Requisiti di penetration test negli Emirati: CBUAE, DESC, ADHICS e IA Standard

Il regolamento sul rischio operativo della Banca centrale (C 1/2026, in vigore dal 14 settembre 2026) si applica agli istituti finanziari autorizzati (LFI):

• Articolo 7.13. Un LFI “must periodically conduct stress-tests related to Operational Risk, including through exercises that challenge the LFI's control environment, for example through penetration testing.”
• Articolo 7.14. “At least for Critical Functions, the periodic testing referred to in Article 7.13 above must include penetration testing by an independent third party. The results must be presented to the Board.”
• Articolo 8. La policy ICT e di cybersecurity deve trattare i test delle vulnerabilità, e la gestione del rischio ICT va verificata regolarmente rispetto alla tolleranza al rischio.

Altri strumenti CBUAE aggiungono dettagli:

• Cloud e API. Le linee guida del 2021 sulle tecnologie abilitanti dicono che vulnerability assessment e penetration test specifici per l'accordo cloud, e per le API, dovrebbero essere almeno annuali, per le API da una funzione indipendente o da un esperto esterno.
• Case di cambio. Gli Exchange Business Standards richiedono scansioni delle vulnerabilità e penetration test interni ed esterni almeno una volta l'anno (14.9.1).
• Prestatori di servizi di pagamento. Pagamenti al dettaglio, moneta elettronica (SVF) e servizi di tokenizzazione devono valutare regolarmente se servono penetration test e simulazioni di attacco; per la tokenizzazione l'audit esterno annuale ne copre i risultati.

Nel regolamento CBUAE non abbiamo trovato un framework di red team guidato dalla minaccia paragonabile a CBEST o TIBER-EU.

L'Information Security Regulation (ISR) del Dubai Electronic Security Center fissa i controlli di sicurezza minimi per tutti gli enti governativi di Dubai, che devono verificare quali domini e controlli si applicano a loro. Il testo dell'ISR si ottiene da DESC su richiesta, non è pubblico.

È pubblico invece il programma Cyber Force (linee guida v1.1, luglio 2024):

• “It is mandatory for the following entities to procure the cyber security services from Cyber Force Certified Service Providers: Dubai government entities; Semi–government entities; Critical organizations under Dubai CII.”
• Il penetration test è una disciplina Cyber Force da novembre 2023, e va seguita la metodologia CREST Defensible Penetration Test.
• I tester devono avere un nulla osta di sicurezza valido della Polizia di Dubai e i fornitori una presenza locale.
• I dati classificati devono restare negli Emirati durante e dopo l'incarico (controllo ISR V3 2.7.1, come citato da DESC).

DESC pubblica l'elenco dei fornitori certificati per il penetration test. I fornitori cloud che servono enti governativi di Dubai devono inoltre avere la certificazione DESC CSP Security Standard.

L'Abu Dhabi Healthcare Information and Cyber Security Standard (ADHICS) del Department of Health chiede alle strutture sanitarie di:

• Fissare calendari annuali di penetration test su sistemi, reti, applicazioni e infrastrutture di sicurezza, vulnerability assessment e verifiche di sicurezza delle applicazioni web esposte, condividendo i risultati con il Department of Health (controllo OM 7.1).
• Testare i nuovi sistemi prima della messa in produzione.
• Assicurarsi che i dati della verifica siano cancellati dagli asset della terza parte al termine (OM 7.2).
• Non usare servizi cloud per conservare, elaborare o condividere dati sanitari, e non trasmetterli fuori dagli Emirati (CM 4.2).

Questi riferimenti sono della versione 0.9 di ADHICS; il Department of Health ne ha poi emesso una versione più recente, quindi verifica con la compliance i numeri attuali dei controlli.

• UAE Information Assurance (IA) Standard. Emesso dall'ex NESA e oggi sotto TDRA e lo UAE Cyber Security Council, si applica agli enti governativi federali e ai settori critici. Il suo controllo sulla gestione tecnica delle vulnerabilità è T7.7.1, quello a cui ADHICS collega il proprio obbligo di penetration test. Non abbiamo potuto leggere il testo ufficiale, quindi non citiamo qui una frequenza o una priorità: chiedi alla tua autorità o al tuo auditor la versione che si applica a te.
• Cyber Security Council. Nel 2025-2026 il Council ha emesso policy nazionali, tra cui una policy di protezione delle infrastrutture critiche (versione 2.0) e un programma nazionale di accreditamento. Alle società di ADGM è stato comunicato che l'adesione alle policy del 2025 non è obbligatoria per loro.
• Legge sulla protezione dei dati personali (Decreto-legge federale 45/2021). In vigore dal 2 gennaio 2022, impone a titolari e responsabili misure che testino e valutino l'efficacia delle misure di sicurezza (articolo 20(1)(d)), senza fissare una frequenza. Non si applica ai dati governativi, ai dati sanitari e bancari che hanno leggi proprie, né a DIFC e ADGM, che hanno proprie leggi sulla protezione dei dati. I regolamenti di attuazione non sono ancora stati emessi.

