Requisiti VAPT in India: RBI, SEBI, IRDAI e CERT-In (2026)

Il 31 luglio 2026 RBI ha emanato le Commercial Banks – Cybersecurity, Technology: Risk, Resilience and Assurance Framework Directions, 2026, in vigore dall'emanazione. Per le banche commerciali abrogano il Cyber Security Framework del 2016 e la Direzione sulla IT governance del 2023 (par. 230). Le regole su VA/PT:

• Par. 149. Le banche “shall conduct VA and PT exercises periodically for all the critical and internet facing systems”.
• Par. 150. Test lungo tutto il ciclo di vita: prima e dopo la messa in produzione e dopo ogni modifica.
• Par. 151. Per i sistemi critici e per quelli in DMZ rivolti ai clienti, vulnerability assessment almeno ogni sei mesi e penetration test almeno ogni 12 mesi.
• Par. 153-154. Finding risolti in tempi definiti, con un approccio documentato basato su CVSS che copre anche il cloud.
• Par. 155. I tester devono essere indipendenti.
• Par. 161. Lo stato di chiusura dei finding VA/PT va all'IT Strategy Committee e all'IS Committee almeno ogni trimestre.
• Par. 162. Le banche “may” (possono) svolgere esercitazioni di red team.
• Par. 182. Incidenti cyber segnalati entro sei ore dalla rilevazione sulla piattaforma DAKSH di RBI, e a CERT-In.

Le Direzioni non richiedono un auditor accreditato CERT-In per il VAPT bancario; quando lo si usa, il par. 159 rimanda alle linee guida di audit CERT-In. NBFC, società di informazione creditizia e istituzioni finanziarie nazionali avevano la stessa regola dei sei e 12 mesi nella Direzione del 2023 (par. 26): verifica con la compliance se per la tua categoria vale ora una direzione più recente.

Il Cybersecurity and Cyber Resilience Framework (CSCRF) di SEBI, circolare del 20 agosto 2024, divide i soggetti vigilati in cinque categorie, dalle infrastrutture di mercato ai soggetti in autocertificazione, e ha sostituito le vecchie circolari di settore. Per la maggior parte dei soggetti la scadenza è stata prorogata al 31 agosto 2025.

• Chi testa. “Unless otherwise specified, all audits mentioned in CSCRF have to be conducted by CERT-In empanelled IS auditing organization.” Anche i soggetti in autocertificazione devono far svolgere il VAPT da un'organizzazione accreditata.
• Frequenza (tabella 18). Soggetti designati sistemi protetti o infrastruttura critica: almeno due volte l'anno, un ciclo VAPT completo per ogni semestre dell'esercizio. Tutti gli altri: almeno una volta l'anno, a partire dal primo trimestre.
• Scadenze (tabella 19). Report entro un mese dalla fine del VAPT, dopo l'approvazione dell'IT Committee; finding chiusi entro tre mesi dal report; rivalidazione entro cinque mesi dal VAPT. I finding ancora aperti dopo tre mesi richiedono l'approvazione dell'IT Committee e vanno chiusi prima del ciclo successivo.
• Nuovi sistemi. VAPT prima della messa in esercizio.
• Cosa va a SEBI. Solo sintesi: i chiarimenti di agosto 2025 dicono che i soggetti non devono inviare le vulnerabilità esplicite se non richieste.

Le IRDAI Information and Cyber Security Guidelines, 2026 (circolare del 6 aprile 2026) hanno sostituito le linee guida del 2023 per assicuratori, filiali di riassicuratori esteri, intermediari e Insurance Information Bureau, con conformità dall'esercizio in corso. La policy 2.16 prevede:

• VAPT di applicazioni e infrastrutture interne critiche almeno una volta l'anno, da un auditor accreditato CERT-In.
• Vulnerability assessment di tutti gli asset esposti a internet almeno ogni sei mesi, e penetration test esterni grey o white box ogni sei mesi, da un auditor accreditato CERT-In.
• Lacune ad alto rischio risolte subito e mai oltre 30 giorni, seguite da una rivalidazione obbligatoria; tutte le lacune chiuse entro due mesi.

La policy 2.6 aggiunge esercitazioni periodiche di red team. Le frequenze VA/PT sono scritte come “should”, la maggior parte delle altre voci come “shall”.

Le Direzioni CERT-In del 28 aprile 2022 (ai sensi della sezione 70B(6) dell'IT Act) si applicano a fornitori di servizi, intermediari, data center, società e amministrazioni pubbliche:

• Incidenti delle categorie elencate, tra cui la scansione mirata di sistemi critici, segnalati a CERT-In entro 6 ore da quando se ne viene a conoscenza.
• Log di tutti i sistemi ICT conservati in modo sicuro per 180 giorni, nella giurisdizione indiana.
• Orologi sincronizzati sui server NTP nazionali e un referente designato.

Le Direzioni non impongono VAPT. Il VAPT arriva dalle Comprehensive Cyber Security Audit Policy Guidelines di CERT-In (versione 1.0, 25 luglio 2025), vincolanti per auditor accreditati e organizzazioni auditate: un audit “should be conducted at least once in a year”, le autorità di settore possono aumentare la frequenza, una modifica rilevante “must” essere sottoposta ad audit prima dell'attuazione, gli audit di follow-up verificano le chiusure e l'auditor trasmette le informazioni a CERT-In entro cinque giorni.

