DORA-TLPT und Drittanbieter: Berechtigungen und gebündelte Tests

Die Entscheidung, bei der Ihnen dieser Leitfaden hilft

Ein Dienstleistungsvertrag berechtigt nicht zwangsläufig zu offensiven Tests der Infrastruktur eines Anbieters. Ermitteln Sie relevante IKT-Abhängigkeiten und klären Sie frühzeitig Teilnahme, Berechtigungen und Einschränkungen gemeinsam genutzter Umgebungen. Machen Sie die Verantwortlichkeiten des Finanzunternehmens bei der Bewertung etwaiger Tests mit mehreren Beteiligten sichtbar.

Eine kritische Funktion endet selten an der Grenze des Unternehmens

Finanzunternehmen stützen sich für Funktionen, die in ein TLPT einbezogen werden können, auf IKT-Drittdienstleister. DORA regelt deren Einbindung und verlangt Vereinbarungen für die relevante Mitwirkung. Durch das Auslagern einer Abhängigkeit entfällt nicht die Verantwortung des Finanzunternehmens.

Bei der Umfangsplanung muss zwischen der zu prüfenden Funktion, den sie unterstützenden Systemen und den für deren Prüfung erforderlichen rechtlichen Genehmigungen unterschieden werden. Ein Vertrag über die Nutzung eines Dienstes stellt nicht zwangsläufig eine Genehmigung dar, offensive Tests gegen diesen Dienst durchzuführen.

Die Abhängigkeit ermitteln, bevor Szenarien ausgewählt werden

Dokumentieren Sie, welche Leistungen der Anbieter unterstützt, welche Systeme oder Prozesse betroffen sein könnten und ob der Dienst gemeinsam mit anderen Kunden genutzt wird. Legen Sie frühzeitig die vertraglichen und betrieblichen Kontaktwege fest.

Ein Szenario kann von Identitätsdiensten, Hosting, Kommunikation oder einem ausgelagerten Betriebsprozess abhängen. Wenn die Beteiligung vorausgesetzt wird, ohne vereinbart worden zu sein, können sowohl der Zeitplan als auch der Beweiswert des Auftrags beeinträchtigt werden.

Beteiligung und betriebliche Schutzmaßnahmen abstimmen

• Den relevanten Anbieter und wesentliche Abhängigkeiten von Unterauftragnehmern ermitteln.
• Die für die vorgeschlagene Tätigkeit erforderlichen Berechtigungen und vertraglichen Vereinbarungen einholen.
• Mandantengrenzen, unzulässige Aktionen und Auswirkungen auf andere Kunden klären.
• Legen Sie Eskalationswege, Abbruchbedingungen und die Koordination von Sicherheitsvorfällen fest.
• Umgang mit Nachweisen, Zugriff, Vertraulichkeit und Berichtsverteilung vereinbaren.

Setzen Sie andere Kunden nicht dem Vorhaben aus und behandeln Sie nicht die gesamte Plattform des Anbieters automatisch als Teil des Umfangs. Das Kontrollteam, der Anbieter und das zuständige Behördenverfahren benötigen ein gemeinsames Verständnis der Grenzen.

Wann gebündelte Tests relevant sein können

DORA sieht unter den in Artikel 26 beschriebenen Umständen gebündelte Testverfahren vor, insbesondere wenn die Teilnahme an einem Test die Servicequalität oder Sicherheit für andere Kunden oder die Vertraulichkeit beeinträchtigen könnte. Solche Verfahren müssen die geltenden Bedingungen und das Aufsichtsverfahren einhalten.

Ein allgemeiner Penetrationstestbericht eines Anbieters ist nicht automatisch ein gemeinsamer TLPT und ersetzt nicht die Pflichten eines Unternehmens. Ermitteln Sie, welche Funktionen, Beteiligten und Risiken die vorgeschlagene Regelung tatsächlich abdeckt und wie die Anerkennung gehandhabt wird.

Nehmen Sie das Thema in das erste Briefing auf

Teilen Sie potenziellen Testanbietern mit, welche IKT-Abhängigkeiten voraussichtlich wesentlich sind und welche Vorkehrungen für die Beteiligung bereits getroffen wurden. Führen Sie noch offene Genehmigungen als Abhängigkeiten auf und nicht als versteckte Ausschlüsse.

Der beste nächste Schritt ist oft eine bessere Bestandsaufnahme und ein abgestimmter Kontaktweg. Anschließend lassen sich detaillierte Szenarien für einen Umfang entwickeln, der sowohl aussagekräftig als auch genehmigt ist.

Ein teilnahmebezogenes Briefing für spezifische Abhängigkeiten vorbereiten

Beschreiben Sie die vom Anbieter unterstützte Funktion, die relevante Dienstleistungsgrenze, die vorgeschlagene Beteiligung und die erwarteten Nachweise. Benennen Sie Ansprechpartner, die den technischen Prüfungsumfang, die vertragliche Genehmigung und betriebliche Schutzmaßnahmen besprechen können. Eine allgemeine Bitte um „Unterstützung unseres TLPT“ lässt zu viel Interpretationsspielraum. Unterscheiden Sie Aktivitäten an der eigenen Dienstkonfiguration des Unternehmens von Aktivitäten, die eine gemeinsam genutzte Plattform oder die Umgebung eines anderen Kunden betreffen.

Der Leitfaden zu Cloud-Identitäten im Fintech-Bereich hilft dabei, einen eng umrissenen Vergleich von Principal, Ressource und Operation zu formulieren. Der Leitfaden zum Beschaffungsumfang von Bankprüfungen zeigt, wie fehlende Berechtigungen als sichtbare Annahmen festgehalten werden können. Diese Methoden eignen sich zur Vorbereitung im Rahmen des umfassenderen TLPT-Koordinierungsprozesses.

Vereinbaren, wie Nachweise des Anbieters in den Abschluss einfließen

Bestimmen Sie, welche Beobachtungen der Anbieter bereitstellen kann, wer darauf zugreifen darf und wie sie mit dem Zeitablauf der Übung korreliert werden. Dokumentieren Sie etwaige Einschränkungen aufgrund gemeinsam genutzter Infrastruktur, Vertraulichkeit oder Aufbewahrung. Vom Anbieter bereitgestellte Nachweise sollten als solche gekennzeichnet und mit dem relevanten Kontext und den Einschränkungen versehen werden, statt als eine vom Testteam unabhängig beobachtete Handlung dargestellt zu werden.

Wenn die Teilnahme oder eine vorgeschlagene Methode nicht vereinbart werden kann, eskalieren Sie die Abhängigkeit über den einschlägigen Governance-Prozess. Lassen Sie sie nicht stillschweigend weg, während Sie weiterhin pauschal behaupten, die betreffende Funktion abzudecken. Halten Sie den Grund, die Auswirkungen auf die Szenarien und jede genehmigte Alternative fest. So erhalten Testverantwortliche und das Unternehmen eine klare Grundlage für die Entscheidung, wie die Grenze zu behandeln ist, und es wird verhindert, dass eine kommerzielle Annahme zu einer undokumentierten Testberechtigung wird.

Setzen Sie Ihre Vorbereitung fort

• Ein TLPT eingrenzen
• Fragen zur Beschaffung