DORA-Artikel 27: Welche Nachweise müssen TLPT-Prüfer vorlegen?

Die Entscheidung, bei der Ihnen dieser Leitfaden hilft

Bewerten Sie die Personen und die Liefervereinbarungen anhand von Artikel 27, nicht nur die Selbstdarstellung des Anbieters. Fordern Sie Nachweise zu Eignung, einschlägigen Kompetenzen, ethischen Rahmenwerken, Unabhängigkeit und Risikosicherung an. Bewerten Sie die Nachweise erneut, wenn sich das Team oder die Unterauftragsvergabe ändert.

Eine Beschreibung der Methodik ist keine Due-Diligence-Prüfung

Artikel 27 der DORA legt Anforderungen an die für die Durchführung des TLPT eingesetzten Tester fest. Bei der Beschaffung sollten Nachweise zu diesen Anforderungen eingeholt und die tatsächlichen Leistungserbringungsvereinbarungen bewertet werden. Ein Abzeichen, eine allgemeine Aussage zur Erfahrung oder ein Verweis auf TIBER-EU ist kein Ersatz.

Die Prüfung muss die Organisation und die für die Arbeiten vorgeschlagenen namentlich benannten Personen umfassen. Stellen Sie sicher, dass die Nachweise weiterhin relevant sind, wenn der Anbieter sein Team austauscht oder einen Unterauftragnehmer hinzuzieht.

Eignung und spezifische Fachkenntnisse

Artikel 27 behandelt Eignung und Reputation, technische und organisatorische Leistungsfähigkeit sowie besondere Fachkenntnisse in den Bereichen Threat Intelligence, Penetrationstests und Red-Team-Tests. Fragen Sie, wie diese Fachkenntnisse den vorgeschlagenen Rollen und Szenarien entsprechen.

Einschlägige Erfahrung sollte in angemessener Form beschrieben werden, ohne die Vertraulichkeit anderer Kunden zu verletzen. Ein Beschaffungsteam kann einen sicheren Kanal für Referenzen, Belege und Teaminformationen vereinbaren, statt sich ausschließlich auf öffentliche Marketingseiten zu stützen.

Zertifizierungen und ethische Rahmenwerke

Die Rechtsvorschrift bezieht sich auf eine Zertifizierung durch eine Akkreditierungsstelle in einem Mitgliedstaat oder auf die Einhaltung formeller Verhaltenskodizes oder ethischer Rahmenwerke. Diese Formulierung sollte nicht auf die Behauptung verkürzt werden, ein bestimmtes kommerzielles Zertifikat sei allgemein verpflichtend oder ausreichend.

Fragen Sie, auf welche Grundlage sich der Anbieter stützt, was sie abdeckt und wie sie für die Arbeiten gilt. Persönliche Qualifikationen können relevante Kompetenznachweise sein, erfüllen aber nicht automatisch sämtliche organisatorischen Anforderungen.

Risikoabsicherung und Versicherung

Unabhängige Prüfungen oder Auditnachweise müssen sich mit der sachgerechten Steuerung der mit TLPT verbundenen Risiken befassen, einschließlich des Schutzes vertraulicher Informationen und der Abhilfe bei Geschäftsrisiken. Das Finanzunternehmen sollte Umfang, Datum und Relevanz der bereitgestellten Prüfung kennen.

Auch eine Berufshaftpflichtversicherung ist wichtig. Prüfen Sie, ob die vorgesehenen Aktivitäten, Parteien und Risiken vom Versicherungsschutz erfasst werden. Das Vorhandensein einer Police allein belegt nicht, dass ein Auftrag angemessen versichert ist.

Interne Tester erfordern eine gesonderte Analyse

Interne Tests unterliegen Bedingungen, darunter der erforderlichen Genehmigung der zuständigen Behörde, Unabhängigkeit und Schutzmaßnahmen gemäß DORA und den RTS. Bedeutende Institute müssen nach Artikel 26 externe Tester einsetzen. Die Entscheidung darf nicht allein von der Verfügbarkeit von Ressourcen abhängen.

Für andere Unternehmen, die im Rahmen zulässiger Regelungen interne Tester einsetzen, gehören regelmäßige Tests durch externe Tester zu den geltenden Anforderungen. Prüfen Sie die konkreten rechtlichen Bedingungen und Erwartungen der Aufsichtsbehörde für das jeweilige Unternehmen, bevor Sie das Modell auswählen.

Erstellen Sie eine nachvollziehbare Beschaffungsentscheidung

Dokumentieren Sie die Anforderung, die angeforderten Nachweise, die Bewertung, etwaige Lücken und die entscheidungsverantwortliche Person. Machen Sie offene Bedingungen in der Beschaffungssteuerung ausdrücklich kenntlich. Vertragliche Verpflichtungen, benannte Ressourcen und Vereinbarungen zur Beweismittelhandhabung sollten mit dem Bewerteten übereinstimmen.

Die Reaktion auf den vorgeschlagenen Auftrag zuschneiden

Bitten Sie den Anbieter, die vorgesehenen Rollen, einschlägige Erfahrung, Aufsichtsregelungen und Nachweise für die von ihm beanspruchte Erfüllung der Anforderungen darzulegen. Klären Sie, ob die namentlich genannten Personen verbindlich eingeplant sind oder lediglich Beispiele für verfügbares Personal darstellen. Halten Sie fest, wie Ersatzpersonen beurteilt und genehmigt würden. Das Finanzunternehmen benötigt eine nachvollziehbare Entscheidungsgrundlage und keine uneingeschränkte Zusicherung, der Anbieter sei „DORA-konform“.

Zur methodischen Vergleichbarkeit zeigt der Leitfaden zur Beschaffung von Bank-Penetrationstests, wie sich Umfang, Zugangsannahmen und Nachweiserwartungen vereinheitlichen lassen. Nutzen Sie diese Struktur zusammen mit den spezifischen TLPT-Anforderungen, statt einen gewöhnlichen Fragebogen zu technischen Tests an die Stelle der Prüfung nach Artikel 27 zu setzen.

Prüfen Sie, wie mit den Nachweisen umgegangen wird

Besprechen Sie den Umgang mit sensibler Bedrohungsaufklärung, operativen Beobachtungen, Zugangsdaten und Berichtsmaterial während des gesamten Auftrags. Legen Sie Zugriffsbeschränkungen, Speicher- und Übertragungsmodalitäten, Aufbewahrungsfristen, Löschung und die Beteiligung von Unterauftragnehmern fest. Fragen Sie, wie ein schwerwiegender Vorfall oder eine unerwartete betriebliche Auswirkung eskaliert würde. Diese Fragen konkretisieren die vorgeschlagenen Schutzmaßnahmen und helfen dem Unternehmen, seine eigenen Verantwortlichkeiten und Abhängigkeiten zu verstehen.

Prüfen Sie einen fiktiven oder ordnungsgemäß bereinigten Bericht und verfolgen Sie einen Befund vom Ausgangspunkt über Nachweise und Auswirkungen bis zur vorgeschlagenen Behandlung. Der Leitfaden zu Fintech-Berichten und erneuten Tests enthält hilfreiche Fragen zur Nachweisqualität. Die Berichtsqualität allein belegt weder die Eignung der Tester noch erfüllt sie sämtliche TLPT-Pflichten; sie ist Teil einer dokumentierten Bewertung, die die tatsächlichen Anforderungen und geltenden Vereinbarungen mit den zuständigen Behörden berücksichtigen muss.

Setzen Sie Ihre Vorbereitung fort

• Die Checkliste zur Beschaffung
• DORA-TLPT-Anforderungen