DORA-Stresstests für Banken und Versicherer: Was Aufsichtsbehörden verlangen
Bedrohungsorientierte Penetrationstests (TLPT) werden Pflicht. Wie europäische Finanzinstitute den Nachweis digitaler Überlebensfähigkeit erbringen.
In 30 Sekunden
Finanzunternehmen müssen alle drei Jahre erweiterte TLPT-Tests unter Beteiligung kritischer IKT-Drittdienstleister durchführen.
Aufsichtsbehörden haben direkten Durchgriff auf Cloud-Anbieter, die als kritisch für das europäische Finanzsystem eingestuft sind.
Wiederanlaufpläne müssen den Nachweis erbringen, dass Zahlungsverkehrs- und Handelssysteme binnen Stunden wieder betriebsbereit sind.
Frühere Sicherheitsprüfungen im Bankensektor folgten oft einem eingespielten Ritual: Ein Wirtschaftsprüfer kam ins Haus, kontrollierte Richtliniendokumente, hakte Kontrollfragen ab und stellte das Testat aus. Mit dem Digital Operational Resilience Act (DORA) ist diese Ära der Papiersicherheit beendet.
Die europäischen Aufsichtsbehörden (EBA, EIOPA, ESMA) verlangen handfeste Beweise: Threat-Led Penetration Testing (TLPT) nach dem TIBER-EU-Rahmenwerk.
Wenn ethische Hacker die Bank lahmlegen
Bei einem TLPT-Test simuliert ein spezialisiertes Red Team reale Angriffe modernster Angreifergruppen. Dabei werden keine künstlichen Testsysteme attackiert, sondern die lebenden Produktionsumgebungen der Finanzinstitute.
Besonders heikel: Auch kritische Cloud-Provider und Softwarelieferanten müssen in diese Stresstests einbezogen werden. Scheitert die Bank daran, einen Ausfall ihres primären Cloud-Anbieters innerhalb der vorgegebenen Frist zu kompensieren, drohen drastische Eigenkapitalzuschläge und aufsichtsrechtliche Sanktionen.