Bank-Penetrationstest oder DORA-TLPT? Den passenden Auftrag wählen

Die Entscheidung, bei der Ihnen dieser Leitfaden hilft

Beginnen Sie mit dem Beauftragungsziel der Bank und dem geltenden Verfahren der zuständigen Behörde. Ein technischer Anwendungs- oder Netzwerktest beantwortet eine andere Frage als ein designierter DORA-TLPT. Geben Sie den vorgesehenen Auftrag im Briefing an, damit Angebote anhand der richtigen Zuständigkeiten und Liefergegenstände bewertet werden.

Beginnen Sie mit der Entscheidung, die Sie treffen müssen

Eine Bank benötigt möglicherweise eine Absicherung für eine neue Anwendung, einen internen Vertrauenspfad oder eine Änderung der Zahlungsautorisierung. Ein abgegrenzter Penetrationstest kann diese technischen Fragen beantworten. Ein gesetzlich vorgeschriebener TLPT ist eine umfassendere, informationsgestützte Übung mit einem festgelegten Governance- und Autorisierungsverfahren für bestimmte Finanzunternehmen.

Setzen Sie die Ergebnisse nicht gleich

Die Artikel 26 und 27 der DORA sowie die TLPT-RTS regeln fortgeschrittene Tests und Anforderungen an Tester. Ein herkömmlicher technischer Bericht wird nicht dadurch zu einem DORA-konformen TLPT, dass sein Titel das Akronym enthält. Klären Sie die Einstufung, die Validierung des Umfangs und die erwarteten Ergebnisse im Verfahren der zuständigen Behörde.

Verwenden Sie die Nachweise zweckgerecht

Eine Anwendungsfeststellung kann in das Schwachstellen- und Risikoprogramm der Bank einfließen. Ein TLPT bewertet außerdem realistische Angriffspfade und die Reaktion der Verteidiger über kritische Funktionen hinweg. Diese Testformen können einander ergänzen, sollten aber weder als austauschbar verkauft noch so erfasst werden.

Die Unterscheidung in der Beschaffung festhalten

Geben Sie in der Ausschreibung Zweck, Umgebung, Methode, Beteiligte und Berichtspflichten an. Fragen Sie, was der Abschluss und die Nachprüfung umfassen. Unser Bankdienst konzentriert sich auf den vereinbarten Umfang eines Penetrationstests; ein DORA-TLPT erfordert eine eigene Eignungs-, Governance- und Durchführungsbewertung.

Die Beauftragungsentscheidung in einem Satz formulieren

Eine Bank benötigt möglicherweise Nachweise dafür, dass eine neue Zahlungs-API vor einer Freigabe die Eigentümerschaft des Kunden überprüft. Bei einem anderen Auftrag soll vielleicht bewertet werden, wie ein glaubwürdiger Angreifer eine kritische Funktion beeinträchtigen könnte und wie die Verteidiger reagieren. Das sind unterschiedliche Fragestellungen, auch wenn sich einige Techniken überschneiden. Halten Sie die Entscheidung im ersten Absatz des Briefings fest, benennen Sie die verantwortliche geschäftliche Ansprechperson und erläutern Sie den vorgesehenen Verwendungszweck der Ergebnisse. So können Anbieter vermeiden, grundlegend unterschiedliche Services unter derselben Bezeichnung „DORA-Pentest“ anzubieten.

Wenn das Unternehmen einer TLPT-Anforderung unterliegt, beziehen Sie die zuständigen internen Governance-Stellen und das Verfahren mit der zuständigen Behörde frühzeitig ein. Die Marketingbeschreibung eines Anbieters kann weder die regulatorische Anwendbarkeit feststellen noch einen Umfang genehmigen oder die Verantwortung des Finanzunternehmens ersetzen.

Vorbereitungsarbeiten klar vom fortgeschrittenen Test abgrenzen

Gezielte Anwendungs-, Identitäts- oder Netzwerkprüfungen können Schwachstellen aufdecken, die vor einer größeren Übung behoben werden sollten. Beschreiben Sie sie als eigenständige Prüfungen mit jeweils eigenem Umfang und eigenen Einschränkungen. Benennen Sie einen kurzen technischen Auftrag nicht in TLPT um, nur weil er auf einen Bedrohungsakteur Bezug nimmt oder ein ausgefeiltes Angriffsschaubild enthält. Gehen Sie umgekehrt nicht davon aus, dass eine bedrohungsgestützte Übung jeden Anwendungsendpunkt umfassend prüft. Das Abdeckungsmodell und die zugrunde liegende Entscheidungsfrage unterscheiden sich.

Eine ausführliche Abgrenzung finden Sie unter DORA-TLPT im Vergleich zu Penetrationstests. Der zugehörige Leitfaden zu Fintech-Prüfanforderungen erläutert, warum Zahlungstechnologie, der Umfang von Kartendaten und der Status der juristischen Person ebenfalls getrennt betrachtet werden müssen.

Angebote anhand von Annahmen und Leistungen vergleichen

Fordern Sie eine klare Ausgangslage, eine Testumgebung, eine Begründung des Umfangs, ein Berechtigungsmodell und eine Liste der Ergebnisse an. Fragen Sie bei routinemäßigen Tests, wie der Anbieter reproduzierbare Feststellungen ermittelt und die vereinbarten Kontrollen erneut prüft. Fragen Sie bei TLPT nach dem für den geltenden Rahmen und die Vereinbarungen mit den Behörden geeigneten Liefermodell und den Zuständigkeiten. Machen Sie fehlende Eingaben sichtbar: Die Beteiligung von Lieferanten, die Zuordnung kritischer Funktionen und die interne Koordination können die Arbeiten wesentlich beeinflussen.

Ein Beschaffungsvergleich sollte zeigen, was jedes Angebot tatsächlich umfasst und was davon ausgenommen ist. Weder eine höhere Anzahl an Testtagen noch ein geläufiges Akronym behebt eine Abweichung. Das passende Ergebnis ist eine Leistungsbeschreibung, die Ihre betrieblichen, technischen und Governance-Verantwortlichen einheitlich verstehen.

Setzen Sie die Leitlinien praktisch um

Verwenden Sie die Vorbereitungs-Checkliste, um Annahmen zu dokumentieren, oder sehen Sie sich den fiktiven Bericht der Megabank AG mit Beispielen für Nachweise und Maßnahmenpläne an. Kontaktieren Sie Atlant Security mit einer nicht sensiblen Beschreibung Ihres Umfangs.