Die Entscheidung, bei der Ihnen dieser Leitfaden hilft
Ein vollständiges TLPT-Programm umfasst die Auswahl der zuständigen Behörde, den Umfang kritischer Funktionen, qualifizierte Anbieter, kontrollierte Tests an Live-Systemen und den Abschluss. Nutzen Sie die nachstehenden Anforderungen, um Entscheidungs- und Nachweisverantwortliche zu benennen; ein herkömmlicher Penetrationstest allein schließt diesen Prozess nicht ab.
Was DORA-TLPT erfordert
DORA Threat-Led Penetration Testing ist eine von der Aufsichtsbehörde begleitete Übung für ausgewählte Finanzunternehmen. Sie verbindet gezielte Bedrohungsaufklärung, kontrollierte Tests produktiver Systeme, Erkenntnisse zur Verbesserung der Abwehr und verantwortungsvolle Behebung. Die Beauftragung eines herkömmlichen Penetrationstests erfüllt für sich genommen nicht das TLPT-Verfahren.
Dieser Leitfaden erläutert die wichtigsten Anforderungen der Artikel 26 und 27 der DORA sowie der Delegierten Verordnung (EU) 2025/1190 der Kommission, den technischen Regulierungsstandards (RTS) für TLPT. Für die Planung eines Auftrags informieren Sie sich über unsere DORA-TLPT-Dienstleistungen. Die folgenden Vorbereitungsvorschläge sind praktische Möglichkeiten zur Organisation der Arbeit und werden von den regulatorischen Anforderungen unterschieden, die sie unterstützen.
| Frage | Zu berücksichtigende Anforderung |
|---|---|
| Wer muss TLPT durchführen? | Finanzunternehmen, die von der zuständigen Behörde anhand der geltenden Auswahlkriterien bestimmt wurden; nicht alle Organisationen, für die DORA gilt. |
| Wie häufig? | Mindestens alle drei Jahre für Unternehmen, die TLPT durchführen müssen; die zuständige Behörde kann die Häufigkeit erforderlichenfalls anpassen. |
| Was wird getestet? | Mehrere oder alle kritischen oder wichtigen Funktionen über die produktiven Live-Systeme, die diese unterstützen, innerhalb eines validierten Umfangs. |
| Wie lange dauern die aktiven Tests? | Mindestens 12 Wochen; Vorbereitung, Bedrohungsanalyse und Abschluss benötigen zusätzliche Zeit. |
| Was folgt auf den Test? | Berichterstattung über Red und Blue Teams, Replay, Purple Teaming, ein zusammenfassender Bericht und ein Maßnahmenplan zur Behebung. |
1. Anwendbarkeit und Einbindung der zuständigen Behörden bestätigen
Das umfassendere Resilienztestprogramm nach DORA und die Pflicht zu fortgeschrittenen TLPT sind unterschiedlich. Artikel 26 sieht vor, dass die Behörden die Unternehmen ermitteln, die TLPT durchführen müssen. Artikel 2 der RTS enthält Auswahlkriterien, darunter quantitative sektorbezogene Kriterien sowie die Bewertung der Auswirkungen, möglicher Folgen für die Finanzstabilität und des IKT-Risikos durch die Aufsichtsbehörde.
Gehen Sie nicht davon aus, dass ein Schwellenwert für die Mitarbeiterzahl, eine Kundenanfrage oder die Eigenschaft als Bank für sich genommen die Frage klärt. Bestätigen Sie die relevante juristische Person, die für TLPT zuständige Behörde, etwaige erhaltene Mitteilungen und ob eine Konzern- oder Shared-Service-Struktur die vorgeschlagene Übung beeinflusst.
Die übliche Mindesthäufigkeit beträgt einmal alle drei Jahre. Die zuständige Behörde kann diese Häufigkeit bei Bedarf auf Grundlage des Risikoprofils und der betrieblichen Umstände des Unternehmens erhöhen oder verringern. Halten Sie den bestätigten Zeitplan in Ihrer Planung fest, statt drei Jahre als uneingeschränkten Anspruch zu behandeln.
