DORA-TLPT-Umfang: Kritische Funktionen vor Assets erfassen

Die Entscheidung, bei der Ihnen dieser Leitfaden hilft

Beginnen Sie mit der Funktion, deren Widerstandsfähigkeit erhalten bleiben muss, und verfolgen Sie anschließend die zugehörigen Personen, Prozesse, Systeme und externen Abhängigkeiten. Dokumentieren Sie den vorgeschlagenen Umfang und die Ausschlüsse samt Begründung. Die zuständige Behörde validiert den vorgeschlagenen Umfang; ein Anbieter kann diese Validierung nicht in ihrem Namen vornehmen.

Beginnen Sie damit, was die Organisation weiterhin leisten muss

Ein aussagekräftiger TLPT-Umfang beginnt mit kritischen oder wichtigen Funktionen und verfolgt anschließend die Personen, Prozesse und Technologien, die diese unterstützen. Ein Anlagenverzeichnis ist eine Eingabe, erklärt für sich genommen jedoch nicht, welche Folgen ein Ausfall für das Unternehmen hätte.

DORA verlangt vom Finanzunternehmen, die relevanten zugrunde liegenden IKT-Systeme, Prozesse und Technologien zu ermitteln und zu bewerten, welche Funktionen abgedeckt werden müssen. Der daraus abgeleitete Umfang wird von der zuständigen Behörde validiert. Ein Anbieter kann diesen Umfang nicht im Namen der Behörde genehmigen.

Eine Funktions-zu-Abhängigkeiten-Zuordnung erstellen

• Funktion und dafür verantwortliche Person im Geschäftsbereich benennen.
• Erläutern Sie das betriebliche Ergebnis, das aufrechterhalten werden muss.
• Verfolgen Sie die Systeme, Identitäten, Prozesse und Teams, die die Funktion unterstützen.
• IKT-Drittdienstleister, gemeinsame Dienste und grenzüberschreitende Abhängigkeiten identifizieren.
• Grenzen, Annahmen und mögliche testrelevante Abhängigkeiten dokumentieren.

Eine zahlungsbezogene Funktion kann beispielsweise von Anwendungen, einer Identitätsinfrastruktur, betrieblichen Abläufen und einem externen Dienst abhängen. Würde nur die öffentliche Anwendung getestet, bliebe das Zusammenspiel dieser Abhängigkeiten ungeklärt. Dies ist ein veranschaulichendes Muster zur Abgrenzung des Umfangs und keine Aussage über die Umgebung eines Kunden.

Ausschlüsse und Genehmigungen nachvollziehbar gestalten

Bei einem vorgeschlagenen Ausschluss sollte erläutert werden, warum er vorgeschlagen wird, welches Risiko oder welche Abhängigkeit betroffen ist und wie er bei der Testplanung berücksichtigt wird. Unbegründete Ausschlüsse können die Aussagekraft der Übung beeinträchtigen.

Die Genehmigung zum Testen des Finanzunternehmens berechtigt nicht automatisch zu Aktivitäten gegen Dritte. Klären Sie vor der Durchführung Verträge, die Beteiligung des Anbieters, Grenzen gemeinsam genutzter Umgebungen und Ansprechpartner. Das Finanzunternehmen bleibt dafür verantwortlich, die erforderliche Beteiligung und Koordination zu organisieren.

Den Prüfungsumfang mit der Bedrohung verknüpfen

Bedrohungsinformationen sollten dazu beitragen, zu erläutern, welche Angreifer und Angriffswege für die ausgewählten Funktionen glaubwürdig sind. Ein Szenario sollte ein sinnvolles Ziel und einen vertretbaren Bezug zur Gefährdungslage des Unternehmens haben, statt lediglich eine Technik zu demonstrieren.

Sorgen Sie für eine nachvollziehbare Zuordnung zwischen Funktion, Abhängigkeit, Bedrohungsannahme, Szenario, Risikokontrolle und erwarteten Nachweisen. So lassen sich spätere Änderungen leichter bewerten und in den Abschlussberichten erläutern, was der Test gezeigt hat und was nicht.

Für kontrollierte Änderungen planen

Produktionsumgebungen und Bedrohungen verändern sich. Legen Sie fest, wer eine Anpassung des Umfangs beantragen, prüfen und genehmigen kann und wann die Einbindung von Behörden erforderlich ist. Halten Sie die Begründung fest und bewerten Sie die Betriebsrisiken, bevor Sie die Aktivitäten anpassen.

Ein klarer anfänglicher Prüfungsumfang verringert Unsicherheiten, macht aber während des Auftrags keine fachliche Beurteilung entbehrlich. Nutzen Sie die TLPT-Bereitschaftscheckliste, um das erste Gespräch zur Festlegung des Prüfungsumfangs vorzubereiten.

Nutzen Sie technische Assessments, um die Abhängigkeitsübersicht zu verbessern.

Eine kritische Funktion kann von Identitäten und Hintergrunddiensten abhängen, die in einem geschäftlichen Diagramm leicht übersehen werden. Fragen Sie Anwendungs- und Infrastrukturverantwortliche, welche Identitäten Daten übertragen, Transaktionen genehmigen, Releases bereitstellen oder den Dienst wiederherstellen. Dokumentieren Sie für jede wesentliche Übergabe die verantwortliche Stelle und die Berechtigungsgrenze. Die Zuordnung sollte erläutern, warum eine Abhängigkeit für die Funktion relevant ist, statt lediglich die Zahl der einbezogenen Systeme zu erhöhen.

Der Leitfaden zu privilegierten Zugriffsrechten in Banken unterscheidet zwischen Identität, Reichweite und Befugnissen. Der Leitfaden zu Workload-Identitäten im Fintech-Cloud-Umfeld überträgt diese Überlegungen auf Bereitstellungs- und Laufzeitdienste. Beide können in die technische Vorbereitung einfließen; keiner von ihnen legt den von der zuständigen Behörde validierten TLPT-Prüfungsumfang fest.

Für schwierige Abgrenzungen ein Entscheidungsprotokoll führen

Bei einer gemeinsam genutzten Plattform oder einer sensiblen Abhängigkeit dokumentieren Sie die vorgeschlagene Behandlung, das operationelle Risiko, die zuständige Genehmigungsstelle und die Einschränkungen der Nachweise. Geben Sie an, ob die Abhängigkeit einbezogen wird, eine koordinierte Mitwirkung erfordert oder ungeklärt bleibt. Reduzieren Sie die Entscheidung nicht auf eine Farbe in einem Diagramm. Die Begründung sollte auch bei Personalwechseln nachvollziehbar bleiben und den Testverantwortlichen sowie dem Kontrollteam verständlich machen, was die vorgeschlagene Übung belegen kann.

Wenn sich der Umfang ändert, bewahren Sie die frühere Entscheidung auf und erläutern Sie die neuen Informationen. Benennen Sie die betroffenen Szenarien, Sicherheitskontrollen und Verantwortlichkeiten des Anbieters und befolgen Sie den geltenden Genehmigungsprozess, bevor Sie die Durchführung anpassen. Verwenden Sie beim Abschluss dieselbe Übersicht, um darzustellen, wo Beobachtungen gemacht wurden und wo Unsicherheit besteht. Diese Kontinuität macht den Umfang während des gesamten Auftrags zu einem Arbeitsinstrument der Governance und nicht zu einem einmal unterzeichneten und dann vergessenen Dokument.

Setzen Sie Ihre Vorbereitung fort

• Die Testmethodik
• IKT-Drittdienstleister und TLPT