TLPT-Glossar: Umfang, Feststellungen und Begriffe zu Nachtests

Verwenden Sie präzise Begriffe, um präzise Leistungen zu beauftragen

Ein Angebot sollte erläutern, was seine Testbedingungen in der Praxis bedeuten. Nutzen Sie dieses Glossar, um bei Gesprächen über kritische Funktionen, Bedrohungsszenarien und Abhängigkeiten von Live-Systemen zwischen Zugang, Autorisierung und beobachteter Auswirkung zu unterscheiden. Bitten Sie den Anbieter, allgemeine Begriffe in konkrete Ziele und messbare Abnahmekriterien zu überführen.

Bedrohungsgeleitete Penetrationstests (TLPT)

Ein kontrollierter, maßgeschneiderter, informationsgestützter Red-Team-Test, der glaubwürdige Bedrohungsakteure gegen kritische Live-Produktionssysteme modelliert. Im Rahmen von DORA hat fortgeschrittenes Testen einen klar definierten regulatorischen Kontext und ein festgelegtes Genehmigungsverfahren.

Gesetz über die digitale operationale Resilienz (DORA)

Verordnung (EU) 2022/2554 zur Festlegung von Anforderungen an die digitale operationelle Resilienz des Finanzsektors. TLPT ist eine von mehreren Komponenten neben einem umfassenderen IKT-Risikomanagement und weiteren Pflichten.

Technische Regulierungsstandards (RTS)

Detaillierte Anforderungen zur Ergänzung der Rechtsvorschriften. Für DORA-TLPT regelt die Delegierte Verordnung (EU) 2025/1190 der Kommission Auswahl, Methodik, Beteiligte, Abschluss und damit zusammenhängende Angelegenheiten.

TIBER-EU

Der europäische Rahmen für bedrohungsinformationsgestütztes ethisches Red Teaming. Er bietet praktische Leitlinien und Vorlagen; er ist keine Akkreditierung kommerzieller Anbieter.

Kritische oder wichtige Funktion

Eine Funktion, deren Ausfall die relevante finanzielle Leistungsfähigkeit, die Dienstekontinuität oder die Einhaltung regulatorischer Vorgaben, wie in DORA beschrieben, wesentlich beeinträchtigen würde. Beim TLPT werden diese Funktionen den unterstützenden Ressourcen zugeordnet.

Kontrollteam

Die eingeschränkte Gruppe innerhalb des getesteten Unternehmens, die von der Übung weiß und sie steuert. Ihre Leitung koordiniert sich mit den Testmanagern der Behörde und den relevanten Anbietern.

Blue Team

Die Verteidiger, deren Präventions-, Erkennungs- und Reaktionsfähigkeiten getestet werden. Ihre Beobachtungen sind für den Abschluss und die gewonnenen Erkenntnisse unverzichtbar.

Red Team

Die Tester, die vereinbarte gegnerische Szenarien innerhalb des genehmigten Umfangs und der Einsatzregeln ausführen.

Gezielte Bedrohungsanalyse

Analyse relevanter Bedrohungen und der Gefährdung des Unternehmens, die zur Auswahl von Szenarien und zur Ausrichtung der Tests herangezogen wird. Sie sollte den Zusammenhang zwischen der Bedrohung und den getesteten Funktionen ausdrücklich darstellen.

Purple Teaming

Strukturierte Zusammenarbeit zwischen Angreifern und Verteidigern, um Ergebnisse zu verstehen, Lücken aufzudecken und Kontrollen zu verbessern. Rolle und Zeitpunkt müssen den geltenden Testanforderungen entsprechen.

Bescheinigung

Dokumentation aus dem Verfahren der zuständigen Behörde, die die Anerkennung eines gemäß den Anforderungen durchgeführten TLPT unterstützt. Sie bescheinigt nicht die vollständige DORA-Konformität eines Unternehmens.

Primärquellen

Allgemeine Informationen, keine Rechtsberatung. Bestätigen Sie die geltenden Anforderungen und Testvereinbarungen mit der zuständigen Behörde.