Behöver vi TLPT eller räcker ett vanligt penetrationstest?

Brevet avgör, inte din riskanalys

Delegerad förordning (EU) 2025/1190 tillämpas i hela EU sedan den 8 juli 2025, och Riksbankens avgiftsföreskrifter för hotbildsstyrda penetrationstester trädde i kraft den 1 januari 2026. Frågan i rummet ställs oftast enklare än så. Behöver vi TLPT, eller räcker det med ett penetrationstest som redan ligger i budgeten? Sitter du på risk eller regelefterlevnad i en svensk bank, ett försäkringsbolag, ett betalningsinstitut eller en marknadsinfrastruktur är svaret inte ditt att fatta. Det kommer skriftligt från Finansinspektionen, och innan dess omfattas du inte.

Sverige har sedan 2019 samordnat hotbildsstyrda tester genom TIBER-SE, och företagen anslöt sig genom avtal med Riksbanken. Det programmet formar fortfarande hur ett test går till. Det som har ändrats är vem som beslutar om att testerna överhuvudtaget ska genomföras. Enligt artikel 26.8 pekar den behöriga myndigheten ut de entiteter som ska testa, och kriterierna bakom beslutet är numera nedskrivna och kvantitativa.

Vad är en hotbildsstyrd penetrationstestning?

Hotbildsstyrd penetrationstestning är en underrättelsedriven red team-övning mot de produktionssystem som bär en entitets kritiska eller viktiga funktioner. En leverantör av threat intelligence bygger scenarier utifrån de angripare som realistiskt skulle rikta sig mot företaget, testarna genomför dem dolt och de som försvarar miljön får inte veta att angreppet är ett test.

Regelverket innehåller tre datum som är viktiga att hålla isär. Kommissionen antog delegerad förordning (EU) 2025/1190 den 13 februari 2025, den publicerades i Europeiska unionens officiella tidning den 18 juni 2025 och den blev direkt tillämplig den 8 juli 2025. Skäl 1 anger att förordningen är utformad enligt TIBER-EU och speglar ramverkets metodik och struktur.

Europeiska centralbanken uppdaterade TIBER-EU den 11 februari 2025 för att matcha, gjorde purple teaming obligatoriskt och bytte namn på white team till kontrollteam.

Vem måste göra TLPT?

Artikel 2 i den delegerade förordningen arbetar i två lager. Det första är en bedömning som varje TLPT-myndighet gör av entitetens påverkan och systemvikt och av dess IKT-riskprofil, med storlek, sammanlänkning, kritikalitet, utbytbarhet, affärsmodellens komplexitet och mognaden i detektering och respons. Det andra är en lista med siffror kopplade till sig, återgiven nedan.

Listan är inte hela svaret. Skäl 2 låter en myndighet frita en entitet som uppfyller de kvantitativa kriterierna när riskprofilen inte motiverar ett test. Skäl 3 låter en myndighet dra in en typ som listan aldrig nämner och pekar ut leverantörer av kryptotillgångstjänster som exempel. Mikroföretag och entiteter med det förenklade IKT-ramverket i artikel 16.1 faller helt utanför artikel 26, och ingen kan välja in sig.

Vilka trösklarna pekar ut

• Kreditinstitut : Globalt eller andra systemviktiga institut och entiteter som ingår i ett sådant
• Betalningsinstitut : Över 150 miljarder euro i betalningstransaktioner vart och ett av de två föregående kalenderåren
• E-penninginstitut : Över 150 miljarder euro i betalningar eller över 40 miljarder euro i utestående elektroniska pengar
• Marknadsinfrastruktur : Värdepapperscentraler och centrala motparter, utpekade rakt av
• Handelsplatser : Högst nationell omsättningsandel eller en unionsandel över 5 %
• Försäkringsföretag : Ett test i tre delar på premier, försäkringstekniska avsättningar och tillgångar, sedan ett högre urvalstest

Så delar Sverige upp arbetet mellan två myndigheter

Enligt 2 kap. 1 § lagen (2024:1278) beslutar Finansinspektionen vilka entiteter som ska genomföra hotbildsstyrd penetrationstestning och hur ofta, efter att Riksbanken har hörts. Enligt 2 kap. 2 § övervakar och samordnar Riksbanken testerna, validerar vilka kritiska eller viktiga funktioner som ligger inom omfattningen, säkerställer att testaren uppfyller artikel 27 och utfärdar intyget. Intyget är det som bär ömsesidigt erkännande inom EU, och ingen annan svensk myndighet kan utfärda det.

