Resilienz- & Sicherheitstests

Risikobasiertes Testprogramm, Findings, Wiederholungstests und bedingte TLPT-Anforderungen.

DORA Art. 24–27 · RTS 2025/1190 (TLPT bedingt)8 FragenFramework: Testing & Assurance

Die Fragen sind als Gesprächs- und Stichprobenhilfe gedacht. Ein belastbarer Auditnachweis entsteht aus der Kombination von Dokumenten, tatsächlicher Umsetzung, Stichproben und Wirksamkeitsbelegen.

Auditfragen

Existenz · Frage 1

Gibt es ein risikobasiertes Programm für Tests der digitalen operationalen Resilienz?

Worauf achten?Testarten, Systeme, Frequenzen, Verantwortungen und Kritikalität berücksichtigen.

Mögliche NachweiseTeststrategie; Jahresplan; Scope

Regulatorischer BezugDORA Art. 24

Passendes Framework-ThemaResilience Testing

Umsetzung · Frage 2

Deckt das Testprogramm die für die Organisation relevanten Testarten ab?

Worauf achten?Vulnerability Assessments, Scans, Szenarien, Penetrationstests und weitere geeignete Tests betrachten.

Mögliche NachweiseTestplan; Berichte; Pentest Scope

Regulatorischer BezugDORA Art. 25

Passendes Framework-ThemaResilience Testing

Umsetzung · Frage 3

Werden kritische IKT-Systeme und Anwendungen angemessen regelmäßig getestet?

Worauf achten?Scope gegen Assetkritikalität und Funktionen abgleichen.

Mögliche NachweiseAssetregister; Testkalender; Reports

Regulatorischer BezugDORA Art. 24–25

Passendes Framework-ThemaAsset Management

Existenz · Frage 4

Werden Findings priorisiert, Verantwortlichen zugeordnet und bis zur Behebung verfolgt?

Worauf achten?Fristen und Risikoakzeptanz für offene Findings prüfen.

Mögliche NachweiseFinding Register; Tickets; Re-Tests

Regulatorischer BezugDORA Art. 24

Passendes Framework-ThemaTesting & Assurance

Wirksamkeit · Frage 5

Werden behobene Findings durch Re-Tests oder andere Wirksamkeitsnachweise bestätigt?

Worauf achten?Status 'erledigt' allein reicht nicht.

Mögliche NachweiseRe-Test-Berichte; Kontrolltests

Regulatorischer BezugDORA Art. 24

Passendes Framework-ThemaTesting & Assurance

Umsetzung · Frage 6

Sind Tester ausreichend unabhängig und qualifiziert?

Worauf achten?Interne und externe Tester entsprechend Testart betrachten.

Mögliche NachweiseQualifikationen; Verträge; Unabhängigkeitsnachweis

Regulatorischer BezugDORA Art. 24–25

Passendes Framework-ThemaTesting & Assurance

Bedingt · Frage 7

Ist dokumentiert, ob eine behördliche Identifizierung für TLPT vorliegt?

Worauf achten?TLPT nicht pauschal als Pflicht unterstellen; Status regelmäßig prüfen.

Mögliche NachweiseBehördenkommunikation; Anwendbarkeitsentscheidung

Regulatorischer BezugDORA Art. 26–27; RTS 2025/1190

Passendes Framework-ThemaResilience Testing

Wirksamkeit · Frage 8

Fließen Testergebnisse in Risiko, Architektur, Verfahren und Managementberichte zurück?

Worauf achten?Testen soll Veränderungen auslösen, nicht nur Berichte erzeugen.

Mögliche NachweiseRisiko-Updates; Changes; Managementberichte

Regulatorischer BezugDORA Art. 13, 24

Passendes Framework-ThemaRisk Management

← Zurück zur Übersicht DORA Audit & Selbstprüfung