2. Kritische Funktionen und ihre Abhängigkeiten abgrenzen
Artikel 26 der DORA verlangt, dass TLPT mehrere oder alle kritischen oder wichtigen Funktionen abdecken und auf den Live-Produktivsystemen durchgeführt werden, die diese Funktionen unterstützen. Das Finanzunternehmen bestimmt die relevanten Systeme, Prozesse, Technologien und ausgelagerten IKT-Dienstleistungen; der genaue Umfang unterliegt der Validierung durch die zuständige Behörde.
Eine aussagekräftige Arbeitsübersicht verknüpft jede potenzielle Funktion mit ihren Anwendungen, Identitäten, Netzwerken, Datenflüssen, Personalprozessen und Abhängigkeiten von Dritten. Dokumentieren Sie, warum eine Funktion ein- oder ausgeschlossen wird, und gleichen Sie die Übersicht mit der in RTS-Artikel 9 und Anhang II geforderten Umfangsspezifikation ab. Gemäß Artikel 9 Absatz 6 muss die vom Leitungsorgan genehmigte Umfangsspezifikation den Testmanagern innerhalb von sechs Monaten nach der in Artikel 9 Absatz 1 genannten Mitteilung der Behörde vorgelegt werden.
Eine Zahlungsfunktion kann beispielsweise von einem Kundenkanal, Identitätsdiensten, der Transaktionsverarbeitung und einer ausgelagerten Verbindung abhängen. Würde nur die öffentliche Website aufgeführt, wäre der Geschäftsprozess unzureichend beschrieben. Dies ist ein veranschaulichendes Beispiel zur Abgrenzung des Umfangs und kein vorgeschriebenes Szenario.
Klären Sie frühzeitig die Beteiligung und Berechtigungen Dritter. Artikel 26 behandelt die Beteiligung von Anbietern und unter bestimmten Bedingungen gemeinsame Tests. Die Auslagerung einer unterstützenden Dienstleistung entbindet das Finanzunternehmen nicht von seiner Verantwortung für den TLPT. Weitere Informationen zur Vorbereitung finden Sie in unserem Leitfaden zur Abgrenzung des TLPT-Prüfumfangs.
3. Prüferkompetenz und Fähigkeiten im Bereich Bedrohungsanalyse verifizieren
Artikel 27 der DORA verlangt geeignete Tester mit der erforderlichen Fachkenntnis, Leistungsfähigkeit und Reputation. Er behandelt außerdem Zertifizierungen oder die Einhaltung formeller Berufsrahmen oder Verhaltenskodizes, unabhängige Qualitätssicherung, Berufshaftpflichtversicherung und den Schutz vertraulicher Informationen. Die RTS ergänzen in Artikel 7 Anforderungen an Anbieter.
Bitten Sie um Nachweise zu den Personen, die den Auftrag ausführen, ihrer Erfahrung mit bedrohungsgeleiteten Tests im Finanzsektor, der Durchführungsmethode, den Regelungen zum Umgang mit Informationen und Interessenkonflikten. Eine allgemeine Unternehmensbroschüre reicht nicht aus, um das vorgeschlagene Team zu bewerten.
Interne Tester sind nur unter den geltenden Bedingungen und mit Genehmigung der zuständigen Behörde zulässig. DORA verlangt bei Einsatz interner Tester einen externen Anbieter für Threat Intelligence sowie externe Tester mindestens bei jedem dritten Test. Bedeutende Institute unter dem Einheitlichen Aufsichtsmechanismus müssen externe Tester einsetzen. Artikel 15 der RTS ergänzt Anforderungen an Governance, Personal und Kompetenzen des internen Teams.
