Art. 24
Testprogramm
Risikobasiertes Programm, unabhängige Durchführung, Priorisierung und Behebung festgestellter Mängel.
DORA · Kapitel IV
Resilienztests wirksam steuern
Vom risikobasierten Testprogramm über die operative Durchführung bis zu Findings, Retests und belastbaren Nachweisen nach Art. 24 bis 27.
Einordnung: Der Arbeitsraum unterstützt die praktische Umsetzung. Er ersetzt weder die institutsbezogene Risikoanalyse noch eine aufsichtsrechtliche Würdigung. Testumfang und Frequenz sind risikobasiert, proportional und anlassbezogen festzulegen.
Geschützter Testbetrieb
Vom Jahresprogramm zum reviewten Nachweis
Die folgenden Einstiege arbeiten nach Anmeldung im aktiven Mandantenkontext. Diese öffentliche Methodik erzeugt selbst keine Testabdeckung, Kontrollwirksamkeit oder Institutsnachweise.
-
01
Mandantenobjekt
Testprogramm aufsetzen
Programmverantwortung
Öffnen →Arbeitsprodukt
Versionierter Scope, Zeitraum, Methodik, Rollen und Freigabestatus
-
02
Mandantenobjekt
Abdeckung prüfen
IKT-Risikofunktion und Asset-Owner
Öffnen →Arbeitsprodukt
Begründete Abdeckung kritischer Funktionen, Assets und Testarten mit ausgewiesenen Lücken
-
03
Mandantenobjekt
Tests terminieren
Testkoordination
Öffnen →Arbeitsprodukt
Kalender mit Frequenz, Triggern, Abhängigkeiten und verantworteten Terminen
-
04
Mandantenobjekt
Testfälle steuern
Testverantwortung
Öffnen →Arbeitsprodukt
Freigegebene Testfälle mit Scope, Methode, Abbruchkriterien und Ergebnisstatus
-
05
Mandantenobjekt
Findings nachhalten
Maßnahmen-Owner und Risikoentscheider
Öffnen →Arbeitsprodukt
Ursache, Risiko, Frist, Remediation, Retest und begründete Abschlussentscheidung
-
06
Mandantenobjekt
Evidence reviewen
Kontroll-Owner und unabhängige Review-Funktion
Öffnen →Arbeitsprodukt
Herkunftsgesicherte Nachweise mit Reviewstatus und Bezug zu Testfall oder Finding
Regulatorische Struktur
Vier Artikel, ein durchgängiger Arbeitsablauf
Art. 25
IKT-Tools und -Systeme
Angemessene Testmethoden; Systeme und Anwendungen für kritische oder wichtige Funktionen mindestens jährlich testen.
Art. 26
Fortgeschrittene Tests
TLPT für von der zuständigen Behörde bestimmte Finanzunternehmen grundsätzlich mindestens alle drei Jahre.
Art. 27
TLPT-Testende
Anforderungen an interne und externe Testende, Fachkunde, Unabhängigkeit, Versicherung und TIBER-EU-Bezug.
Art. 25 operationalisiert
12 Testmethoden für die operative Planung
Die Verordnung formuliert eine offene Liste angemessener Tests. Die folgende Arbeitsstruktur trennt Fragebögen und softwaregestützte Scans für eine eindeutige Zuordnung von Auftrag, Evidenz und Verantwortlichkeit; sie ist keine zusätzliche gesetzliche Taxonomie.
01
Schwachstellenbewertungen und -scans
Technische Schwachstellen risikobasiert identifizieren, bewerten und bis zum Retest verfolgen.
02
Open-Source-Analysen
Von außen sichtbare Angriffsflächen und öffentlich verfügbare Bedrohungsinformationen untersuchen.
03
Netzwerksicherheitsbewertungen
Segmentierung, Exponierung, Konfiguration und wirksame Schutzmechanismen prüfen.
04
Lückenanalysen
Sollvorgaben systematisch mit implementierten Kontrollen und belastbaren Nachweisen abgleichen.
05
Überprüfungen der physischen Sicherheit
Physische Zugänge, Standorte und technische Schutzvorkehrungen in den Testumfang einbeziehen.
06
Fragebögen
Kontrollausgestaltung strukturiert erheben und Antworten durch geeignete Nachweise plausibilisieren.
07
Scans von Softwarelösungen
Anwendungen, Komponenten und Konfigurationen mit geeigneten Werkzeugen untersuchen.
08
Quellcodeprüfungen
Soweit durchführbar sicherheitsrelevante Implementierungsfehler im Quellcode erkennen.
