DORA Art. 24/25
Resilience Testing Cockpit
Operationalize risk-based testing programmes under DORA Art. 24/25 — test types, frequencies, protection needs and decision logic in a single cockpit.
Test Types
12 Test Types per DORA Art. 25
Overview of all specific resilience test types with description, frequency and scope.
Vulnerability Assessment & Scan
Identifikation von Schwachstellen in IKT-Systemen durch automatisierte Scans und manuelle Validierung zur proaktiven Risikominderung.
Open Source & Exposure Analysis
Analyse von Open-Source-Komponenten und externer Angriffsfläche zur Identifikation von bekannten Schwachstellen und Fehlkonfigurationen.
Network Security Assessment
Bewertung der Netzwerksicherheit einschließlich Firewall-Konfigurationen, Segmentierung und Zugriffskontrollen.
Gap Analysis & Control Review
Vergleich bestehender Kontrollen mit regulatorischen Anforderungen und Best Practices zur Identifikation von Lücken und Verbesserungsbedarf.
Physical & Environmental Security Review
Bewertung der physischen Sicherheit von Rechenzentren, Bürogebäuden und kritischen Infrastruktureinrichtungen.
Questionnaire & Control Self-Assessment
Standardisierte Fragebögen und Selbstbewertungen zur Erfassung des Controllestatus und der Risikowahrnehmung durch Fachbereiche.
Source Code & Configuration Review
Manuelle Überprüfung von Quellcode und Systemkonfigurationen auf Sicherheitslücken, Qualitätsmängel und Abweichungen von Standards.
Scenario-Based Resilience Test
Simulation von Geschäftsunterbrechungsszenarien und Krisenmanagementübungen zur Validierung von Notfallplänen und Wiederherstellungsfähigkeiten.
Compatibility & Change Resilience Test
Testen der Kompatibilität und Widerstandsfähigkeit gegenüber Änderungen, Updates und Migrationen in IKT-Umgebungen.
Performance, Capacity & Availability Test
Belastungstests zur Validierung von Leistungsfähigkeit, Kapazitätsgrenzen und Verfügbarkeitszusagen unter verschiedener Last.
End-to-End Process & Service Test
Ganzheitliche Tests von Geschäftsprozessen und Dienstleistungen über alle Systemkomponenten hinweg zur Validierung der Gesamtfunktionalität.
Penetration Test & Adversarial Simulation
Simulierte Angriffe durch externe Red Teams zur Identifikation von ausnutzbaren Schwachstellen und Validierung der Verteidigungskräfte.
Threat-Led Penetration Testing (TLPT) Readiness
Vorbereitung und Durchführung von Threat-Led Penetration Tests gemäß Art. 26 DORA für signifikante Institute.
Frequency Matrix
Test Frequency Matrix
Frequency requirements by test type and kwF classification per DORA Art. 24-25.
| Test Type | Critical Functions | Important Functions | Standard Functions |
|---|---|---|---|
| Vulnerability Assessment | wöchentlich oder kontinuierlich | monatlich | vierteljährlich |
| Scenario Testing | jährlich | jährlich | alle 18 Monate |
| Penetration Testing | jährlich | alle 18 Monate | alle 24 Monate |
| Tlpt | alle 36 Monate | alle 36 Monate (oder öfter bei Risiko) | ereignisgesteuert oder alle 36 Monate |
| Tabletop Exercises | halbjährlich | jährlich | jährlich |
| Gap Analysis | jährlich | alle 18 Monate | alle 24 Monate |
| Control Testing | monatlich | vierteljährlich | halbjährlich |
| Network Security | vierteljährlich | halbjährlich | jährlich |
| Application Security | bei jeder Major-Release | halbjährlich | jährlich |
| Physical Security | jährlich | alle 18 Monate | alle 24 Monate |
| Social Engineering | halbjährlich | jährlich | alle 18 Monate |
| Disaster Recovery | halbjährlich | jährlich | jährlich |
Event-Based Triggers
- → Major-Änderungen in der IKT-Infrastruktur
- → Neue kritische oder wichtige Funktionen
- → Signifikante Änderungen im Bedrohungsbild
- → Nach IKT-Vorfällen oder Near-Misses
- → Bei Integration neuer kritischer Drittanbieter
- → Nach Unternehmenszusammenschlüssen oder -abspaltungen
- → Bei Änderungen der regulatorischen Anforderungen
Special Provisions
- → Signifikante Institute müssen mindestens alle 12 Monate Penetrationstests durchführen
- → TLPT-Tests sind für signifikante Institute alle 36 Monate verpflichtend
- → Ergebnisse müssen an Aufseher und Leitungsorgan berichtet werden
- → Tests müssen von qualifizierten internen oder externen Testern durchgeführt werden
Protection Need
Protection Need Model
Select asset criticality and test type — the model shows recommended frequency and next test date.
Recommended Frequency
Next Test Date
Last Test
Cycle
36-Month Test Cycle
The DORA test cycle spans 36 months with defined intervals and milestones.
Basic Tests
Vulnerability Assessments, Network Scans, Control Self-Assessments
Advanced Tests
Penetration Tests, Gap Analyses, Source Code Reviews
Scenario Tests
Business Continuity Tests, Incident Response Drills, Failover Tests
Repeat & Depth
Repeat Penetration Tests, Extended Vulnerability Analyses
Integration & Third Parties
TLPT Preparation, Third-Party Tests, Supply Chain Validation
TLPT & Completion
Threat-Led Penetration Testing, Management Review, New Cycle
Wizard
Decision Wizard
Step-by-step to the optimal test strategy — based on asset type, criticality and risk factors.
Step 1: Select Asset Type
Which asset type should be tested?
Step 2: Set Criticality
Protection need class (kF) of the asset
Step 3: Recommended Test Types
Based on your selection, the following test types are recommended:
Step 4: Test Frequency & Test Plan
Summary of your risk-based test plan.
Recommended Test Frequency:
Next Test:
Recommended Test Types: