Requisiti di penetration test in Turchia: BDDK, TCMB, Guida alla sicurezza e Legge 7545

Il Regolamento sui sistemi informativi delle banche e sui servizi di banca elettronica (Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik) è stato pubblicato sulla Resmî Gazete il 15 marzo 2020 (n. 31069). Dopo una modifica di giugno 2020, un primo gruppo di articoli è entrato in vigore il 1° luglio 2020 e il resto il 1° gennaio 2021.

• Articolo 18(7): la banca fa eseguire penetration test almeno una volta l'anno da team indipendenti, senza alcun ruolo nella progettazione, nello sviluppo, nell'implementazione o nella gestione dei servizi che offre tramite i sistemi informativi.
• Articolo 18(2): il team di risposta agli incidenti della banca (SOME) ha il compito di eseguire, o far eseguire, penetration test di routine.
• Articolo 3: definisce il penetration test come il test per trovare le vulnerabilità prima che vengano sfruttate.

Il regolamento non richiede che i tester abbiano un certificato TSE e non distingue il perimetro tra test esposti su internet, interni o dopo una modifica. Il test annuale è un minimo: tra un test annuale e l'altro sono previsti i test di routine del SOME.

Gli istituti di pagamento e di moneta elettronica sono vigilati dalla Banca centrale (TCMB). Il suo comunicato sui sistemi informativi degli istituti di pagamento e di moneta elettronica (Resmî Gazete 1° dicembre 2021, n. 31676, modificato nel 2023) contiene la regola di test più dettagliata in Turchia:

• Articolo 12(3): i penetration test si eseguono almeno una volta l'anno, seguendo scenari che coprono minacce interne ed esterne, da persone senza ruoli di sicurezza delle informazioni nell'istituto e con una certificazione di penetration test nazionale o internazionale.
• Articolo 12(4): i test seguono il metodo dell'Allegato 5.
• Articolo 12(5): i risultati si correggono per priorità con un piano d'azione approvato dal consiglio di amministrazione.
• Articolo 12(6): un report annuale alla TCMB riporta violazioni, risultati dei penetration test e vulnerabilità critiche.

La Circolare presidenziale 2019/12 sulle misure di sicurezza delle informazioni e delle comunicazioni rende la Guida alla sicurezza delle informazioni e delle comunicazioni (Bilgi ve İletişim Güvenliği Rehberi) obbligatoria per tutti gli enti pubblici e gli operatori di infrastrutture critiche, con un audit di conformità almeno annuale. La versione in vigore, v1.1 del 1° marzo 2026, è pubblicata dalla Presidenza per la cybersecurity (Siber Güvenlik Başkanlığı), che ha assunto i poteri dell'ex Ufficio per la trasformazione digitale.

La sezione 3.1.11, Penetration test e audit di sicurezza, cresce con il livello di criticità del gruppo di asset:

• Livello 1: penetration test esterni e interni e audit di sicurezza a intervalli regolari, con NDA e un perimetro documentato che include il social engineering; test con profili utente diversi; nuovo test delle correzioni con separazione dei compiti; risultati valutati su una scala confrontabile.
• Livello 2: penetration test e audit di sicurezza almeno una volta l'anno.
• Livello 3: esercitazioni di red team regolari, e una scansione delle vulnerabilità e un audit di sicurezza prima che qualsiasi hardware o software entri in rete.

La circolare impone anche di conservare nel paese i dati critici (anagrafe, sanità, dati genetici e biometrici) e vieta di mettere i dati pubblici in cloud, salvo sistemi propri dell'ente o fornitori nazionali sotto il suo controllo.

La Turchia certifica le società di penetration test con il Certificato TSE per società di pentest (TSE Sızma Testi Yapan Firma Belgesi), nei livelli A, B e C secondo la TS 13638, con una registrazione graduata degli esperti e audit annuali della TSE.

Negli appalti pubblici il certificato diventa un requisito vincolante. Il regolamento del Ministero dell'industria e della tecnologia sull'abilitazione dei partecipanti agli appalti pubblici di servizi IT (Resmî Gazete 29 giugno 2022) istituisce il Certificato di abilitazione al pentest (Sızma Testi Yetki Belgesi), che richiede la ISO/IEC 27001 insieme a un certificato TSE di tipo A o B. Dal 29 settembre 2023 l'articolo 89/A del Comunicato generale sugli appalti pubblici richiede questo certificato nelle gare per servizi di penetration test, anche ai subappaltatori che eseguono i test.

Le banche non sono vincolate allo schema TSE dal regolamento BDDK: servono team indipendenti. Gli istituti di pagamento devono usare tester certificati secondo il comunicato TCMB.

La Legge sulla cybersecurity (Siber Güvenlik Kanunu, Legge n. 7545, Resmî Gazete 19 marzo 2025) ha creato un'unica autorità, la Presidenza per la cybersecurity, con poteri che contano per chiunque compri o venda sicurezza:

• la Presidenza può eseguire, o far eseguire, test di vulnerabilità e penetration test (articolo 5);
• gestisce test, certificazione e autorizzazione di prodotti e aziende di cybersecurity (articoli 5 e 6);
• prodotti, sistemi e servizi per enti pubblici e infrastrutture critiche devono provenire da esperti o aziende autorizzati e certificati dalla Presidenza (articolo 7(1)(c));
• le vulnerabilità trovate vanno segnalate alla Presidenza senza ritardo (articolo 7(1)(b)).

A ottobre 2026 non abbiamo trovato un regolamento attuativo pubblicato per lo schema di certificazione. Per un ente pubblico o un operatore di infrastrutture critiche, la conseguenza pratica è acquistare prodotti e servizi di test tramite un fornitore in grado di soddisfare i requisiti di autorizzazione della Presidenza, man mano che vengono definiti.

La KVKK (Legge n. 6698), all'articolo 12, impone ai titolari del trattamento di impedire l'accesso illecito ai dati personali e di proteggerli. La Guida alla sicurezza dei dati personali dell'autorità (misure tecniche e organizzative, edizione di aprile 2025) dice che servono scansioni delle vulnerabilità e penetration test regolari, senza fissare una frequenza né requisiti per i tester.

Nel settore finanziario la localizzazione è esplicita:

• Banche: l'articolo 25(1) del regolamento BDDK impone di tenere in Turchia i sistemi primari e secondari, e l'articolo 25(5) estende l'obbligo ai sistemi usati in outsourcing o in cloud e ai loro backup.
• Istituti di pagamento e di moneta elettronica: l'articolo 21(1) del comunicato TCMB impone sistemi primari e secondari e data center di backup in Turchia; i servizi cloud devono essere installati nel paese.
• Settore pubblico: punti 1 e 3 della Circolare 2019/12, visti sopra.

Un penetration test produce credenziali, mappe di rete e prove di come entrare. Una piattaforma di test SaaS o un modello AI ospitato che li elabora all'estero merita la stessa verifica di localizzazione di qualsiasi sistema in outsourcing. Un'appliance che gira nel data center dell'istituto, con modelli propri, evita il problema. Vedi la guida al red team AI sovrano.

1. 1Banche: pianifica il penetration test indipendente annuale e definisci i test di routine che il SOME esegue tra un test annuale e l'altro.
2. 2Istituti di pagamento e di moneta elettronica: costruisci scenari di minaccia interna ed esterna, usa tester certificati senza ruoli di sicurezza nell'istituto, segui l'Allegato 5 e prepara il report annuale alla TCMB.
3. 3PA e infrastrutture critiche: classifica i gruppi di asset per criticità, poi pianifica test regolari (livello 1), test almeno annuali (livello 2) ed esercitazioni di red team (livello 3) secondo la Guida.
4. 4Gare pubbliche: richiedi a offerenti e subappaltatori il Certificato di abilitazione al pentest.
5. 5Verifica dove ogni strumento di sicurezza elabora e conserva i dati dei test rispetto all'articolo 25 BDDK, all'articolo 21 TCMB o alla Circolare 2019/12.
6. 6Ritesta ogni correzione con separazione dei compiti e conserva le evidenze per l'auditor.

La pagina sui requisiti per normativa confronta la Turchia con altri paesi.

Zero Hunt è un red team AI autonomo su un'appliance on-premise: esegue penetration test black box e gray box di reti e infrastrutture dall'interno del tuo data center, con modelli propri, così risultati e credenziali non escono dalla Turchia. Tra un test indipendente annuale e l'altro permette al team di sicurezza di testare in modo continuo e di ritestare ogni correzione. Gli operatori scelgono uno di cinque livelli di autonomia che decidono quali azioni aspettano un'approvazione, e ogni risultato è supportato da evidenze firmate Ed25519 e concatenate con hash.

Zero Hunt mappa i risultati su 34 framework, tra cui ISO/IEC 27001, PCI DSS e SWIFT CSP. Non include un modello di report specifico per BDDK, TCMB o la Guida alla sicurezza, e non ha un certificato TSE o della Presidenza per la cybersecurity. In Turchia è offerto tramite partner locali; vedi il programma partner.

Ogni quanto una banca turca deve fare un penetration test? Almeno una volta l'anno, da team indipendenti senza ruoli nei servizi testati (regolamento BDDK, articolo 18(7)), con test di routine del team di risposta agli incidenti nel frattempo.

I penetration tester devono avere un certificato TSE? Per le gare pubbliche sì: il Certificato di abilitazione al pentest richiede un certificato TSE di tipo A o B. Le banche devono usare team indipendenti secondo la regola BDDK. Gli istituti di pagamento e di moneta elettronica devono usare tester con una certificazione di pentest nazionale o internazionale.

Cosa richiede la Guida alla sicurezza delle informazioni e delle comunicazioni? Penetration test esterni e interni e audit di sicurezza regolari, almeno una volta l'anno dal livello di criticità 2, ed esercitazioni di red team regolari al livello 3. È obbligatoria per enti pubblici e operatori di infrastrutture critiche.

Una banca turca può usare una piattaforma di pentest in cloud ospitata all'estero? Le banche devono tenere in Turchia i sistemi primari e secondari, compresi quelli in outsourcing e in cloud e i loro backup. Uno strumento che elabora o conserva i dati dei test all'estero va valutato rispetto all'articolo 25 prima dell'uso.

Cosa è cambiato con la legge sulla cybersecurity del 2025? Ha creato la Presidenza per la cybersecurity, che certifica prodotti e aziende di cybersecurity. Prodotti e servizi per enti pubblici e infrastrutture critiche devono provenire da aziende autorizzate e certificate dalla Presidenza.