09
Szenariobasierte Tests
Realistische Störungen entlang kritischer oder wichtiger Funktionen und Abhängigkeiten durchspielen.
10
Kompatibilitäts- und Leistungstests
Zusammenspiel, Kapazität und Verhalten unter erwarteter sowie erhöhter Last validieren.
11
End-to-End-Tests
Geschäftsprozesse über Anwendungen, Schnittstellen, Datenflüsse und Drittdienstleister hinweg prüfen.
12
Penetrationstests
Technische Angriffspfade kontrolliert validieren; TLPT wird davon getrennt nach Art. 26 und 27 gesteuert.
Arbeitsprozess
Von der Planung zum geschlossenen Finding
-
01
Scope ableiten
Kritische oder wichtige Funktionen, IKT-Assets, Prozesse, Datenflüsse und Drittparteien aus Risikoanalyse und Abhängigkeitsmodell übernehmen.
-
02
Testplan beschließen
Testziel, Methode, Frequenz, Trigger, Verantwortliche, Unabhängigkeit, Schutzmaßnahmen und Abnahmekriterien dokumentieren.
-
03
Sicher durchführen
Produktionsrisiken begrenzen, Freigaben und Abbruchkriterien festlegen und alle Ergebnisse nachvollziehbar protokollieren.
-
04
Findings behandeln
Ursache, Auswirkung, Priorität, Eigentümer und Frist festhalten; wesentliche Lücken eskalieren und nachtesten.
-
05
Wirksamkeit nachweisen
Retest, Risikoentscheidung und Abschlussfreigabe verbinden und Erkenntnisse in Rahmenwerk, Kontrollen und nächste Planung zurückführen.
Frequenz richtig entscheiden
- Regulatorisches Minimum: mindestens jährliche Tests aller IKT-Systeme und -Anwendungen, die kritische oder wichtige Funktionen unterstützen, nach Art. 25 Abs. 2.
- Risikobasiert: kürzere Intervalle bei Exponierung, Kritikalität, Änderungen oder unzureichender Kontrollwirksamkeit.
- Anlassbezogen: nach wesentlichen Änderungen, Vorfällen, neuen Bedrohungen oder nicht bestandenen Tests.
- TLPT: nur bei behördlicher Bestimmung und nach Art. 26 sowie dem TLPT-RTS steuern.
Mindestnachweise je Test
- Genehmigter Scope mit Funktions- und Asset-Bezug
- Testplan, Rollen, Unabhängigkeit und Sicherheitsvorkehrungen
- Datierte Roh- und Ergebnisnachweise mit eindeutiger Herkunft
- Bewertete Findings mit Ursache, Risiko, Eigentümer und Frist
- Retest-Protokoll, Risikoentscheidung und Abschlussfreigabe
Management- und Prüfpfad
Jährliche Abdeckungsentscheidung nachvollziehbar dokumentieren
Eine Quote allein belegt keine angemessene Testabdeckung. Der Abschluss verbindet den versionierten Scope, die Risikobegründung, bekannte Lücken, Ergebnisse und offene Restrisiken mit einer verantworteten Entscheidung.
Entscheidungsakte
Scope-Stichtag
Mindestinhalt
Kritische oder wichtige Funktionen, IKT-Assets, Systeme, Anwendungen, Datenflüsse und relevante Drittparteien
Erforderliche Entscheidung
Abdeckung bestätigen oder Datenlücke beauftragen
Entscheidungsakte
Risikobegründung
Mindestinhalt
Kritikalität, Exponierung, Bedrohungen, Änderungen, Vorfälle und bisherige Testergebnisse
Erforderliche Entscheidung
Methode, Tiefe, Frequenz und Priorität festlegen
Entscheidungsakte
Testabdeckung
Mindestinhalt
Zuordnung von Funktionen und Assets zu Testfällen, Testarten, Terminen und verantwortlichen Rollen
Erforderliche Entscheidung
Lücke schließen, kompensieren oder begründet eskalieren
Entscheidungsakte
Ergebnisse und Findings
Mindestinhalt
Durchgeführte, ausgefallene und verschobene Tests sowie Findings, Ursachen, Fristen und Retests
Erforderliche Entscheidung
Remediation, Risikoakzeptanz oder weitere Prüfung entscheiden
Entscheidungsakte
Jahresabschluss
Mindestinhalt
Bekannte Grenzen, offene Restrisiken, Lernpunkte und Änderungen für das Folgeprogramm
Erforderliche Entscheidung
Programmabschluss und nächste Planung dokumentiert freigeben