Diverse regole emiratine tengono i dati nel paese:

• Dati di pagamento. “Personal and Payment Data shall be stored and maintained in the State” (regolamento CBUAE sui servizi di pagamento al dettaglio e i circuiti di carte, articolo 14).
• Dati sanitari. La legge federale 2/2019 sull'ICT in sanità non consente di conservare o elaborare dati sanitari fuori dallo Stato salvo decisione dell'autorità sanitaria (articolo 13); ADHICS aggiunge ad Abu Dhabi il divieto di conservarli nel cloud.
• Dati governativi classificati. Le linee guida Cyber Force di Dubai richiedono che restino negli Emirati durante e dopo un incarico di test.

Un penetration test produce credenziali, mappe di rete e prove di come entrare. Una piattaforma di test SaaS o un modello AI ospitato all'estero che li elabora merita la stessa verifica di qualsiasi altro sistema che tratta quei dati. Un'appliance dentro il tuo data center, sui propri modelli, li tiene negli Emirati per costruzione.

1. 1Mappa le autorità competenti: CBUAE, DESC (enti governativi, semi-governativi o infrastrutture critiche di Dubai), Department of Health, TDRA e Cyber Security Council, o un'autorità di free zone.
2. 2Elenca le funzioni critiche e pianifica penetration test da parte di una terza parte indipendente, con risultati al consiglio (CBUAE).
3. 3Esegui test annuali degli accordi cloud e API, e test interni ed esterni annuali per le case di cambio.
4. 4Nel perimetro governativo di Dubai, acquista i penetration test da un fornitore certificato DESC Cyber Force e richiedi la metodologia CREST Defensible Penetration Test.
5. 5Nella sanità di Abu Dhabi, pubblica il calendario annuale dei test e condividi i risultati con il Department of Health.
6. 6Verifica dove ogni strumento di sicurezza elabora e conserva i dati di test, e se sono coinvolti dati di pagamento, sanitari o classificati.
7. 7Ritesta le correzioni e conserva le evidenze per il consiglio e l'autorità.

L'hub dei requisiti per normativa confronta queste regole con quelle di altri paesi, tra cui l'NCA ECC dell'Arabia Saudita.

Zero Hunt è un red team AI autonomo su un'appliance on-premise: esegue penetration test black-box e gray-box di reti e infrastrutture dall'interno del tuo data center, sui propri modelli, così finding e credenziali non lasciano gli Emirati. L'operatore sceglie uno di cinque livelli di autonomia che stabiliscono quali azioni attendono approvazione, e ogni finding è accompagnato da evidenze firmate Ed25519 e concatenate con hash, per il consiglio e l'autorità. Serve a testare in continuo le funzioni critiche tra un test indipendente e l'altro e a ritestare le correzioni.

Due limiti, detti chiaramente. Zero Hunt non è un fornitore certificato DESC Cyber Force e non ha accreditamenti negli Emirati: dove le regole di Dubai richiedono un fornitore certificato o una terza parte indipendente, quell'incarico va comunque svolto, e il fornitore può lavorare con le evidenze di Zero Hunt. Tra i suoi 34 framework Zero Hunt mappa i finding sullo UAE Information Assurance Standard (ex NESA); non fornisce modelli di report specifici per CBUAE, DESC o ADHICS, quindi il tuo team o il partner associa le evidenze a quelle regole.

Le banche degli Emirati devono fare penetration test? Sì. Dal 14 settembre 2026 il regolamento CBUAE sul rischio operativo richiede test periodici dell'ambiente di controllo e, per le funzioni critiche, penetration test da parte di una terza parte indipendente, con risultati presentati al consiglio.

Ogni quanto deve testare un istituto finanziario emiratino? Il regolamento dice periodicamente e non fissa un numero. Le linee guida CBUAE dicono che cloud e API dovrebbero essere testati almeno ogni anno, e le case di cambio devono testare almeno una volta l'anno.

Chi può fare penetration test per gli enti governativi di Dubai? Solo fornitori certificati DESC Cyber Force, per enti governativi, semi-governativi e infrastrutture critiche di Dubai, con la metodologia CREST Defensible Penetration Test e tester con nulla osta della Polizia di Dubai.

La PDPL emiratina impone il penetration test? Impone misure per testare e valutare l'efficacia della sicurezza, senza nominare il penetration test né una frequenza. I regolamenti di attuazione non sono ancora stati emessi.

Possiamo usare una piattaforma di pentest cloud ospitata fuori dagli Emirati? Verifica con la compliance. Dati di pagamento, dati sanitari e dati classificati di Dubai devono restare negli Emirati; uno strumento che li elabora all'estero va valutato rispetto a queste regole.