Was dies für Ihren Test bedeutet
Die Pflicht zur Einhaltung von DORA bedeutet nicht automatisch, dass ein Unternehmen für ein TLPT ausgewählt wurde. Klären Sie vor dem Kauf eines Auftrags die zuständige Behörde, die Auswahlentscheidung und die geltenden Anforderungen. Andere Pflichten zu Resilienztests bleiben ein gesonderter Teil des Programms.
Die kurze Antwort
Nicht jedes Finanzunternehmen im Anwendungsbereich von DORA muss TLPT durchführen. Artikel 26 gilt für Finanzunternehmen, die im Verfahren der zuständigen Behörde bestimmt werden, vorbehaltlich der dort genannten Ausnahmen. Die RTS zum TLPT legt Auswahlkriterien fest.
Allein die Tatsache, dass Sie eine Bank, ein Versicherer, ein Zahlungsdienstleister oder ein IKT-Anbieter sind, reicht nicht aus, um Ihre individuelle Verpflichtung zu bestimmen. Bestätigen Sie Ihre Einstufung als Unternehmen, die geltenden Kriterien sowie eine etwaige Benennung oder Mitteilung durch Ihre zuständige Behörde.
Ablauf der Auswahl
DORA verlangt von den zuständigen Behörden, unter den relevanten Faktoren die Auswirkungen des Unternehmens auf den Finanzsektor, Folgen für die Finanzstabilität, das IKT-Risikoprofil und die technologische Reife zu berücksichtigen. Die RTS ergänzen Kriterien für das Identifizierungsverfahren.
Artikel 26 nimmt Kleinstunternehmen und die in Artikel 16 Absatz 1 Unterabsatz 1 genannten Unternehmen von dieser Pflicht zu erweiterten Tests aus. Wenden Sie diese Kategorien sorgfältig an; die geschäftliche Beschreibung einer Organisation ist keine rechtliche Einstufung.
Wie oft ist ein TLPT vorgeschrieben?
Für Unternehmen, die Artikel 26 unterliegen, gilt als Richtwert mindestens einmal alle drei Jahre. Die zuständige Behörde kann die Häufigkeit anhand des Risikoprofils und der betrieblichen Umstände anpassen.
Der Geltungsbeginn von DORA am 17. Januar 2025 ist kein allgemein geltender Termin für den ersten Test. Die Mitteilung und das Verfahren Ihrer zuständigen Behörde bestimmen den praktischen Testzeitplan. Leiten Sie keine automatische Frist zum 17. Januar 2028 für jedes Finanzunternehmen ab.
Wenn Ihr Unternehmen nicht ausgewählt wurde
Die allgemeinen Anforderungen an Tests der digitalen operationalen Resilienz können weiterhin gelten. Herkömmliche Penetrationstests, Schwachstellenbewertungen und andere Testmethoden können gemäß DORA und dem Risikoprofil des Unternehmens Teil dieses Programms sein.
Eine freiwillige, bedrohungsorientierte Übung kann sinnvoll sein, doch ihr Status und eine mögliche Anerkennung müssen eindeutig sein. Bezeichnen Sie einen gewöhnlichen Penetrationstest nicht als „DORA-TLPT“, nur weil dabei ein Finanzinstitut getestet wird.
Was intern zu prüfen ist
- Die juristische Person und die für sie zuständige Behörde
- Jede Mitteilung über eine Auswahl, aufsichtsrechtliche Kommunikation oder ein geplantes Testzeitfenster.
- Die kritischen oder wichtigen Funktionen, die voraussichtlich in den Prüfungsumfang fallen.
- Frühere TIBER- oder TLPT-Übungen und relevante Anerkennungsnachweise.
- Wer wird das Kontrollteam und die regulatorische Koordination leiten?
Verwenden Sie die Checkliste zur Vorbereitung, um die Informationen zusammenzustellen, und besprechen Sie den Umfang Ihres TLPT.
Primärquellen
Allgemeine Informationen, keine Rechtsberatung. Bestätigen Sie die geltenden Anforderungen und Testvereinbarungen mit der zuständigen Behörde.
