Wie lange dauert ein DORA-TLPT? Mehr als die 12-wöchige Phase

Die Entscheidung, bei der Ihnen dieser Leitfaden hilft

Der Mindestzeitraum für das aktive Red Teaming ist nur ein Teil des Zeitplans. Beschaffung, Scope-Validierung, Informationsaufbereitung, Zugangsbereitschaft und Abschluss benötigen ebenfalls Zeit. Ein realistischer Zeitplan weist diese Abhängigkeiten und Zuständigkeiten aus, statt ein vollständiges TLPT innerhalb von zwölf Wochen zu versprechen.

Zwölf Wochen sind eine Phase, nicht das gesamte Programm

Die TLPT-RTS schreiben vor, dass die aktive Red-Team-Testphase mindestens 12 Wochen dauern muss. Das bedeutet nicht, dass eine vollständige DORA-TLPT innerhalb von 12 Wochen beauftragt, durchgeführt und abgeschlossen werden kann. Vorbereitung, Beschaffung, Bedrohungsanalyse, Planung, Berichterstattung und Abschluss benötigen jeweils Zeit.

Der Gesamtzeitplan hängt vom Umfang, den Beteiligten, den betrieblichen Einschränkungen und dem Verfahren der Behörde ab. Eine feste Gesamtdauer, die genannt wird, bevor diese Faktoren geklärt sind, sollte als zu prüfende Annahme behandelt werden.

Was muss vor Beginn aktiver Tests geschehen

Die Vorbereitung umfasst das Kontrollteam, die Einbindung der zuständigen Behörde, den vorgeschlagenen Umfang, die Auswahl des Anbieters und die vertraglichen Vereinbarungen. Anschließend werden aus diesem Umfang durch Bedrohungsanalysen und Red-Team-Planung relevante Szenarien und kontrollierte Aktivitäten abgeleitet.

Die Beteiligung Dritter und die grenzüberschreitende Koordination können erhebliche Abhängigkeiten für die Terminplanung darstellen. Dasselbe gilt für die Verfügbarkeit benannter Fachleute, die Qualität der Funktionszuordnung und das Verfahren zur Prüfung vorgeschlagener Dokumente. Diese Punkte sollten im Programmplan sichtbar sein und nicht als Reserve verborgen werden.

Das Zeitfenster für aktive Tests sichern

Gemäß Artikel 11 Absatz 5 der RTS dauert die aktive Red-Team-Phase mindestens 12 Wochen. Die Planung sollte die geltenden Anforderungen für die Phase und alle zulässigen methodischen Entscheidungen berücksichtigen. Begrenztes Purple Teaming hat in den RTS eine spezifische Rolle; es ist kein informeller Weg, um einen zu kurzen Auftrag auszugleichen.

Eskalationswege, betriebliche Einschränkungen und den Umgang mit echten Vorfällen vereinbaren. Ein Testkalender, der Produktionsänderungen oder die Verfügbarkeit wichtiger Beteiligter außer Acht lässt, kann unnötige Risiken und Verzögerungen verursachen.

Zeit für den Abschluss und die Planung der Behebung vorsehen

Die RTS enthalten Fristen und Anforderungen an den Berichtsinhalts. So ist der Red-Team-Bericht innerhalb von vier Wochen nach der aktiven Phase vorzulegen; für den Blue-Team-Bericht gilt eine separate Frist, die an den Eingang dieses Berichts geknüpft ist und spätestens zehn Wochen nach Ende der aktiven Tests abläuft.

Für die Testzusammenfassung und die Abhilfepläne gelten weitere Fristen. Einige werden durch Mitteilungen der zuständigen Behörde ausgelöst und lassen sich daher nicht alle einfach berechnen, indem man eine feste Anzahl von Wochen zum ersten Testtag addiert. Lesen Sie Artikel 12 und 13 zusammen mit dem operativen Verfahren der Behörde.

Was ein belastbarer Zeitplan zeigt

• Phasengrenzen und die zugrunde liegenden Annahmen.
• Wer prüft jedes Dokument und innerhalb de quale Frist?
• Abhängigkeiten bei Beschaffung, Drittparteien und Behörden.
• Aktive Tests, Berichterstattung, Wiederholungstests und Teilnahme am Purple Team.
• Planung der Behebung und Zuständigkeiten für die Nachverfolgung.

Planen Sie rückwärts anhand bekannter Einschränkungen, verkürzen Sie jedoch keine verpflichtenden Aktivitäten, um eine willkürliche Frist einzuhalten. Ein Scoping-Gespräch sollte einen Zeitplan mit benannten Abhängigkeiten und ausdrücklich ausgewiesenen Unsicherheiten ergeben.

Abhängigkeiten hinter den Terminen offenlegen

Richten Sie den Arbeitszeitplan nach Entscheidungen aus, die die nächste Aktivität ermöglichen: Governance eingerichtet, vorgeschlagener Umfang ausgearbeitet, Zuständigkeiten des Anbieters vereinbart, Teilnahme bestätigt und betriebliche Schutzmaßnahmen vorbereitet. Benennen Sie für jede Abhängigkeit die verantwortliche Person und den benötigten Beitrag. Ein Termin ohne zuständige Person ist keine verlässliche Planungsmaßnahme. Unterscheiden Sie die Anforderungen des geltenden Rahmenwerks von der geschätzten Vorbereitungszeit der Organisation und stimmen Sie den Plan mit den zuständigen Testmanagern ab.

Der Leitfaden zum Prüfungsumfang bei der Beschaffung von Bank-Penetrationstests bietet eine hilfreiche Möglichkeit, Annahmen zu Zugriff und Nachweisen ausdrücklich festzuhalten. Diese praktischen Angaben sind auch bei der TLPT-Vorbereitung wichtig, obwohl die erweiterte Übung eigene Prozess- und Terminplanungsanforderungen hat.

Zeit für den Abgleich der Nachweise und die Behandlung sichern

Für den Abschluss müssen die Beteiligten Beobachtungen vergleichen, defensive Entscheidungen erläutern und Erkenntnisse in konkrete, verantwortete Maßnahmen überführen. Ermitteln Sie diese Personen frühzeitig und stellen Sie sicher, dass die zuständigen Betriebsverantwortlichen an den relevanten Arbeiten teilnehmen können. Wird erst spät festgestellt, dass der erforderliche Protokollverantwortliche oder Lieferant den Abgleich nicht unterstützen kann, kann dies den Nutzen der Nachweise mindern. Planen Sie ungelöste Beobachtungen und Einschränkungen des Umfangs ein, statt davon auszugehen, dass bis zum Ende der technischen Aktivitäten alle Fragen beantwortet sind.

Für Produktteams, die während des umfassenderen Programms Änderungen bereitstellen, erläutert der Leitfaden zu Fintech-Releases und Nachtests, wie der Versionskontext erhalten bleibt. Wenden Sie diese Vorgehensweise an, damit Beobachtungen aus unterschiedlichen Systemzuständen nicht so verglichen werden, als wären sie gleichwertig. Der endgültige Zeitplan sollte Abhängigkeiten, Annahmen und erforderliche Entscheidungen sichtbar machen; Termine sind als gesteuerter Plan zu behandeln und nicht als unbegründetes Versprechen einer allgemein festen Dauer.

Setzen Sie Ihre Vorbereitung fort

• Die Phasen des Auftrags
• Besprechen Sie Ihr Testzeitfenster