Skalan är liten. När Riksbanken beslutade sina avgiftsföreskrifter den 3 december 2025 räknade man med mellan tio och tolv företag vid ikraftträdandet den 1 januari 2026. En tidigare lagstiftningspromemoria satte den yttre uppskattningen till ett tjugotal. Ingen av siffrorna är en publicerad utpekandelista, och den enda underrättelse som binder dig är den som är ställd till dig.

TLPT är vad, TIBER-SE är hur

Riksbanken drar gränsen i just de termerna. TLPT beskriver vad som ska göras och TIBER-SE beskriver hur det görs. Ramverket uppdateras just nu, så utgå från de aktuella dokumenten i stället för en sparad kopia.

TLPT jämfört med ett vanligt penetrationstest

Skäl 12 i den delegerade förordningen fångar skillnaden bättre än de flesta leverantörsjämförelser. Ett konventionellt penetrationstest ger en detaljerad och användbar bild av tekniska svagheter och konfigurationsbrister, ofta i ett enskilt system eller en enskild miljö isolerat. Det prövar inte hela scenariot i ett riktat angrepp mot en hel entitet, inklusive människorna, processerna och tekniken.

Tre saker följer av det. Scenarierna kommer från underrättelser om angripare som realistiskt skulle rikta sig mot dig, inte från en checklista. Övningen körs dolt mot produktion, så din egen detektering och respons är en del av det som mäts. Och resultatet når en tillsynsmyndighet, vilket en vanlig penetrationstestrapport inte gör.

Inget av detta ersätter grundnivån. Artikel 24.6 kräver att varje finansiell entitet utom mikroföretag säkerställer att lämpliga tester genomförs minst en gång om året på alla IKT-system och applikationer som bär kritiska eller viktiga funktioner.

Vad händer efter underrättelsen

Skyldigheten börjar när TLPT-myndigheten underrättar dig, och varje tidsfrist räknas från det datumet i stället för från din planeringscykel.

Du har tre månader på dig att lämna in inledande testuppgifter, som täcker projektdirektivet och den övergripande planen, kontrollteamets ledare, om du avser att använda interna eller externa testare, kommunikationskanalerna och kodnamnet. Du har sex månader på dig att lämna in omfattningsdokumentet, och din styrelse ska godkänna det.

Sedan själva övningen. Kontrollteamets ledare väljer minst tre scenarier, varav högst ett får vara icke hotbildsstyrt, och testarna rapporterar till kontrollteamet och testledarna minst varje vecka. Avslutningsfasen har en egen klocka, och det är den del de flesta företag underskattar.

Klockan från underrättelse till intyg

Riskerna som själva testet skapar

Skäl 11 är tydlig med vilka risker som kan uppstå. Kritiska funktioner testas i en produktionsmiljö, vilket kan leda till överbelastningsincidenter, oväntade systemkrascher, skador på kritiska produktionssystem och förlust, förändring eller röjande av data.

Förordningen svarar med kontroll snarare än försiktighet. Kännedomen om testet begränsas till kontrollteamet, styrelsen, testarna, leverantören av threat intelligence samt den berörda myndigheten. Testet genomförs under ett kodnamn. Om testarna inte kan tar sig vidare på egen hand kan kontrollteamet ge dem ett informations-eller åtkomstlyft, vilket stäms av med testledarna.

Blir risken verklig kan kontrollteamets ledare pausa testet eller, med myndighetens godkännande, fortsätta det som en begränsad purple teaming-övning. Den tiden räknas ändå in i de tolv veckorna.

Vem får utföra testet

Artikel 27 i DORA ställer fem villkor. Testarna ska vara av högsta lämplighet och anseende, ha teknisk och organisatorisk förmåga samt särskild sakkunskap inom threat intelligence och inom penetrationstestning och red team-testning, vara certifierade av ett ackrediteringsorgan i en medlemsstat eller ansluta sig till formella uppförandekoder eller etiska ramverk, lämna en oberoende försäkran eller revisionsrapport om hur de hanterar riskerna i arbetet och ha en yrkesansvarsförsäkring som bland annat täcker risker för del och försummelse.

Artikel 7 i den delegerade förordningen lägger till mer detaljerade krav på externa testare och threat intelligence-leverantörer. Leverantören av threat intelligence lämnar minst tre referenser och externa testare minst fem. Red teamet behöver en ansvarig med minst fem års erfarenhet av penetrationstestning och red team-testning plus ytterligare två testare med minst två år vardera.

