DORA-TLPT-Regeln | Artikel 26–27 und Verordnung 2025/1190

Was dies für Ihren Test bedeutet

Verwenden Sie die Artikel 26 und 27 der DORA, die endgültigen RTS für TLPT und das geltende Verfahren der zuständigen Behörde als regulatorische Referenz. Diese Seite ordnet die Quellen und ihre jeweiligen Funktionen. Einen praxisorientierten Überblick bietet der Leitfaden zu den Anforderungen; für die Beauftragung sollten Sie die Position der Behörde und des jeweiligen Unternehmens klären.

Artikel 26 — Erweiterte Tests

Artikel 26 begründet die TLPT-Pflicht für identifizierte Finanzunternehmen. Er regelt Häufigkeit, Abdeckung kritischer oder wichtiger Funktionen, Live-Produktionssysteme, Beteiligung Dritter, Prüfervoraussetzungen, Dokumentation und gegenseitige Anerkennung.

Das Finanzunternehmen bewertet den Umfang und schlägt ihn vor. Die zuständige Behörde validiert ihn. Werden IKT-Drittdienstleister einbezogen, müssen ihre Beteiligung und die Schutzmaßnahmen vor Testbeginn berücksichtigt werden. Das Unternehmen bleibt für die Erfüllung seiner Pflichten verantwortlich.

Artikel 27 — Anforderungen an Prüfende

Bei der Auswahl eines Anbieters sind Eignung und Reputation, technische und organisatorische Fähigkeiten sowie besondere Fachkenntnisse in den Bereichen Threat Intelligence, Penetrationstests und Red Teaming zu berücksichtigen.

Der Artikel behandelt außerdem die Zertifizierung durch eine Akkreditierungsstelle in einem Mitgliedstaat oder die Einhaltung formeller Verhaltenskodizes oder ethischer Rahmenwerke, unabhängige Prüfungen oder Audits des relevanten Risikomanagements sowie eine Berufshaftpflichtversicherung. Ein Website-Siegel allein belegt die Eignung nicht.

Für interne Tester gelten zusätzliche Bedingungen und die Genehmigung der zuständigen Behörde. Bedeutende Institute müssen gemäß Artikel 26 externe Tester einsetzen. Prüfen Sie die genauen Bestimmungen, die für Ihr Unternehmen gelten.

Die TLPT-RTS — Verordnung (EU) 2025/1190

Die RTS enthalten detaillierte Anforderungen an Auswahl, interne Tester, Umfang und Testverfahren, Ergebnisse, Abschluss, Behebung von Schwachstellen sowie die Zusammenarbeit zwischen den Behörden.

Zu den praktischen Auswirkungen gehört, dass die aktive Red-Team-Testphase mindestens 12 Wochen dauert, bestimmte Angaben in den Berichten erforderlich sind und der Abschluss die Beteiligung des Blue Teams sowie Purple Teaming umfasst. Bei der Zeitplanung muss der gesamte Prozess berücksichtigt werden, nicht nur die aktive Testphase.

TIBER-EU und die nationale Umsetzung

TIBER-EU bietet einen Rahmen, Leitlinien für Teilnehmer und Vorlagen, um bedrohungsgestützte Tests operativ umzusetzen. Es unterstützt DORA-TLPT, ersetzt jedoch weder die Rechtsvorschriften noch die RTS oder die Anweisungen der zuständigen Behörden.

Für bedeutende Institute unter EZB-Aufsicht bietet der EZB-Umsetzungsleitfaden zusätzlichen operativen Kontext. Nationale Regelungen und die grenzüberschreitende Zusammenarbeit sollten zu Beginn geklärt werden.

Was sich anhand dieser Referenz nicht entscheiden lässt

Diese Seite kann weder Ihre Einstufung bestimmen noch Ihren Umfang genehmigen oder die vollständige Eignung eines Anbieters beurteilen. Solche Entscheidungen erfordern die konkrete Einheit, Nachweise und das Verfahren der zuständigen Stelle. TLPT ist ein Bestandteil der DORA, die auch ein umfassenderes IKT-Risikomanagement, die Meldung von Vorfällen und das Drittparteienrisiko abdeckt.

Fahren Sie fort mit Wer TLPT benötigt oder dem Beschaffungsleitfaden.