Die vor einem Angebot zu klärenden Fragen
Kosten und Dauer eines DORA-TLPT hängen von den Zielsystemen, Rollen, Geschäftsabläufen, Zugangsregelungen und Berichtsanforderungen ab. Allein anhand der Anzahl der Systeme lässt sich der Aufwand nicht bestimmen. Nutzen Sie die folgenden Fragen, um den Umfang vorzubereiten und die Annahmen zu ermitteln, auf die ein Angebot eingehen muss.
Fragen vor einem Auftrag
Was sind Threat-Led Penetration Tests?
TLPT ist ein kontrollierter, informationsgestützter Test, bei dem realistische Angreiferszenarien gegen die kritischen Live-Produktivsysteme eines Finanzunternehmens eingesetzt werden. Untersucht werden Menschen, Prozesse und Technologien, einschließlich Prävention, Erkennung und Reaktion.
Benötigt jede von DORA erfasste Organisation einen TLPT?
Nein. Die Pflicht zu erweiterten Tests gilt für bestimmte Finanzunternehmen gemäß Artikel 26 und den Auswahlkriterien der TLPT-RTS. Die allgemeinen DORA-Testpflichten sind weiter gefasst. Klären Sie Ihren Status mit der zuständigen Behörde.
Wie oft ist ein DORA-TLPT vorgeschrieben?
Artikel 26 legt für identifizierte Unternehmen eine Basisfrequenz von mindestens einmal alle drei Jahre fest. Die zuständige Behörde kann die Häufigkeit anpassen. Daraus ergibt sich keine einheitliche Frist für den ersten Test.
Wie lange dauert ein TLPT?
Die aktive Red-Team-Testphase dauert gemäß RTS-Artikel 11 Absatz 5 mindestens 12 Wochen. Vorbereitung, Bedrohungsanalyse, Berichterstattung, Abschluss und Sanierungsplanung nehmen zusätzliche Zeit in Anspruch. Ein realistischer Zeitplan wird anhand des Umfangs und des Verfahrens der zuständigen Behörde entwickelt.
Kann ein gewöhnlicher Penetrationstest die TLPT-Anforderungen erfüllen?
Ein gewöhnlicher Penetrationstest erfüllt nicht automatisch die TLPT-Anforderungen. TLPT umfasst zusätzlich gezielte Bedrohungsinformationen, den Umfang kritischer Funktionen, Governance, kontrollierte Angriffsszenarien, die Einbindung von Behörden und spezifische Abschlussanforderungen.
Ist TIBER-EU dasselbe wie DORA?
Nein. DORA und die TLPT-RTS legen rechtliche Anforderungen fest. TIBER-EU ist ein operativer Rahmen mit Leitlinien und Vorlagen, der ihre Umsetzung unterstützen kann. Für den Auftrag gelten weiterhin die Anforderungen der zuständigen Behörde.
Wird der Test in der Produktionsumgebung durchgeführt?
Das DORA-TLPT umfasst die relevanten Live-Produktivsysteme, die die Funktionen im festgelegten Umfang unterstützen. Der Test erfordert eine ausdrückliche Genehmigung, Risikokontrollen, vereinbarte Beschränkungen und Eskalationsverfahren. Eine ausschließlich in einer Staging-Umgebung durchgeführte Übung sollte ohne Zustimmung der zuständigen Behörde nicht als gleichwertig dargestellt werden.
Führt ein TLPT zu einem DORA-Konformitätszertifikat?
Nein. Ein Anbieter bescheinigt nicht mit einem einzigen Test die Erfüllung sämtlicher DORA-Pflichten. Das Verfahren der zuständigen Behörde kann eine Bescheinigung zum TLPT ausstellen, auch im Hinblick auf die gegenseitige Anerkennung. Für die umfassendere Compliance und die Behebung von Mängeln bleibt das Unternehmen verantwortlich.
Wovon hängt der Preis ab?
Umfang, Unternehmen und Funktionen, relevante Anbieter, Szenarien, Bereitstellungsressourcen, Berichterstattung und Abschlussarbeiten beeinflussen den Preis. Ein vereinbartes Angebot sollte Annahmen, enthaltene Leistungen und das Änderungsmanagement darlegen.
Welche Angaben sollen wir in eine erste Anfrage aufnehmen?
Ihre Organisation, Ihre geschäftlichen Kontaktdaten, ob Sie eine Benachrichtigung der zuständigen Behörde erhalten haben, eine allgemeine Beschreibung des voraussichtlichen Umfangs und einen unverbindlichen Zeitrahmen. Übermitteln Sie keine Zugangsdaten, Netzwerkpläne, Schwachstellen oder sensiblen Produktionsinformationen.
Primärquellen
- DORA · Verordnung (EU) 2022/2554
- TLPT-RTS · Delegierte Verordnung (EU) 2025/1190
- EZB · TIBER-EU-Rahmenwerk und Leitlinien
Allgemeine Informationen, keine Rechtsberatung. Bestätigen Sie die geltenden Anforderungen und Testvereinbarungen mit der zuständigen Behörde.
