ervaring. De actieve red team-test duurt ten minste 12 weken, en de testers rapporteren ten minste wekelijks over de voortgang.

Voor wie in dit vak wil werken, laat dit zien dat ervaring, onafhankelijkheid en aansprakelijkheid in de regels zelf staan. De ervaringseisen gelden voor externe red teams in een TLPT-opdracht en per team, niet per persoon.

Welke rollen werken aan red teaming in de financiële sector?

Het werk loopt van de dreigingsinformatie tot de replay, en elke fase vraagt om een andere rol. Hieronder staat per functie waar die past.

De red team specialist voert de scenario's uit, legt alles vast en werkt vooral in de actieve test. Op de werkgeverpagina voor red team specialists zie je welke werkgevers deze functie hebben.

De penetration tester heeft technische kennis die overlapt met die van de red team testers. Het verschil met een standaard penetratietest zit in het scenario, dat uit dreigingsinformatie komt en dat de kritieke functies moet raken in plaats van een lijst kwetsbaarheden op te leveren.

De ethical hacker werkt met aanvalstechnieken en tooling, net als de red team testers. Bij een TLPT gaat het om het volgen van een scenario op echte systemen, met de afspraken en de discretie die daarbij horen.

De threat hunter zit aan de blue-team-kant. Deze functie past bij het zoeken naar aanvallers die de verdediging al zijn gepasseerd. In de replay en purple teaming komt de kennis van het blue team samen met wat de testers deden.

SOC-analisten in het blue team beoordelen meldingen en schalen ze op. Hun werk staat in de carrièregids over SOC-analisten. Ook de threat intelligence analyst en de detection engineer werken aan dezelfde test, elk in een eigen fase.

Vaardigheden die erbij horen zijn aanvalstechnieken en tooling, begrip van dreigingsactoren, rapporteren, discretie en risicobewustzijn bij werken op productiesystemen. MITRE ATT&CK is een gangbaar referentiekader om dreigingsactoren en hun technieken te beschrijven.

Een mogelijke route om in te stromen is beginnen met penetratietesten of detectiewerk, ervaring opbouwen en kijken welke certificeringen in vacatures worden genoemd. De artikelen over OSCP en CEH geven een overzicht van twee technische certificeringen.

Een TLPT is projectmatig. Bij sommige organisaties worden de testers en de dreigingsinformatie ingekocht bij externe partijen. Het werk zit dan bij adviesbureaus en gespecialiseerde bedrijven, bij financiële instellingen (control team en blue team) en bij toezichthouders. Meer over carrièrepaden en kennis staat in de kennisbank.