Checkliste: Testnachweise nach DORA

• Ein Programm für das Testen der digitalen operationalen Resilienz ist erstellt, wird gepflegt und überprüft, als Teil des IKT-Risikomanagementrahmens.Fundstelle: Art. 24 Abs. 1, Art. 6
• Das Programm umfasst Bewertungen, Tests, Methoden, Verfahren und Tools nach Art. 25 und, falls verlangt, Art. 26.Fundstelle: Art. 24 Abs. 2
• Es folgt einem risikobasierten Ansatz und berücksichtigt die IKT-Risikolandschaft, spezifische Risiken des Hauses und die Kritikalität von Informationsassets und Dienstleistungen.Fundstelle: Art. 24 Abs. 3
• Die IKT-Systeme und -Anwendungen, die kritische oder wichtige Funktionen unterstützen, sind ermittelt.Fundstelle: Art. 8 Abs. 1, Art. 24 Abs. 6
• Jedes dieser Systeme wird mindestens einmal jährlich angemessen getestet.Fundstelle: Art. 24 Abs. 6

• Die Tests führen unabhängige interne oder externe Parteien durch.Fundstelle: Art. 24 Abs. 4
• Bei internen Testern sind ausreichende Ressourcen bereitgestellt, und in Konzeption und Durchführung entstehen keine Interessenkonflikte.Fundstelle: Art. 24 Abs. 4

• Für jedes kritische System ist festgelegt und begründet, welche Testarten angemessen sind.Fundstelle: Art. 25 Abs. 1
• Beispiel: Schwachstellenbewertungen und -scansFundstelle: Art. 25 Abs. 1
• Beispiel: Open-Source-AnalysenFundstelle: Art. 25 Abs. 1
• Beispiel: NetzwerksicherheitsbewertungenFundstelle: Art. 25 Abs. 1
• Beispiel: LückenanalysenFundstelle: Art. 25 Abs. 1
• Beispiel: Überprüfungen der physischen SicherheitFundstelle: Art. 25 Abs. 1
• Beispiel: Fragebögen und Scans von SoftwarelösungenFundstelle: Art. 25 Abs. 1
• Beispiel: Quellcodeprüfungen, soweit durchführbarFundstelle: Art. 25 Abs. 1
• Beispiel: Szenariobasierte TestsFundstelle: Art. 25 Abs. 1
• Beispiel: KompatibilitätstestsFundstelle: Art. 25 Abs. 1
• Beispiel: LeistungstestsFundstelle: Art. 25 Abs. 1
• Beispiel: End-to-End-TestsFundstelle: Art. 25 Abs. 1
• Beispiel: PenetrationstestsFundstelle: Art. 25 Abs. 1
• Nur Zentralverwahrer und zentrale Gegenparteien: Schwachstellenbewertung, bevor Anwendungen, Infrastruktur oder IKT-Dienstleistungen für kritische oder wichtige Funktionen eingesetzt oder wieder eingesetzt werden.Fundstelle: Art. 25 Abs. 2

• Es gibt Verfahren und Leitlinien, um alle Testbefunde zu priorisieren, zu klassifizieren und zu beheben.Fundstelle: Art. 24 Abs. 5
• Interne Validierungsmethoden stellen sicher, dass jede Schwäche, jeder Mangel und jede Lücke vollständig angegangen wird.Fundstelle: Art. 24 Abs. 5
• Testplan, Testberichte, Befundliste mit Status, Nachtests und Freigaben sind abgelegt und für Revision und Aufsicht auffindbar.Fundstelle: Empfehlung, gestützt auf Art. 24 Abs. 1 und 5

Bedrohungsorientierte Penetrationstests (TLPT) gelten nur für Finanzunternehmen, die die zuständige Behörde dazu bestimmt. Die Einzelheiten regelt die Delegierte Verordnung (EU) 2025/1190. Diese Punkte haben einen eigenen Zähler.

0 von 8 TLPT-Punkten erledigt

• Geklärt, ob die Aufsicht Ihr Haus zu TLPT bestimmt hat.Fundstelle: Art. 26 Abs. 8
• TLPT mindestens alle drei Jahre, an Live-Produktionssystemen, über mehrere oder alle kritischen oder wichtigen Funktionen. Die Behörde kann die Häufigkeit verringern oder erhöhen.Fundstelle: Art. 26 Abs. 1 und 2
• Umfang bewertet und von der Behörde validiert; einbezogene IKT-Drittdienstleister eingebunden.Fundstelle: Art. 26 Abs. 2 und 3
• Risikomanagementkontrollen für den Test gegen Auswirkungen auf Daten, Vermögenswerte und kritische oder wichtige Funktionen.Fundstelle: Art. 26 Abs. 5
• Tester erfüllen die Anforderungen: höchste Eignung und Ansehen, Fachwissen in Bedrohungsanalyse, Penetrations- und Red-Team-Tests, Zertifizierung oder Verhaltenskodex, unabhängige Gewähr oder Auditbericht, Berufshaftpflicht.Fundstelle: Art. 27 Abs. 1
• Interne Tester nur mit Genehmigung der Behörde, nach deren Prüfung von Ressourcen und Interessenkonflikten; der Anbieter der Bedrohungsanalyse gehört nicht zum Haus.Fundstelle: Art. 27 Abs. 2
• Bei internen Testern ist jeder dritte Test extern; bedeutende Kreditinstitute setzen nur externe Tester ein.Fundstelle: Art. 26 Abs. 8
• Nach dem Test Zusammenfassung, Abhilfepläne und Nachweise an die Behörde übermittelt, Bescheinigung erhalten.Fundstelle: Art. 26 Abs. 6 und 7