Kurzdefinition: Die Artikel 24 und 25 DORA verpflichten Finanzunternehmen, die keine Kleinstunternehmen sind, zu einem soliden und umfassenden Programm für das Testen der digitalen operationalen Resilienz. Es ist Teil des IKT-Risikomanagementrahmens, folgt einem risikobasierten Ansatz und umfasst Testarten von der Schwachstellenbewertung bis zum Penetrationstest. IKT-Systeme, die kritische oder wichtige Funktionen unterstützen, sind mindestens einmal jährlich zu testen. [N-DORA-24]
Der Normwortlaut
Art. 24 Abs. 1 DORA verpflichtet Finanzunternehmen, die keine Kleinstunternehmen sind, ein „solides und umfassendes Programm für das Testen der digitalen operationalen Resilienz als integraler Bestandteil des in Artikel 6 genannten IKT-Risikomanagementrahmens“ zu erstellen, zu pflegen und zu überprüfen. Nach Art. 24 Abs. 6 DORA ist sicherzustellen, „dass bei allen IKT-Systemen und -Anwendungen, die kritische oder wichtige Funktionen unterstützen, mindestens einmal jährlich angemessene Tests durchgeführt werden“. [N-DORA-24]
Wer muss Resilienz-Tests durchführen?
Finanzunternehmen, die keine Kleinstunternehmen sind. Art. 24 DORA nimmt Kleinstunternehmen von der Programmpflicht aus; für sie gilt nach Art. 25 Abs. 3 DORA ein an Ressourcen und Risiko orientierter, risikobasierter Ansatz. [N-DORA-24]
Welche Testarten sieht die DORA vor?
Ein breites Spektrum. Art. 25 Abs. 1 DORA nennt unter anderem Schwachstellenbewertungen und -scans, Open-Source-Analysen, Netzwerksicherheitsbewertungen, Lückenanalysen, Überprüfungen der physischen Sicherheit, Quellcodeprüfungen soweit durchführbar, szenariobasierte Tests, Kompatibilitäts-, Leistungs- und End-to-End-Tests sowie Penetrationstests. [N-DORA-25]
Wie oft ist zu testen?
Mindestens jährlich für kritische Systeme. Nach Art. 24 Abs. 6 DORA sind IKT-Systeme und -Anwendungen, die kritische oder wichtige Funktionen unterstützen, mindestens einmal jährlich angemessen zu testen. Der Umfang folgt einem risikobasierten Ansatz (Art. 24 Abs. 3 DORA). [N-DORA-24]
Wer darf die Tests durchführen?
Unabhängige Tester. Nach Art. 24 Abs. 4 DORA stellen Finanzunternehmen sicher, dass Tests von unabhängigen, internen oder externen Parteien durchgeführt werden; bei internen Testern sind ausreichende Ressourcen bereitzustellen und Interessenkonflikte zu vermeiden. [N-DORA-24]
Was ist mit erweiterten Penetrationstests?
Sie treffen nur bestimmte Unternehmen. Über das allgemeine Testprogramm hinaus sieht die DORA für bestimmte Finanzunternehmen bedrohungsgeleitete Penetrationstests (Threat-Led Penetration Testing) vor, die gesondert geregelt sind. Das allgemeine Programm nach Art. 24 und 25 DORA gilt dagegen für alle Nicht-Kleinstunternehmen. [N-DORA-24]
Häufige Fehlannahmen
- „Resilienz-Tests sind freiwillig.“ Nein. Nicht-Kleinstunternehmen müssen ein Testprogramm nach Art. 24 DORA führen. [N-DORA-24]
- „Ein Test alle paar Jahre genügt.“ Nein. Kritische Systeme sind mindestens jährlich zu testen. [N-DORA-24]
- „Nur Penetrationstests zählen.“ Nein. Art. 25 DORA nennt ein breites Spektrum an Testarten. [N-DORA-25]
- „Die IT darf sich selbst prüfen.“ Nur unter Auflagen. Tests müssen von unabhängigen Parteien durchgeführt werden; bei internen Testern sind Interessenkonflikte zu vermeiden. [N-DORA-24]
- „Kleinstunternehmen müssen dasselbe Programm führen.“ Nein. Für sie gilt ein risikobasierter, ressourcenangemessener Ansatz. [N-DORA-25]
- „Bedrohungsgeleitete Penetrationstests treffen jeden.“ Nein. Sie sind nur für bestimmte Finanzunternehmen vorgesehen. [N-DORA-24]
Was die Geschäftsleitung tun sollte
- Programm aufsetzen. Ein risikobasiertes Testprogramm als Teil des IKT-Rahmens etablieren.
- Jahrestakt sichern. Kritische und wichtige Funktionen mindestens jährlich testen.
- Unabhängigkeit wahren. Tests durch unabhängige interne oder externe Parteien durchführen lassen.
- Befunde nachhalten. Schwächen priorisieren, klassifizieren und nachweislich beheben.
Für die Geschäftsleitung
DORA verlangt kein einmaliges Audit, sondern ein fortlaufendes Testprogramm mit jährlichem Mindesttakt für kritische Systeme. Für die Leitung ist wichtig, dass die Tests unabhängig durchgeführt und ihre Befunde konsequent behoben werden — sonst bleibt der Nachweis der Resilienz Papier.
Quellen
- [N-DORA-24] Art. 24 DORA (Verordnung (EU) 2022/2554, Allgemeine Anforderungen für das Testen der digitalen operationalen Resilienz), Abs. 1 bis 6. Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554
- [N-DORA-25] Art. 25 DORA (Testen von IKT-Tools und -Systemen), Abs. 1 bis 3. Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554
