TIBER-EU und DORA TLPT: Wie die Anforderungen zusammenpassen

Die Entscheidung, bei der Ihnen dieser Leitfaden hilft

TIBER-EU ist ein operationeller Rahmen; DORA und die zugehörigen technischen Regulierungsstandards für TLPT legen rechtliche Anforderungen fest. Wenden Sie beide zusammen mit den einschlägigen Leitlinien der zuständigen Behörde an. Eine freiwillige, von TIBER inspirierte Übung wird nicht automatisch zu einem anerkannten DORA-TLPT.

Rechtliche Vorgaben und betriebliche Leitlinien erfüllen unterschiedliche Funktionen

DORA und die TLPT-RTS legen die rechtlichen Anforderungen an fortgeschrittene bedrohungsorientierte Tests fest. TIBER-EU bietet einen praxisorientierten Rahmen für die Organisation und Durchführung nachrichtendienstgestützter Red-Team-Übungen. Sie hängen zusammen, aber ihre Bezeichnungen sind nicht austauschbar.

Bei einem DORA-Auftrag muss der Rahmen einheitlich und im Einklang mit den Rechtsvorschriften, den technischen Standards und dem Verfahren der zuständigen Behörde angewendet werden. Eine freiwillige, an TIBER orientierte Übung gilt nicht automatisch als anerkannter DORA-TLPT.

Verstehen Sie die Beteiligten

Ein Threat-Led-Test umfasst mehr als die Tester und einen Kundenkontakt. Das Finanzunternehmen benötigt ein eingeschränkt zugängliches Control Team und eine Leitung des Control Teams. Anbieter von Threat Intelligence entwickeln die Bedrohungsgrundlage; Red-Team-Tester führen vereinbarte Szenarien aus; das Blue Team bringt bei der Abschlussbesprechung die Verteidigungsperspektive ein.

Die Testmanager der zuständigen Behörde haben eine eigene Aufsichtsfunktion. Beschaffung und Planung sollten diese Zuständigkeiten ausdrücklich festlegen, einschließlich der Kommunikationswege und der Teilnehmer, die in jeder Phase sensible Informationen erhalten.

Nutzen Sie Vorlagen, um offene Fragen sichtbar zu machen.

TIBER-EU veröffentlicht Leitlinien und Vorlagen, die die Festlegung des Umfangs, die Bedrohungsanalyse, die Tests, die Berichterstattung und die Behebung von Schwachstellen strukturieren können. Ihr Wert liegt in den Entscheidungen und Nachweisen, die sie ordnen, nicht allein in der Verwendung eines geläufigen Dokumenttitels.

Ordnen Sie jedes Ergebnis den geltenden RTS-Inhaltsanforderungen und den Vorgaben der zuständigen Behörden zu. Eine ausgefüllte Vorlage, in der eine wesentliche Abhängigkeit oder eine ungeklärte Autorisierungsfrage fehlt, löst das zugrunde liegende Problem nicht.

Die für Sie geltende Umsetzung prüfen

Für Behörden können nationale oder sektorspezifische betriebliche Regelungen gelten. Grenzüberschreitende Tests werfen Fragen zu Aufsicht, Koordination und Anerkennung auf. Klären Sie diese zu Beginn, damit die Übung nicht auf unvereinbaren Annahmen beruht.

Für bedeutende Institute unter Aufsicht der EZB ist der Umsetzungsleitfaden der EZB eine hilfreiche offizielle Referenz. Andere Finanzunternehmen sollten die zuständige Behörde und die einschlägigen Leitlinien ermitteln, statt anzunehmen, dass in jedem Fall dasselbe Betriebsmodell gilt.

Bitten Sie um die Zuordnung

Ein aussagekräftiger Anbietervorschlag erläutert, wie Umfang, Szenarien, Risikokontrollen, Durchführung und Abschluss auf DORA, die RTS und den anwendbaren Rahmen abgestimmt sind. Er zeigt außerdem, welche Zuständigkeiten beim Finanzunternehmen und bei der zuständigen Behörde verbleiben.

Bitten Sie den Anbieter, Annahmen oder Abweichungen zu benennen, die genehmigt werden müssen. „TIBER-konform ausgerichtet“ ist eine Beschreibung, die durch ein nachvollziehbares Bereitstellungsmodell belegt werden sollte; sie stellt keine aufsichtsrechtliche Billigung dar.

Erstellen Sie eine praxisnahe Zuordnung der Anforderungen

Erstellen Sie eine Arbeitsübersicht, die die jeweils einschlägige Anforderung oder den Framework-Schritt mit einer verantwortlichen Person, einer Aktivität und den erwarteten Nachweisen verknüpft. Berücksichtigen Sie Abhängigkeiten von der Einrichtung, den Anbietern und den Testmanagern. Ziel ist es, fehlende Zuständigkeiten vor der Durchführung aufzudecken, nicht einen zweiten Satz allgemeiner Dokumente zu erstellen. Falls nationale oder branchenspezifische Regelungen die Handhabung eines Schritts ändern, benennen Sie die Quelle und klären Sie die betrieblichen Auswirkungen mit den zuständigen Beteiligten.

Reguläre Prüfungen im Finanzsektor können nützliche technische Erkenntnisse liefern, doch ihre Ergebnisse erfüllen einen anderen Zweck. Der Vergleich zwischen Bank-Pentest und TLPT erläutert, warum eine vertraute technische Methode die Governance-Prozesse nicht gleichwertig macht.

Produktpflichten klar von Übungspflichten abgrenzen

Bei einem Finanztechnologiedienst können zudem Prüfungsarbeiten zu Anwendungsreleases, Kundenverträgen oder Zahlungskartendaten erforderlich sein. Beschreiben Sie die Beziehungen zwischen diesen Arbeitsbereichen, ohne zu behaupten, dass ein Rahmenwerk automatisch ein anderes erfüllt. Nutzen Sie zutreffende Architektur- und Zuständigkeitsangaben wieder, wo dies sinnvoll ist, und wahren Sie zugleich Ziel und Abnahmekriterien jeder Prüfung. Der Leitfaden zur Abgrenzung von Fintech-, DORA- und PCI-Tests erläutert diese Unterscheidung für Produktteams.

Fragen Sie bei der Beschaffung und zum Abschluss nach einer klaren Erläuterung, wie die geplanten und ausgeführten Arbeiten dem jeweils geltenden Verfahren entsprechen. Halten Sie wesentliche Annahmen, genehmigte Änderungen und Einschränkungen der Abdeckung fest. So lässt sich die Verwendung der Rahmenwerksbegriffe anhand der Auftragsdokumentation überprüfen, ohne sich auf eine pauschale Aussage wie „ausgerichtet“ zu verlassen, deren praktische Bedeutung niemand abgestimmt hat.

Setzen Sie Ihre Vorbereitung fort

• Die Methodik des Auftrags
• Offizielle Ressourcen