Kurzdefinition: Der bedrohungsorientierte Penetrationstest — englisch Threat-Led Penetration Testing (TLPT) — ist die anspruchsvollste Teststufe der DORA. Nach Art. 26 DORA führen dazu ermittelte Finanzunternehmen, die weder in Art. 16 Abs. 1 genannt noch Kleinstunternehmen sind, mindestens alle drei Jahre erweiterte Tests anhand von TLPT durch. Getestet wird an Live-Produktionssystemen, die kritische oder wichtige Funktionen unterstützen. [N-DORA-26]
Der Normwortlaut
Art. 26 Abs. 1 DORA bestimmt, dass ermittelte Finanzunternehmen — außer den in Art. 16 Abs. 1 Unterabs. 1 genannten Unternehmen und Kleinstunternehmen — „mindestens alle drei Jahre anhand von TLPT erweiterte Tests“ durchführen. Nach Abs. 2 gilt: „Jeder bedrohungsorientierte Penetrationstest schließt mehrere oder alle kritischen oder wichtigen Funktionen eines Finanzunternehmens ein und wird an Live-Produktionssystemen durchgeführt, die derartige Funktionen unterstützen“. [N-DORA-26]
Was ist ein TLPT?
Ein realitätsnaher Angriffstest. Der TLPT bildet reale Bedrohungsszenarien nach, um die Widerstandsfähigkeit der IKT-Systeme unter echten Bedingungen zu prüfen. Er geht über gewöhnliche Sicherheitstests hinaus und orientiert sich an tatsächlichen Angreiferverhalten (threat intelligence). [N-DORA-26]
Wer muss TLPT durchführen?
Ermittelte Finanzunternehmen. Nicht jedes Finanzunternehmen ist verpflichtet: Die zuständigen Behörden ermitteln, welche Unternehmen TLPT durchführen müssen. Kleinstunternehmen und die in Art. 16 Abs. 1 DORA genannten Unternehmen sind ausgenommen. [N-DORA-26]
Wie oft und woran wird getestet?
Mindestens alle drei Jahre, an Live-Systemen. Nach Art. 26 DORA erfolgt der Test mindestens alle drei Jahre; die Behörde kann die Häufigkeit anpassen. Getestet wird an Live-Produktionssystemen, die kritische oder wichtige Funktionen unterstützen — nicht nur an Testumgebungen. [N-DORA-26]
Werden IKT-Drittdienstleister einbezogen?
Ja. Sind IKT-Drittdienstleister in das Spektrum des TLPT einbezogen, ergreift das Finanzunternehmen alle erforderlichen Maßnahmen, um ihre Einbindung sicherzustellen, und trägt jederzeit die volle Verantwortung für die Einhaltung der Verordnung. Unter Bedingungen sind gebündelte Tests mehrerer Finanzunternehmen möglich. [N-DORA-26]
Was passiert nach dem Test?
Bericht und Bescheinigung. Nach Abschluss legen das Finanzunternehmen und ggf. die externen Tester der benannten Behörde eine Zusammenfassung der Ergebnisse, Pläne mit Abhilfemaßnahmen und Belege vor. Die Behörden stellen eine Bescheinigung über die anforderungsgemäße Durchführung aus. [N-DORA-26]
Häufige Fehlannahmen
- „Jedes Finanzunternehmen muss TLPT durchführen.“ Nein. Nur von der Behörde ermittelte Unternehmen; Kleinstunternehmen sind ausgenommen. [N-DORA-26]
- „TLPT wird nur in Testumgebungen durchgeführt.“ Nein. Der Test bezieht Live-Produktionssysteme der kritischen oder wichtigen Funktionen ein; Risiko- und Schutzmaßnahmen sind dabei mitzudenken. [N-DORA-26]
- „Ein TLPT genügt einmalig.“ Nein. Er ist mindestens alle drei Jahre zu wiederholen. [N-DORA-26]
- „IKT-Drittdienstleister bleiben außen vor.“ Nicht zwingend. Sie können einbezogen werden; das Finanzunternehmen trägt die Verantwortung. [N-DORA-26]
- „TLPT ist dasselbe wie die jährlichen Resilienz-Tests.“ Nein. TLPT ist die erweiterte Teststufe zusätzlich zum allgemeinen Testprogramm. [N-DORA-26]
- „Nach dem Test ist keine Dokumentation nötig.“ Doch. Ergebnisse, Abhilfepläne und Belege sind der Behörde vorzulegen. [N-DORA-26]
Was die Geschäftsleitung tun sollte
- Betroffenheit klären. Prüfen, ob das Unternehmen als TLPT-pflichtig ermittelt wurde.
- Testprogramm planen. Den Drei-Jahres-Zyklus und die einzubeziehenden kritischen Funktionen festlegen.
- Drittdienstleister einbinden. Verträge so gestalten, dass eine TLPT-Einbindung möglich ist.
- Ergebnisse nachhalten. Abhilfemaßnahmen umsetzen und der Behörde belegen.
Für die Geschäftsleitung
Der TLPT ist die Königsdisziplin der DORA-Tests: echter Angriff auf echte Systeme. Wer als Finanzunternehmen dazu ermittelt wird, sollte den Drei-Jahres-Zyklus, die Einbindung kritischer Dienstleister und die Nachweispflichten fest in seine Resilienz-Governance einbauen.
Quellen
- [N-DORA-26] Art. 26 DORA (VO (EU) 2022/2554, Erweiterte Tests von IKT-Tools, -Systemen und -Prozessen auf Basis von TLPT). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554
