TLPT-Ergebnisse: Feststellungen, Nachweise und Nachtests

Was sollte der Bericht belegen?

Ihr TLPT-Bericht sollte die versagte Kontrolle und die nachgewiesene Auswirkung erläutern, statt lediglich einen Schweregrad zuzuweisen. Achten Sie auf einen von der Behörde validierten Umfang, bedrohungsgeleitete Szenarien und Nachweise zum Abschluss, reproduzierbare Beobachtungen und betroffene Verantwortliche. Abdeckungslücken und nicht getestete Auswirkungen müssen sichtbar bleiben, damit der Bericht eine fundierte und vertretbare Entscheidung unterstützt.

Dokumentieren Sie die Nachweise während des gesamten Tests

Ein aussagekräftiger TLPT-Nachweis verbindet den Umfang und die Bedrohungsannahmen mit den durchgeführten Maßnahmen, den Beobachtungen der Verteidigung und den daraus resultierenden Verbesserungen. Stimmen Sie Vorlagen, Zugriffskontrollen und Zuständigkeiten während der Vorbereitung ab.

Ausgabe	Zweck	Noch zu vereinbarende Zuständigkeit
Umfangs- und Governance-Dokumentation	Verfolgen Sie kritische Funktionen, Abhängigkeiten, Autorisierung und Sicherheitskontrollen.	Finanzunternehmen und Kontrollteam, mit Validierung des Umfangs durch die zuständige Behörde.
Gezielte Bedrohungsanalyse	Bedrohungsrelevanz, Angriffsfläche und Szenarioauswahl erläutern	Anbieter von Bedrohungsinformationen und die relevanten Prüfbeteiligten.
Testplan und -bericht des Red Teams	Geplante Szenarien, Durchführung, Nachweise und Kontrollergebnisse beschreiben.	Red-Team-Tester in Abstimmung mit Kontrollteam und zuständiger Stelle.
Bericht des Blue Teams	Dokumentieren Sie, was die Verteidiger beobachtet, erkannt und unternommen haben.	Blue Team und Kontrollteam des Finanzunternehmens.
Erkenntnisse aus Wiedergabe und Purple Teaming	Angriffs- und Abwehrbeobachtungen abgleichen und Verbesserungsmöglichkeiten ermitteln.	Kontrollteam, Blue Team und Tester.
Testzusammenfassung und Maßnahmenplan	Fassen Sie Feststellungen, Maßnahmen und die Grundlage für den Abschluss zusammen.	Finanzunternehmen mit Unterstützung von Dienstleistern; Einreichung über das Behördenverfahren.

Berichterstattung für mehrere Zielgruppen

Technische Teams benötigen eine nachvollziehbare Darstellung der Ereignisse und Nachweise. Die Geschäftsleitung benötigt Informationen zu den Auswirkungen auf kritische Funktionen, zu den Gründen für wesentliche Lücken und zu klar zugeordneten Verbesserungsentscheidungen. Die zuständige Behörde benötigt die vorgeschriebenen Unterlagen in der geeigneten Form.

Abstimmen, welche Informationen in die jeweiligen Ergebnisse gehören. Testberichte können sensible Sicherheitsinformationen enthalten. Eine eingeschränkte Verteilung und ein sicheres Übermittlungsverfahren verwenden; Berichte nicht an das öffentliche Anfrageformular anhängen.

Behebungsmaßnahmen nachverfolgbar gestalten

Beschreiben Sie die Schwachstelle und die betroffene Funktion oder Kontrolle.
Benennen Sie eine verantwortliche Person und einen realistischen Zieltermin.
Abhängigkeiten und vorläufige Gegenmaßnahmen dokumentieren.
Nachweise für den Abschluss und etwaige Validierungsarbeiten festlegen.
Eskalieren Sie ungelöste Risiken über den Governance-Prozess des Unternehmens.

Wiederholungstests und anschließende Validierungen müssen im Auftrag oder in einer gesondert vereinbarten Erweiterung festgelegt werden. Sie gelten nicht stillschweigend als unbefristet enthalten.

Was eine Bescheinigung bedeutet – und was nicht

DORA sieht eine Bescheinigung zur Unterstützung der gegenseitigen Anerkennung vor. Ihre Ausstellung und Anerkennung fallen in das Verfahren der zuständigen Behörde. Der Testanbieter zertifiziert weder die vollständige DORA-Konformität der Organisation noch garantiert er, dass alle künftigen Angriffe scheitern.

Praktische Hinweise zur Vorbereitung finden Sie im Leitfaden zu Berichterstattung und Behebung.

Primärquellen

Allgemeine Informationen, keine Rechtsberatung. Bestätigen Sie die geltenden Anforderungen und Testvereinbarungen mit der zuständigen Behörde.