Der Bedrohungsanalysebericht fließt in die Angriffsszenarien und den Red-Team-Plan ein. Nach Artikel 10 der RTS muss die Leitung des Kontrollteams mindestens drei Szenarien auswählen. Höchstens eines davon darf den zulässigen zukunftsgerichteten Ansatz ohne Bedrohungsbezug verwenden. Die Artikel 10 und 11 regeln das Prüfungs- und Genehmigungsverfahren. Der Zusammenhang zwischen Analyse, Szenario, Zielfunktion und Testziel sollte in den Einsatzunterlagen nachvollziehbar bleiben.
DORA-Artikel 26 Absatz 8 und Artikel 27: Anforderungen an Tester
4. Den Live-Produktionstest steuern
Die RTS sehen ein beschränktes Kontrollteam innerhalb des Finanzunternehmens sowie Testmanager auf Behördenseite vor. Vertraulichkeit ist wichtig, da Vorwissen das Abwehrverhalten verändern kann. Risikomanagement ist unerlässlich, weil sich die Übung auf laufende Dienste bezieht.
Übersetzen Sie vor der Durchführung den genehmigten Umfang und den Red-Team-Plan in umsetzbare Betriebsvereinbarungen: autorisierte Ziele, Kommunikationskanäle, Entscheidungsträger, Eskalation, Abbruchbedingungen, Nachweisbehandlung und vereinbarte Unterstützung. Diese Vorbereitungen helfen den Teams, sicher zu arbeiten; sie ersetzen nicht die formellen Genehmigungen.
Gemäß Artikel 11 der RTS dauern aktive Red-Team-Tests mindestens 12 Wochen. Tester melden den Fortschritt mindestens wöchentlich an das Kontrollteam und die Testmanager. Änderungen am genehmigten Plan und der Einsatz von Unterstützung müssen den festgelegten Genehmigungsregelungen entsprechen. Die Leitung des Kontrollteams kann die Tests unter den in diesem Artikel beschriebenen außergewöhnlichen Risikoumständen aussetzen.
Kalkulieren Sie Vorbereitung, Informationsbeschaffung und Abschluss separat. Eine aktive Phase von 12 Wochen ist keine Zusage, dass der gesamte Auftrag innerhalb von 12 Wochen abgeschlossen wird. Siehe unseren Leitfaden zum DORA-TLPT-Zeitplan.
TLPT-RTS Artikel 4–6 und 11: Governance, Risiken und Durchführung
5. Berichterstattung, Wiederholungstests und Purple Teaming abschließen
Die Übung endet nicht, wenn die Tester aufhören. RTS-Artikel 12 verlangt einen Bericht des Red Teams, einen Bericht des Blue Teams, ein Replay, Purple Teaming und Feedback. So kann die Organisation den Angriffsverlauf mit den Beobachtungen der Verteidiger und ihrer Reaktion verknüpfen.
| Meilenstein | Regulatorischer Zeitplan |
|---|---|
| Red-Team-Bericht | Innerhalb von vier Wochen nach Ende der aktiven Red-Team-Testphase. |
| Blue-Team-Bericht | Nach Erhalt des Red-Team-Berichts und spätestens zehn Wochen nach Ende der aktiven Tests. |
| Wiedergabe | Spätestens zehn Wochen nach Ende der aktiven Tests; Artikel 12 verlangt außerdem eine abschließende Purple-Team-Übung. |
| Zusammenfassender Bericht | Innerhalb von acht Wochen nach der Mitteilung an die Behörde gemäß Artikel 12 Absatz 7 zu den vorgeschriebenen Inhalten der Berichte des Red Teams und des Blue Teams. |
| Maßnahmenplan zur Behebung | Innerhalb von acht Wochen nach derselben Mitteilung an die Behörde gemäß Artikel 12 Absatz 7 an die TLPT-Behörde und, sofern abweichend, an die zuständige Behörde. |
Die Acht-Wochen-Frist beginnt mit der Mitteilung an die zuständige Behörde, nicht automatisch mit dem letzten Testtag. Erfassen Sie diese Termine ausdrücklich. Die Anhänge legen die Berichtsinhalte fest: Anhang V für das Red Team, VI für das Blue Team und VII für die Zusammenfassung.