Interna testare är tillåtna, med villkor. Du behöver en dokumenterad policy, en testledare och minst två ytterligare medlemmar, samtliga anställda de senaste tolv månaderna. Leverantören av threat intelligence ska alltid vara extern, och vart tredje test ska använda externa testare.

Ingen certifiering namnges i artikel 27

Artikel 27.1 c namnger ingen certifiering. En testare som är certifierad av ett ackrediteringsorgan i en medlemsstat uppfyller villkoret, och det gör även en testare som ansluter sig till formella uppförandekoder eller etiska ramverk. En CREST-ackreditering är därför inte uttryckligen ett krav enligt DORA i sig, utan kan vara ett sätt att uppfylla kravet beroende på hur certifieringen eller ackrediteringen uppfyller bestämmelsen.

Vad det kostar att missa

En brist i artikel 26 kan få konsekvenser för både efterlevnaden och tillsynen. Det som märks först är intyget, eftersom ett regelrätt test krävs för att kunna visa att TLPT-kraven har uppfyllts. Utan ett korrekt genomfört test och intyg saknas dokumentation som kan styrka efterlevnaden inför tillsynsmyndigheten.

Administrativa sanktioner regleras i nationell rätt. I Sverige kan överträdelser av DORA:s krav leda till tillsynsåtgärder och sanktioner, där omfattningen beror på vilken typ av finansiell entitet det gäller och vilken lagstiftning som är tillämplig.

Så håller du dig redo mellan testerna

Vart tredje år är takten, inte arbetsmängden. Kartlägg dina kritiska eller viktiga funktioner och IKT-systemen bakom dem nu, eftersom omfattningsdokumentet ska lämnas till testledarna inom sex månader från det att den finansiella entiteten har fått underrättelsen från TLPT-myndigeten. Ta med tredjeparts- och koncerninterna leverantörer, för den delegerade förordningen ställer krav på hur kritiska eller viktiga funktioner ska identifieras och omfattas av testets scope.

Håll kontrollteamet litet och seniort, lett av någon med mandat att driva testet. Testa din detektering, inte bara din perimeter, för blue team-rapporten är en del av det material som ingår i TLPT-resultatet.

Svaret på frågan

Har ingen underrättelse kommit från TLPT-myndigheten omfattas du inte av det särskilda TLPT-förfarandet enligt artikel 26. Det innebär dock inte att du saknar testkrav: enligt 24.6 ska finansiella entiteter, med undantag för microföretag, genomföra lämpliga tester minst årligen på IKT-system som stöder kritiska eller viktiga funktioner.

Har underrättelsen kommit ska den finansiella entiteten inom tre månader lämna den informationen som anges i artikel 9.2 till testledarna. Omfattningsdokumentet ska lämnas inom sex månader från mottagandet av underrättelsen.

Vanliga frågor

Behöver vi TLPT eller räcker ett vanligt penetrationstest?

Bara om din behöriga myndighet har pekat ut dig enligt artikel 26.8 i DORA. Utpekade entiteter testar minst vart tredje år. Alla andra utom mikroföretag har kvar programmet i artikel 24.6, alltså lämpliga tester minst en gång om året på de system som bär kritiska eller viktiga funktioner.

Vem beslutar vilka som ska göra TLPT i Sverige?

Finansinspektionen. Enligt 2 kap. 1 § lagen (2024:1278) beslutar myndigheten vilka entiteter som ska testa och hur ofta, efter att Riksbanken har hörts. Riksbanken övervakar och samordnar sedan testet, validerar omfattningen och testaren och utfärdar det intyg som artikel 26.7 kräver.

Räcker en CREST-ackreditering för artikel 27 i DORA?

Den kan räcka, men DORA kräver den inte. Artikel 27.1 c begär att testare är certifierade av ett ackrediteringsorgan i en medlemsstat eller ansluter sig till formella uppförandekoder eller etiska ramverk. Ingen certifiering pekas ut, och de fyra övriga villkoren gäller oavsett vilken väg leverantören tar.

Får vi använda egna interna testare för TLPT?

Ja, med villkor. Du behöver en dokumenterad policy, en testledare och minst två ytterligare medlemmar, samtliga anställda de senaste tolv månaderna. Leverantören av threat intelligence ska alltid vara extern. Vart tredje test ska använda externa testare, och ett blandat team räknas som internt.

eBuilder Security arbetar med finansiella entiteter och deras leverantörer inom Penetration Testing och CISO Advisory.

This post is also available in: