Verordnung (EU) 2022/2554 · gilt seit 17.01.2025
Rund 22.000 Finanzunternehmen in der EU fallen unter DORA, dazu ihre kritischen IT-Dienstleister. Art. 24 Abs. 6 verlangt jährliche Tests der digitalen Betriebsstabilität. Den technischen Teil liefern wir.
Quelle: Verordnung (EU) 2022/2554, Erwägungsgrund 3
Art. 25 DORA nennt ein Spektrum angemessener Tests: Schwachstellenanalysen, szenariobasierte Tests, Sourcecode-Reviews, physische Prüfungen und Penetrationstests. Daraus belegen wir sechs Bereiche.
Segmentierung, Firewall-Konfigurationen, exponierte Dienste, privilegierte Zugänge.
Infrastruktur-PentestActive Directory, privilegierte Konten, MFA-Durchsetzung, laterale Bewegung.
AD-PentestBanking-Portale, Kundenanwendungen und APIs nach OWASP Top 10, bei Bedarf mit Sourcecode-Review.
Web-App-PentestZutrittskontrolle zu Serverräumen, Rechenzentren und sensiblen Bereichen.
Physical PentestPhishing, Vishing und Pretexting gegen eure Mitarbeitenden, der häufigste Einstiegspunkt.
Social EngineeringRemote-Zugänge, Schnittstellen und Drittanbieter-Integrationen. Art. 28 verlangt dazu ein IKT-Register.
Supply ChainPflicht nur für Institute, die die Aufsicht als signifikant einstuft: G-SIIs und O-SIIs, Zahlungsinstitute ab 150 Mrd. € Zahlungsvolumen, Versicherer erst ab 1,5 Mrd. € Bruttoprämien und 10 Mrd. € Rückstellungen.
Von uns kommen der Pentest und der technische Nachweis: Bericht mit CVSS-Bewertungen, Mapping auf die DORA-Artikel, Maßnahmenplan und Executive Summary.
Nicht von uns: die aufsichtsrechtliche Einstufung eures Unternehmens, Rechtsberatung, die Registermeldung nach Art. 28 und eine Zertifizierung.
Der überwiegende Teil des Marktes deckt seine Testpflicht vollständig über Art. 25 ab. Ein nach TIBER-EU korrekt durchgeführtes TLPT erfüllt die DORA-Anforderung zugleich.
| Merkmal | Art. 25 DORA | Art. 26 DORA · TLPT |
|---|---|---|
| Zielgruppe | Alle DORA-pflichtigen Unternehmen | Als signifikant eingestufte Institute |
| Testtyp | Penetrationstest, Schwachstellenanalyse | Threat-Led Penetration Testing nach TIBER-EU |
| Häufigkeit | Jährlich | Alle 3 Jahre |
| Aufwand | Überschaubar, planbar | Sehr hoch, spezialisiertes Team |
| Unsere Leistung | Vollständig abgedeckt | Nicht unser Angebot |
DORA erfasst nahezu die gesamte Finanzbranche und deren IT-Dienstleister. Die vollständige Liste steht in Art. 2 DORA.
Art. 4 DORA sieht einen Proportionalitätsgrundsatz vor: Umfang und Intensität richten sich nach Größe, Risikoprofil und Komplexität eurer Dienstleistungen. Der Testumfang wird risikobasiert skaliert, die Pflicht entfällt dadurch nicht.
Festlegung der zu testenden Systeme und Prozesse, dazu die Artikel, die für euren Scope gelten.
OSINT, Netzwerk-Footprinting und Planung realistischer Angriffspfade.
Manuelle Tests nach vereinbartem Scope, über die sechs Bereiche des Prüffelds.
Jedes Finding bekommt CVSS-Bewertung und Artikelbezug, für BaFin und interne Revision.
Bericht in 5 Werktagen, mit Maßnahmenplan und Executive Summary. Besprechung der Befunde mit eurer IT.
Art. 24 Abs. 6 DORA schreibt jährliche Tests vor, Art. 25 nennt die Methoden. Zusätzlich empfehlen wir einen Test nach wesentlichen Änderungen an der Infrastruktur, nach Vorfällen und nach der Einführung neuer Systeme.
Ja. DORA verpflichtet Finanzunternehmen, ihre kritischen IT-Dienstleister zu überprüfen. Umgekehrt kann ein Dienstleister, der kritische Funktionen erbringt, selbst als kritischer IKT-Drittdienstleister unter direkte ESA-Aufsicht fallen.
DORA nennt selbst keine Beträge, Art. 50 überlässt sie den Mitgliedstaaten. In Deutschland stehen nach § 56 KWG bis zu 5 Mio. € auf eine unterlassene Vorfallmeldung und auf einen nicht durchgeführten TLPT, bis zu 500.000 € auf die übrigen Verstöße – ohne Umsatzprozentsatz. Daneben kann die BaFin Auflagen erteilen.
Im kostenlosen Erstgespräch klären wir in 30 Minuten den Scope. Das Festpreisangebot folgt in der Regel binnen 24 Stunden.