6. Behebungsmaßnahmen zuweisen und Belege aufbewahren
RTS-Artikel 13 verlangt, dass der Maßnahmenplan zu jedem Befund die Schwachstelle, die vorgeschlagenen Maßnahmen, deren Priorisierung und den erwarteten Abschluss, die Grundursache, die verantwortlichen Mitarbeitenden oder Funktionen sowie die Risiken einer Nichtumsetzung der Maßnahmen oder gegebenenfalls ihrer Umsetzung behandelt.
Als praktische Maßnahme für die Durchführung sollten Sie für jede Maßnahme ein Abnahmekriterium festlegen. „Erkennung verbessern“ lässt sich nur schwer abschließen; eine konkret benannte Änderung der Erkennung mit einer dokumentierten Verifizierungsübung ist leichter zu bewerten. Unterscheiden Sie klar zwischen einer Empfehlung, einer umgesetzten Änderung und einem verifizierten Ergebnis.
Artikel 26 der DORA sieht eine Bestätigung der zuständigen Behörde zur Unterstützung der gegenseitigen Anerkennung vor. Artikel 14 und Anhang VIII der RTS legen diese Bestätigung fest. Es handelt sich nicht um ein vom Anbieter ausgestelltes Zertifikat, das die Sicherheit der Organisation oder die Erfüllung sämtlicher DORA-Pflichten bestätigt.
Eine praktische Checkliste vor der Beschaffung
Für eine Planung nach einzelnen Artikeln lesen Sie unseren Leitfaden zu den technischen Regulierungsstandards (RTS) für DORA TLPT, der die endgültige Verordnung, Auslöser für Fristen, Anbieterkriterien und acht Anhänge erläutert.
- Bestätigen Sie die juristische Person, die zuständige Behörde und die TLPT-Anforderung oder -Meldung.
- Möglicherweise kritische oder wichtige Funktionen identifizieren und unterstützende Abhängigkeiten zuordnen.
- Benennen Sie eine Leitung des Kontrollteams mit dem erforderlichen Mandat und der nötigen Verfügbarkeit.
- Dritte, Berechtigungen, Verträge und Einschränkungen durch gemeinsam genutzte Dienste ermitteln.
- Fordern Sie Nachweise des Bereitstellungsteams zu den Anforderungen an Tester und Anbieter an.
- Den Mindestzeitraum für aktive Tests sowie Vorbereitung und Abschluss einplanen.
- Weisen Sie Verantwortlichkeiten für Berichte, Meldungen an Behörden und Behebungsentscheidungen zu.
- Vor dem Austausch sensibler Architekturinformationen oder technischer Nachweise sichere Kommunikationskanäle abstimmen.
Verwenden Sie diese Checkliste zur Vorbereitung eines Gesprächs, nicht als Ersatz für den vollständigen Verordnungstext oder die Anweisungen Ihrer zuständigen Behörde. Die vorhandene Übersicht zu den DORA-Anforderungen und der beispielhafte TLPT-Bericht bieten zusätzlichen Kontext.
Ihr DORA-TLPT-Engagement planen
Entdecken Sie unsere DORA-TLPT-Dienstleistungen und beschreiben Sie anschließend Ihre Organisation, kritischen Funktionen und den zuständigen Behördenkontext im TLPT-Abgrenzungsbriefing. Bei Ihrer Kontaktaufnahme mit Atlant Security können Sie eine Vertraulichkeitsvereinbarung oder eine bestehende Ausschreibung beifügen.
Primärquellen
Allgemeine Informationen, keine Rechtsberatung. Bestätigen Sie die geltenden Anforderungen und Testvereinbarungen mit der zuständigen Behörde.
Veröffentlicht von Atlant Security. Quellen, redaktionelle Richtlinien und Korrekturen.
