Dora Resilienztests

/dora:dora-resilienztests

Zweck

DORA verlangt ein risikobasiertes, dokumentiertes Testprogramm als integralen Bestandteil des IKT-Risikomanagements. Nicht jedes Finanzunternehmen muss bedrohungsorientierte Penetrationstests (TLPT) durchführen — diese treffen nur bedeutende Unternehmen, die von der zuständigen Behörde benannt werden. Dieser Skill trennt die allgemeine Testpflicht von der TLPT-Pflicht und liefert den Testkalender.

Eingaben

• Art und Größenklasse des Finanzunternehmens (Mikrounternehmen nach Art. 16 ausgenommen?)
• Systemische Bedeutung / Marktstellung (Kandidat für TLPT-Benennung?)
• Inventar kritischer oder wichtiger Funktionen
• Letzte durchgeführte Tests (Datum, Methode, Befunde)
• Eingesetzte IKT-Drittdienstleister im TLPT-Scope
• Interne vs. externe Testkapazität

Sub-Agent-Architektur

Drei gedankliche Rollen. Ein Scoping-Agent bestimmt, welche Systeme und Funktionen in das jährliche Testprogramm gehören und ob das Unternehmen als bedeutend für eine TLPT-Benennung in Betracht kommt. Ein Methoden-Agent ordnet jeder Funktion die passende Testmethode nach Art. 25 DORA zu (Schwachstellenbewertung, Quellcode-Review, szenariobasierte Tests etc.). Ein TLPT-Agent prüft die Sonderanforderungen des Art. 26/27 DORA (Live-Produktionssystem, Roter/Blauer Team, Tester-Akkreditierung, Dreijahreszyklus). Die Rollen erzeugen gemeinsam einen Testkalender; die Freigabe liegt beim Leitungsorgan.

Ablauf

1. Allgemeine Anforderungen (Art. 24 DORA)

• Finanzunternehmen (außer Mikrounternehmen) errichten ein umfassendes Testprogramm.
• Risikobasiert, mindestens jährlich für IKT-Systeme, die kritische oder wichtige Funktionen tragen.
• Unabhängigkeit der Tester (intern/extern), Behebung festgestellter Schwachstellen nach Priorität.

2. Testmethoden (Art. 25 DORA)

Das Programm umfasst je nach Risiko u. a.:

• Schwachstellenbewertung und -scans, Open-Source-Analysen
• Netzwerksicherheitsbewertungen, Gap-Analysen
• Quellcode-Überprüfung (soweit machbar), szenariobasierte Tests
• Kompatibilitäts-, Leistungs- und End-to-End-Tests
• Penetrationstest

3. TLPT-Pflicht (Art. 26 DORA)

• Nur bedeutende Finanzunternehmen, die von der zuständigen Behörde benannt werden, führen TLPT durch.
• Turnus: mindestens alle drei Jahre (Dreijahreszyklus), risikobasiert anpassbar.
• TLPT deckt mehrere kritische oder wichtige Funktionen ab und wird auf dem Live-Produktionssystem durchgeführt.
• Einbezug relevanter IKT-Drittdienstleister; Pooled Testing möglich.

4. Anforderungen an Tester (Art. 27 DORA)

• Externe Tester benötigen Eignung, Reputation und Tester-Akkreditierung bzw. Zertifizierung.
• Interne Tester nur unter strengen Voraussetzungen und behördlicher Genehmigung.
• Abdeckung durch Berufshaftpflicht; Trennung Red Team / Blue Team.

5. Verzahnung

• TLPT-Befunde fließen in den IKT-Risikomanagement-Rahmen (Art. 6 DORA) und das Drittparteienmanagement zurück.
• TIBER-DE dient als Referenzrahmen für die deutsche TLPT-Durchführung.

Risiken / typische Fehler

• TLPT-Pflicht vorschnell angenommen oder verneint — sie gilt nur für von der Behörde benannte bedeutende Unternehmen, nicht für jedes Institut.
• Live-Produktionssystem unzureichend abgesichert — TLPT läuft auf produktiven Systemen, Risikoabsicherung und Notfallplan sind zwingend.
• Tester-Akkreditierung missachtet — nicht akkreditierte Tester führen zur Unverwertbarkeit des TLPT.
• Dreijahreszyklus versäumt — der Turnus ist hart; eine versäumte Runde ist aufsichtsrechtlich relevant.

Quellen

Statute

• VO (EU) 2022/2554 (DORA) — Art. 24 DORA, Art. 25 DORA, Art. 26 DORA, Art. 27 DORA
• RTS zu TLPT (gemeinsame technische Regulierungsstandards der ESA)
• BaFin / Bundesbank: TIBER-DE-Rahmenwerk

Sekundärliteratur

• Maume/Maute/Fromberger, DORA-Kommentar
• Noerr, „Hacken nach Verordnung — Bedrohungsbasierte Penetrationstests nach DORA"

Ausgabeformat

DORA-RESILIENZTESTS — <Mandant> — <Datum>

I.    Geltung Testprogramm (Art. 24 DORA)  [Ja — Nicht-Mikrounternehmen]
II.   Testmethoden (Art. 25 DORA)
      Schwachstellenbewertung               [geplant / durchgeführt]
      Penetrationstest                       [geplant / durchgeführt]
      szenariobasierte Tests                 [geplant / durchgeführt]
III.  TLPT-Pflicht (Art. 26 DORA)            [bedeutend benannt? Ja / Nein]
      Letzter / nächster TLPT                <Datum>  Turnus: 3 Jahre
      Live-Produktionssystem-Absicherung     [vorhanden / offen]
IV.   Tester (Art. 27 DORA)                  [Akkreditierung vorhanden? Ja / Nein]
V.    Befundverwertung                       [in IKT-Rahmen rückgeführt]

Testkalender:
  Q1: <…>   Q3: <…>
Nächster Schritt: <…>