DORA · Kapitel IV

Resilienztests wirksam steuern

Vom risikobasierten Testprogramm über die operative Durchführung bis zu Findings, Retests und belastbaren Nachweisen nach Art. 24 bis 27.

Einordnung: Der Arbeitsraum unterstützt die praktische Umsetzung. Er ersetzt weder die institutsbezogene Risikoanalyse noch eine aufsichtsrechtliche Würdigung. Testumfang und Frequenz sind risikobasiert, proportional und anlassbezogen festzulegen.

Regulatorische Struktur

Vier Artikel, ein durchgängiger Arbeitsablauf

Stand: August 2026

Art. 24

Testprogramm

Risikobasiertes Programm, unabhängige Durchführung, Priorisierung und Behebung festgestellter Mängel.

Art. 25

IKT-Tools und -Systeme

Angemessene Testmethoden; Systeme und Anwendungen für kritische oder wichtige Funktionen mindestens jährlich testen.

Art. 26

Fortgeschrittene Tests

TLPT für von der zuständigen Behörde bestimmte Finanzunternehmen grundsätzlich mindestens alle drei Jahre.

Art. 27

TLPT-Testende

Anforderungen an interne und externe Testende, Fachkunde, Unabhängigkeit, Versicherung und TIBER-EU-Bezug.

Art. 25 operationalisiert

12 Testmethoden für die operative Planung

Die Verordnung formuliert eine offene Liste angemessener Tests. Die folgende Arbeitsstruktur trennt Fragebögen und softwaregestützte Scans für eine eindeutige Zuordnung von Auftrag, Evidenz und Verantwortlichkeit; sie ist keine zusätzliche gesetzliche Taxonomie.

Schwachstellenbewertungen und -scans

Technische Schwachstellen risikobasiert identifizieren, bewerten und bis zum Retest verfolgen.

Open-Source-Analysen

Von außen sichtbare Angriffsflächen und öffentlich verfügbare Bedrohungsinformationen untersuchen.

Netzwerksicherheitsbewertungen

Segmentierung, Exponierung, Konfiguration und wirksame Schutzmechanismen prüfen.

Lückenanalysen

Sollvorgaben systematisch mit implementierten Kontrollen und belastbaren Nachweisen abgleichen.

Überprüfungen der physischen Sicherheit

Physische Zugänge, Standorte und technische Schutzvorkehrungen in den Testumfang einbeziehen.

Fragebögen

Kontrollausgestaltung strukturiert erheben und Antworten durch geeignete Nachweise plausibilisieren.

Scans von Softwarelösungen

Anwendungen, Komponenten und Konfigurationen mit geeigneten Werkzeugen untersuchen.

Quellcodeprüfungen

Soweit durchführbar sicherheitsrelevante Implementierungsfehler im Quellcode erkennen.

Szenariobasierte Tests

Realistische Störungen entlang kritischer oder wichtiger Funktionen und Abhängigkeiten durchspielen.

Kompatibilitäts- und Leistungstests

Zusammenspiel, Kapazität und Verhalten unter erwarteter sowie erhöhter Last validieren.

End-to-End-Tests

Geschäftsprozesse über Anwendungen, Schnittstellen, Datenflüsse und Drittdienstleister hinweg prüfen.

Penetrationstests

Technische Angriffspfade kontrolliert validieren; TLPT wird davon getrennt nach Art. 26 und 27 gesteuert.

Arbeitsprozess

Von der Planung zum geschlossenen Finding

01
Scope ableiten

Kritische oder wichtige Funktionen, IKT-Assets, Prozesse, Datenflüsse und Drittparteien aus Risikoanalyse und Abhängigkeitsmodell übernehmen.
02
Testplan beschließen

Testziel, Methode, Frequenz, Trigger, Verantwortliche, Unabhängigkeit, Schutzmaßnahmen und Abnahmekriterien dokumentieren.
03
Sicher durchführen

Produktionsrisiken begrenzen, Freigaben und Abbruchkriterien festlegen und alle Ergebnisse nachvollziehbar protokollieren.
04
Findings behandeln

Ursache, Auswirkung, Priorität, Eigentümer und Frist festhalten; wesentliche Lücken eskalieren und nachtesten.
05
Wirksamkeit nachweisen

Retest, Risikoentscheidung und Abschlussfreigabe verbinden und Erkenntnisse in Rahmenwerk, Kontrollen und nächste Planung zurückführen.

Frequenz richtig entscheiden

Regulatorisches Minimum: jährliche Tests der relevanten IKT-Systeme und -Anwendungen nach Art. 24 Abs. 6.
Risikobasiert: kürzere Intervalle bei Exponierung, Kritikalität, Änderungen oder unzureichender Kontrollwirksamkeit.
Anlassbezogen: nach wesentlichen Änderungen, Vorfällen, neuen Bedrohungen oder nicht bestandenen Tests.
TLPT: nur bei behördlicher Bestimmung und nach Art. 26 sowie dem TLPT-RTS steuern.

Mindestnachweise je Test

Genehmigter Scope mit Funktions- und Asset-Bezug
Testplan, Rollen, Unabhängigkeit und Sicherheitsvorkehrungen
Datierte Roh- und Ergebnisnachweise mit eindeutiger Herkunft
Bewertete Findings mit Ursache, Risiko, Eigentümer und Frist
Retest-Protokoll, Risikoentscheidung und Abschlussfreigabe