Resilienztests nach DORA: Testprogramm planen und belegen

Diese Seite gilt für beide Rahmen: für Finanzunternehmen im Vollrahmen nach Art. 5 bis 15 DORA und für Unternehmen im vereinfachten Rahmen nach Art. 16, darunter ab dem 01.01.2027 die Institute nach § 1a Abs. 2a KWG (hier: KWG-Gruppe) wie Factoring- und Leasinginstitute. Welcher Rahmen für Sie gilt, klärt die Seite DORA-Anwendungsbereich. Kapitel IV der Verordnung regelt das Testen in vier Artikeln: Art. 24 und 25 für das Testprogramm, Art. 26 und 27 für TLPT.

Was verlangt Art. 24 DORA vom Testprogramm?

Ein Programm, das Schwächen, Mängel und Lücken in der digitalen operationalen Resilienz findet und Korrekturen auslöst. Es ist fester Bestandteil des IKT-Risikomanagementrahmens und wird erstellt, gepflegt und überprüft (Art. 24 Abs. 1). Die sechs Absätze im Überblick:

Welche Funktionen kritisch oder wichtig sind, legt Ihre Funktionsliste fest. Ohne sie lässt sich Abs. 6 nicht planen.

Welche Tests nennt Art. 25?

Art. 25 Abs. 1 zählt die Tests beispielhaft auf („wie etwa“). Welche Sie wie oft durchführen, richtet sich nach Ihrem Risikoprofil. Für einige gibt der RTS im Vollrahmen (Delegierte Verordnung (EU) 2024/1774, im Folgenden RTS) genauere Vorgaben:

Einen festen Turnus für Penetrationstests nennt DORA nicht.

Was heißt „mindestens einmal jährlich testen“ nach Art. 24 Abs. 6?

Jedes IKT-System und jede Anwendung, die eine kritische oder wichtige Funktion unterstützt, wird mindestens einmal im Jahr angemessen getestet, auch wenn ein Dienstleister es betreibt. Welcher Test das ist, legt DORA nicht fest. Nach unserer Einordnung sollte er zum Risiko des Systems passen, etwa ein Penetrationstest für ein Kundenportal, ein End-to-End- oder Leistungstest für eine Verarbeitungskette. Ob Art. 24 Abs. 6 im vereinfachten Rahmen greift, ist offen (siehe unten).

Wie viel Testen ist angemessen?

Das bestimmen Größe, Gesamtrisikoprofil und Komplexität Ihres Geschäfts. Für Kapitel IV gilt der Verhältnismäßigkeitsgrundsatz nur, soweit die Vorschriften es ausdrücklich vorsehen (Art. 4 Abs. 2). Art. 24 und 25 tun das: Das Programm berücksichtigt die Kriterien aus Art. 4 Abs. 2, der Ansatz ist risikobasiert, die Tests sind „angemessen“.

Kleinstunternehmen testen nach Art. 25 Abs. 3: Sie kombinieren einen risikobasierten Ansatz mit einer strategischen Planung der IKT-Tests und wägen Aufwand gegen Dringlichkeit, Risiko und Kritikalität ab. Abs. 1 und 3 bis 6 von Art. 24 richten sich an sie nicht. Ob Ihr Unternehmen Kleinstunternehmen ist, prüfen Sie mit beiden Größenmerkmalen, siehe DORA-Anwendungsbereich.

Was gilt im vereinfachten Rahmen nach Art. 16?

Ein Plan für IKT-Sicherheitstests nach RTS Art. 36. Er bestätigt die Wirksamkeit der Schutzmaßnahmen nach RTS Art. 33 bis 35, 37 und 38 und berücksichtigt die Bedrohungen und Schwachstellen aus dem Risikomanagement nach RTS Art. 31 (Abs. 1). Getestet wird nach dem Gesamtrisikoprofil der IKT-Assets (Abs. 2). Befunde bei Systemen kritischer oder wichtiger Funktionen setzen Sie unverzüglich in angepasste Maßnahmen um (Abs. 3). Eine automatisierte Schwachstellensuche verlangt der RTS zusätzlich (RTS Art. 34 lit. d), einen festen Turnus wie im Vollrahmen nennt er dafür nicht.

Art. 24 und 25 enthalten keine Ausnahme für Art.-16-Unternehmen. Dass das Testprogramm deshalb auch hier gilt, ist unsere Lesart. Begründung, Gegenargument und Empfehlung stehen auf der Seite Art. 16 DORA: der vereinfachte Rahmen. Die jährlichen Tests der Geschäftsfortführungspläne nach RTS Art. 40 behandelt die Seite IKT-Geschäftsfortführung.

TLPT: wer bedrohungsorientierte Penetrationstests durchführen muss

Nur Finanzunternehmen, die die Behörde dafür bestimmt. Sie führen mindestens alle drei Jahre einen TLPT durch, die Behörde kann die Häufigkeit nach Risikoprofil anpassen (Art. 26 Abs. 1). Ausgenommen sind Unternehmen nach Art. 16 Abs. 1 und Kleinstunternehmen. Für die KWG-Gruppe schließt § 1a Abs. 2a Satz 2 Nr. 2 KWG die Art. 26 und 27 ausdrücklich aus, ein TLPT kommt für sie also nie in Betracht.

