dora-resilienztests

name	dora-resilienztests
description	Aufbau eines DORA-Programms für Tests der digitalen operationalen Resilienz – allgemeine Testanforderungen Art. 24 DORA, Testmethoden Art. 25 DORA, bedrohungsorientierte Penetrationstests (TLPT) Art. 26 DORA, Anforderungen an Tester Art. 27 DORA. Use when ein Finanzunternehmen sein Testprogramm aufsetzt oder klärt, ob es zur TLPT verpflichtet ist.
language	de
provider_variants	["claude","gemini","openai"]
test	./test.md

/dora:dora-resilienztests

Zweck

DORA verlangt ein risikobasiertes, dokumentiertes Testprogramm als integralen Bestandteil des IKT-Risikomanagements. Nicht jedes Finanzunternehmen muss bedrohungsorientierte Penetrationstests (TLPT) durchführen — diese treffen nur bedeutende Unternehmen, die von der zuständigen Behörde benannt werden. Dieser Skill trennt die allgemeine Testpflicht von der TLPT-Pflicht und liefert den Testkalender.

Eingaben

• Art und Größenklasse des Finanzunternehmens (Mikrounternehmen nach Art. 16 ausgenommen?)
• Systemische Bedeutung / Marktstellung (Kandidat für TLPT-Benennung?)
• Inventar kritischer oder wichtiger Funktionen
• Letzte durchgeführte Tests (Datum, Methode, Befunde)
• Eingesetzte IKT-Drittdienstleister im TLPT-Scope
• Interne vs. externe Testkapazität

Sub-Agent-Architektur

Drei gedankliche Rollen. Ein Scoping-Agent bestimmt, welche Systeme und Funktionen in das jährliche Testprogramm gehören und ob das Unternehmen als bedeutend für eine TLPT-Benennung in Betracht kommt. Ein Methoden-Agent ordnet jeder Funktion die passende Testmethode nach Art. 25 DORA zu (Schwachstellenbewertung, Quellcode-Review, szenariobasierte Tests etc.). Ein TLPT-Agent prüft die Sonderanforderungen des Art. 26/27 DORA (Live-Produktionssystem, Roter/Blauer Team, Tester-Akkreditierung, Dreijahreszyklus). Die Rollen erzeugen gemeinsam einen Testkalender; die Freigabe liegt beim Leitungsorgan.

Ablauf

1. Allgemeine Anforderungen (Art. 24 DORA)

• Finanzunternehmen (außer Mikrounternehmen) errichten ein umfassendes Testprogramm.
• Risikobasiert, mindestens jährlich für IKT-Systeme, die kritische oder wichtige Funktionen tragen.
• Unabhängigkeit der Tester (intern/extern), Behebung festgestellter Schwachstellen nach Priorität.

2. Testmethoden (Art. 25 DORA)

Das Programm umfasst je nach Risiko u. a.:

• Schwachstellenbewertung und -scans, Open-Source-Analysen
• Netzwerksicherheitsbewertungen, Gap-Analysen
• Quellcode-Überprüfung (soweit machbar), szenariobasierte Tests
• Kompatibilitäts-, Leistungs- und End-to-End-Tests
• Penetrationstest

3. TLPT-Pflicht (Art. 26 DORA)

• Nur bedeutende Finanzunternehmen, die von der zuständigen Behörde benannt werden, führen TLPT durch.
• Turnus: mindestens alle drei Jahre (Dreijahreszyklus), risikobasiert anpassbar.
• TLPT deckt mehrere kritische oder wichtige Funktionen ab und wird auf dem Live-Produktionssystem durchgeführt.
• Einbezug relevanter IKT-Drittdienstleister; Pooled Testing möglich.

4. Anforderungen an Tester (Art. 27 DORA)

• Externe Tester benötigen Eignung, Reputation und Tester-Akkreditierung bzw. Zertifizierung.
• Interne Tester nur unter strengen Voraussetzungen und behördlicher Genehmigung.
• Abdeckung durch Berufshaftpflicht; Trennung Red Team / Blue Team.

5. Verzahnung

• TLPT-Befunde fließen in den IKT-Risikomanagement-Rahmen (Art. 6 DORA) und das Drittparteienmanagement zurück.
• TIBER-DE dient als Referenzrahmen für die deutsche TLPT-Durchführung.

Risiken / typische Fehler

• TLPT-Pflicht vorschnell angenommen oder verneint — sie gilt nur für von der Behörde benannte bedeutende Unternehmen, nicht für jedes Institut.
• Live-Produktionssystem unzureichend abgesichert — TLPT läuft auf produktiven Systemen, Risikoabsicherung und Notfallplan sind zwingend.
• Tester-Akkreditierung missachtet — nicht akkreditierte Tester führen zur Unverwertbarkeit des TLPT.
• Dreijahreszyklus versäumt — der Turnus ist hart; eine versäumte Runde ist aufsichtsrechtlich relevant.

Quellen

Statute

• VO (EU) 2022/2554 (DORA) — Art. 24 DORA, Art. 25 DORA, Art. 26 DORA, Art. 27 DORA
• RTS zu TLPT (gemeinsame technische Regulierungsstandards der ESA)
• BaFin / Bundesbank: TIBER-DE-Rahmenwerk

Sekundärliteratur

• Maume/Maute/Fromberger, DORA-Kommentar
• Noerr, „Hacken nach Verordnung — Bedrohungsbasierte Penetrationstests nach DORA"

Ausgabeformat

DORA-RESILIENZTESTS — <Mandant> — <Datum>

I.    Geltung Testprogramm (Art. 24 DORA)  [Ja — Nicht-Mikrounternehmen]
II.   Testmethoden (Art. 25 DORA)
      Schwachstellenbewertung               [geplant / durchgeführt]
      Penetrationstest                       [geplant / durchgeführt]
      szenariobasierte Tests                 [geplant / durchgeführt]
III.  TLPT-Pflicht (Art. 26 DORA)            [bedeutend benannt? Ja / Nein]
      Letzter / nächster TLPT                <Datum>  Turnus: 3 Jahre
      Live-Produktionssystem-Absicherung     [vorhanden / offen]
IV.   Tester (Art. 27 DORA)                  [Akkreditierung vorhanden? Ja / Nein]
V.    Befundverwertung                       [in IKT-Rahmen rückgeführt]

Testkalender:
  Q1: <…>   Q3: <…>
Nächster Schritt: <…>