Il Digital Personal Data Protection Act, 2023 impone a ogni titolare di adottare “reasonable security safeguards to prevent personal data breach” (sezione 8(5)), con sanzioni fino a 250 crore di rupie. I titolari significativi devono nominare un auditor dei dati indipendente e svolgere audit periodici (sezione 10).

Le DPDP Rules, 2025 (13 novembre 2025) elencano le misure minime nella regola 6: cifratura o mascheramento, controllo degli accessi, registrazione e monitoraggio degli accessi, backup, conservazione dei log per un anno e contratti con i responsabili. Le violazioni vanno notificate al Data Protection Board entro 72 ore (regola 7), e i titolari significativi svolgono una DPIA e un audit ogni 12 mesi (regola 13). Questi obblighi entrano in vigore 18 mesi dopo la pubblicazione, intorno a maggio 2027.

Né la legge né le regole nominano il penetration test; il test è la prova abituale che le misure funzionano.

Tre norme indiane tengono i dati di sicurezza nel paese:

• Dati di pagamento. La circolare RBI di aprile 2018 richiede che “the entire data relating to payment systems” sia conservato solo in India, con conformità certificata da un auditor accreditato CERT-In.
• Log. Le Direzioni CERT-In richiedono di conservare i log ICT nella giurisdizione indiana per 180 giorni, e IRDAI ripete la regola per gli assicuratori.
• Dati regolamentari. Il CSCRF di SEBI richiede che i dati regolamentari restino in India, ma la clausola è sospesa da dicembre 2024.

Un penetration test produce credenziali, mappe di rete e prove passo per passo di come entrare. Una piattaforma di test SaaS o un modello AI ospitato all'estero che li elabora merita la stessa verifica di qualsiasi sistema esternalizzato che tratta dati di pagamento o log. Un'appliance dentro il tuo data center, sui propri modelli, li tiene in India per costruzione.

1. 1Individua l'autorità competente: RBI (e quale direzione per il tuo tipo di soggetto), categoria SEBI, IRDAI o solo CERT-In.
2. 2Fissa il calendario: VA semestrale e PT annuale per i sistemi critici vigilati da RBI; uno o due cicli VAPT l'anno per SEBI; test esterni semestrali per IRDAI.
3. 3Incarica un auditor accreditato CERT-In dove lo richiedono SEBI, IRDAI o l'audit sui dati di pagamento, e verifica l'indipendenza per RBI.
4. 4Segui le scadenze di chiusura: per SEBI tre mesi e rivalidazione entro cinque; per IRDAI 30 giorni per le lacune ad alto rischio; report trimestrali di chiusura per RBI.
5. 5Testa prima della messa in produzione e dopo ogni modifica rilevante.
6. 6Verifica dove ogni strumento di sicurezza elabora e conserva dati di test, log ed evidenze.
7. 7Preparati al DPDP: dimostra che le misure sono testate prima che gli obblighi si applichino nel 2027.

L'hub dei requisiti per normativa confronta queste regole con quelle di altri paesi.

Zero Hunt è un red team AI autonomo su un'appliance on-premise: esegue penetration test black-box e gray-box di reti e infrastrutture dall'interno del tuo data center, sui propri modelli, così finding e credenziali non lasciano l'India. L'operatore sceglie uno di cinque livelli di autonomia che stabiliscono quali azioni attendono approvazione, e ogni finding è accompagnato da evidenze firmate Ed25519 e concatenate con hash. Serve a testare in continuo tra un audit obbligatorio e l'altro, a ritestare le correzioni entro le finestre di chiusura di SEBI e IRDAI e a testare le modifiche prima della messa in produzione.

Due limiti, detti chiaramente. Zero Hunt non è un auditor accreditato CERT-In: dove SEBI, IRDAI o la regola RBI sui dati di pagamento richiedono un audit accreditato, quell'audit va comunque fatto, e il tuo auditor può usare le evidenze di Zero Hunt. E tra le norme indiane, Zero Hunt mappa i finding sul framework di cybersecurity RBI, costruito sui requisiti RBI precedenti; non fornisce modelli di report per CSCRF di SEBI, IRDAI o CERT-In, quindi il tuo team o il partner associa le evidenze a quelle regole.

Ogni quanto una banca indiana deve fare VAPT? Con le Direzioni RBI 2026 per le banche commerciali, vulnerability assessment almeno ogni sei mesi e penetration test almeno ogni 12 mesi per i sistemi critici e per quelli in DMZ rivolti ai clienti, più test prima e dopo le modifiche.

Il VAPT deve farlo un auditor accreditato CERT-In? Per i soggetti vigilati da SEBI e per gli assicuratori vigilati da IRDAI, sì. Le Direzioni RBI 2026 chiedono tester indipendenti ma non l'accreditamento; l'audit sulla conservazione dei dati di pagamento andrebbe svolto da un auditor accreditato CERT-In.

In quanto tempo vanno chiusi i finding? SEBI: entro tre mesi dal report, con rivalidazione entro cinque mesi dal VAPT. IRDAI: lacune ad alto rischio entro 30 giorni, tutte entro due mesi. RBI: in tempi definiti, con chiusure riferite ogni trimestre.

La Master Direction IT di RBI del 2023 è ancora in vigore? Non per le banche commerciali: le Direzioni 2026 l'hanno abrogata il 31 luglio 2026. Gli altri soggetti che copriva devono verificare quale direzione si applica ora.

Possiamo usare una piattaforma di pentest ospitata fuori dall'India? Verifica con la compliance. I dati di pagamento vanno conservati solo in India e i log nella giurisdizione indiana; uno strumento che li elabora all'estero va valutato rispetto a queste regole.