Wer bestimmt wird: Die Behörde bewertet Auswirkungen auf den Finanzsektor, Bedenken für die Finanzstabilität und das IKT-Risikoprofil (Art. 26 Abs. 8). Die Delegierte Verordnung (EU) 2025/1190 (RTS zu TLPT) konkretisiert das in Art. 2 Abs. 1 mit Kriterien wie Größe, Verflechtung, Substituierbarkeit, Bedrohungslage und Reife der Sicherheitskontrollen. Nach Art. 2 Abs. 2 verlangt die Behörde TLPT in der Regel von systemrelevanten Kreditinstituten, großen Zahlungs- und E-Geld-Instituten, Zentralverwahrern, zentralen Gegenparteien, bestimmten Handelsplätzen und großen Versicherern, es sei denn, ihre Bewertung ergibt etwas anderes.

Wer in Deutschland zuständig ist: Für Institute nach dem KWG wirkt die BaFin bei den Aufgaben nach Art. 26 und 27 mit der Deutschen Bundesbank zusammen, die Bundesbank nimmt die operativen Aufgaben wahr (§ 6 Abs. 1g KWG). Nach Erwägungsgrund 1 des RTS zu TLPT können verpflichtete Unternehmen den TIBER-EU-Rahmen oder eine nationale Umsetzung wie TIBER-DE der Bundesbank anwenden, soweit sie mit Art. 26 und 27 DORA und dem RTS im Einklang stehen.

Wie ein TLPT abläuft:

• Vorbereitung: Das Leitungsorgan genehmigt das Dokument zum Testumfang (RTS zu TLPT Art. 9 Abs. 6), die Behörde validiert den Umfang. Getestet werden mehrere oder alle kritischen oder wichtigen Funktionen an Live-Produktionssystemen (Art. 26 Abs. 2 DORA).
• Bedrohungsanalyse und Test: mindestens drei Szenarien (RTS zu TLPT Art. 10 Abs. 3), aktive Red-Team-Phase von mindestens zwölf Wochen (Art. 11 Abs. 5 RTS (EU) 2025/1190).
• Abschluss: Berichte von Red Team und Blue Team, Purple Teaming (RTS zu TLPT Art. 12), ein Plan mit Abhilfemaßnahmen (Art. 13 RTS (EU) 2025/1190) und die Bescheinigung der Behörde (Art. 26 Abs. 7 DORA).

Die Tester müssen die Anforderungen aus Art. 27 erfüllen, für interne Tester gelten zusätzliche Regeln (Art. 26 Abs. 8, siehe FAQ). Dienstleister, die kritische oder wichtige Funktionen unterstützen, verpflichten Sie vertraglich zur Mitwirkung an Ihrem TLPT (Art. 30 Abs. 3 lit. d).

Beispiel: Testplan 2027 der Muster-Kreditbank AG

Fiktives Beispiel, kein Kunde. Die Muster-Kreditbank AG ist das CRR-Kreditinstitut aus dem Beispiel auf der Seite IKT-Risikomanagement: 140 Beschäftigte, Vollrahmen, das Kernbankensystem mit Online-Banking betreibt ein Rechenzentrumsdienstleister, Arbeitsplätze und Netzwerk ein Managed-Service-Provider (MSP). Für dieses Beispiel ergänzt: eine selbst entwickelte Kreditantragsstrecke im Internet. Kritische oder wichtige Funktionen sind Zahlungsverkehr, Kreditentscheidung und Auszahlung sowie das aufsichtliche Meldewesen. Einen TLPT plant die Bank nicht: Sie gehört zu keiner Gruppe nach Art. 2 Abs. 2 des RTS zu TLPT und ist nicht bestimmt worden.

Die Abdeckung nach Art. 24 Abs. 6 prüft die Bank in einer Spalte der Funktionsliste: Jede der drei Funktionen ist mindestens einmal im Jahr mit einem passenden Test belegt. Für die Befunde nach Art. 24 Abs. 5 nutzt sie vier Klassen. Die Fristen sind Beispielwerte, DORA nennt keine:

Wird eine Frist nicht gehalten, entscheidet der Vorstand über Ausnahme oder Eskalation. Fristen und Eskalation für Patches verlangt im Vollrahmen auch RTS Art. 10 Abs. 4 lit. d.

Drei typische Lücken

Wie wir unterstützen

Für Unternehmen im Vollrahmen zeigt die DORA-Gap-Analyse, wo Ihr Testprogramm gegenüber Art. 24 und 25 und dem RTS steht. Institute der KWG-Gruppe, die zum 01.01.2027 von der BAIT wechseln, setzen den Testplan nach RTS Art. 36 im Umstieg von der BAIT um. Andere Institute im vereinfachten Rahmen, etwa kleine Wertpapierinstitute, kleine EbAV oder Versicherungsholdings, beginnen mit der Art.-16-Gap-Analyse. Penetrationstests nach Art. 25 (keine TLPT nach Art. 26) bieten wir auf der Firmenseite zu Penetrationstests an.