DORA Art. 24–27
Testuniversum, Risiko, Methode, Unabhängigkeit, Durchführung, Findings und Retests in einer prüfbaren Entscheidungskette verbinden.
Direkt weiterarbeiten
Produktive Testfälle, Assets, Findings und Freigaben werden tenantbezogen im geschützten Testing Portal geführt.
Testprogramm-Betriebsmodell
Jedes Gate erzeugt ein prüfbares Artefakt und eine benannte Entscheidung. Ein Dashboardstatus ersetzt diese Nachweise nicht.
Federführung
Testmanagement mit Asset-, Prozess- und kwF-Ownern
Mindestartefakt
Abgestimmte Population aus Funktionen, IKT-Assets, Prozessen, Providern und wesentlichen Änderungen
Entscheidungstor
Scope, Ausschlüsse und Datenstichtag freigegeben
Federführung
IKT-Risikomanagement und Testdesign
Mindestartefakt
Begründete Auswahl von Testart, Tiefe, Umgebung, Frequenz und Triggern
Entscheidungstor
Methode deckt Risiko und Kontrollziel angemessen ab
Federführung
Testleitung und unabhängige Kontrollfunktion
Mindestartefakt
Rollen, Interessenkonflikte, Qualifikation, Zugriffsrechte und Freigaben
Entscheidungstor
Tester ist für Methode und Kritikalität ausreichend unabhängig
Federführung
Benannte Testverantwortliche
Mindestartefakt
Versionierter Testplan, Testfälle, Population oder Stichprobe, Rohdaten und Ergebnisprotokoll
Entscheidungstor
Durchführung reproduzierbar und Evidence vollständig
Federführung
Control Owner, Risk Owner und Finding Owner
Mindestartefakt
Bewertung, Ursache, Risiko, Maßnahme, Fälligkeit, Ausnahme und Eskalation
Entscheidungstor
Schweregrad und Remediation autorisiert entschieden
Federführung
Unabhängige Prüfinstanz
Mindestartefakt
Retest-Evidence, Wirksamkeitsurteil, Restunsicherheit und Abschlussentscheidung
Entscheidungstor
Finding nur mit geprüftem Ergebnis geschlossen
Methodenreferenz
Frequenzen und Eignungen sind redaktionelle Ausgangspunkte. Die konkrete Auswahl benötigt institutsbezogenen Scope, Risiko, Änderungs- und Vorfallhistorie sowie eine dokumentierte Entscheidung.
13 Methoden sichtbar
DORA-RT-001
Identifikation von Schwachstellen in IKT-Systemen durch automatisierte Scans und manuelle Validierung zur proaktiven Risikominderung.
DORA-RT-002
Analyse von Open-Source-Komponenten und externer Angriffsfläche zur Identifikation von bekannten Schwachstellen und Fehlkonfigurationen.
DORA-RT-003
Bewertung der Netzwerksicherheit einschließlich Firewall-Konfigurationen, Segmentierung und Zugriffskontrollen.
DORA-RT-004
Vergleich bestehender Kontrollen mit regulatorischen Anforderungen und Best Practices zur Identifikation von Lücken und Verbesserungsbedarf.
DORA-RT-005
Bewertung der physischen Sicherheit von Rechenzentren, Bürogebäuden und kritischen Infrastruktureinrichtungen.
DORA-RT-006
Standardisierte Fragebögen und Selbstbewertungen zur Erfassung des Controllestatus und der Risikowahrnehmung durch Fachbereiche.
DORA-RT-007
Manuelle Überprüfung von Quellcode und Systemkonfigurationen auf Sicherheitslücken, Qualitätsmängel und Abweichungen von Standards.
DORA-RT-008
Simulation von Geschäftsunterbrechungsszenarien und Krisenmanagementübungen zur Validierung von Notfallplänen und Wiederherstellungsfähigkeiten.
DORA-RT-009
Testen der Kompatibilität und Widerstandsfähigkeit gegenüber Änderungen, Updates und Migrationen in IKT-Umgebungen.
DORA-RT-010
Belastungstests zur Validierung von Leistungsfähigkeit, Kapazitätsgrenzen und Verfügbarkeitszusagen unter verschiedener Last.
DORA-RT-011
Ganzheitliche Tests von Geschäftsprozessen und Dienstleistungen über alle Systemkomponenten hinweg zur Validierung der Gesamtfunktionalität.
DORA-RT-012
Simulierte Angriffe durch externe Red Teams zur Identifikation von ausnutzbaren Schwachstellen und Validierung der Verteidigungskräfte.
TLPT-READINESS
Vorbereitung und Durchführung von Threat-Led Penetration Tests gemäß Art. 26 DORA für signifikante Institute.
Finding Lifecycle
Note: This content provides independently formulated implementation guidance based on public regulatory sources. It includes professional structuring and interpretation, but does not replace the original text or binding supervisory or legal assessment. Institution-specific conclusions require documented applicability review, evidence, and approval.
