Wissen
Wenn Sie wissen wollen, ob bedrohungsgeleitete Penetrationstests für Sie gelten, was sie umfassen, wer sie durchführt und wie die Regeln aufgebaut sind, geht dieser Leitfaden das anhand der Verordnung selbst durch.
Bedrohungsgeleitete Penetrationstests, kurz TLPT (Threat-Led Penetration Testing), sind der fortgeschrittene Resilienztest aus den Artikeln 26 und 27 der Verordnung (EU) 2022/2554, dem Digital Operational Resilience Act (DORA), der seit dem 17. Januar 2025 gilt. Die detaillierte Methodik steht in einem eigenen technischen Regulierungsstandard, der Delegierten Verordnung (EU) 2025/1190 der Kommission, und die gesamte Übung baut auf dem TIBER-EU-Rahmenwerk der Europäischen Zentralbank auf. Verlangt wird sie von den Unternehmen, die eine zuständige Behörde benennt, also von einem Teil des Marktes, und für diese Unternehmen gehört sie zu den anspruchsvollsten Pflichten der gesamten Verordnung.
Im Folgenden: was TLPT ist, was die Artikel 26 und 27 verlangen, wer benannt wird, wie der RTS das Projekt strukturiert und wie Sie bereits vor der Benennung planen. Zunächst die Fakten auf einen Blick.
| Maßgebliches Recht | Verordnung (EU) 2022/2554 (DORA), Artikel 26 und 27. Gilt ab dem 17. Januar 2025. |
| Detailregeln | Delegierte Verordnung (EU) 2025/1190 der Kommission (RTS zu TLPT), veröffentlicht im Amtsblatt am 18. Juni 2025. |
| Wer testen muss | Finanzunternehmen, die ihre zuständige Behörde benannt hat (Artikel 26 Absatz 8), auf Grundlage einer risikobasierten Bewertung von Auswirkung, systemischer Bedeutung und IKT-Risikoprofil. Damit ist ein Teil der Finanzunternehmen erfasst. |
| Häufigkeit | Mindestens alle 3 Jahre (Artikel 26 Absatz 1). Eine zuständige Behörde kann bei Bedarf eine abweichende Häufigkeit verlangen. |
| Umfang | Mehrere oder alle kritischen oder wichtigen Funktionen, durchgeführt auf produktiven Live-Systemen (Artikel 26 Absatz 2). |
| Methodik | Im Einklang mit dem TIBER-EU-Rahmenwerk der EZB (Artikel 26 Absatz 11). |
Was TLPT tatsächlich ist
Zwischen einem Standard-Penetrationstest und einem bedrohungsgeleiteten Penetrationstest liegt ein wesentlicher Unterschied, und beide werden häufig vermischt.
Ein Standard-Penetrationstest ist eine Momentaufnahme. Ein Dienstleister scannt Ihre Systeme, versucht mit bekannten Techniken einzudringen und berichtet, was er gefunden hat. Nützlich, aber generisch und auf Angriffsszenarien von der Stange gestützt.
Ein bedrohungsgeleiteter Penetrationstest beginnt mit Aufklärung. Spezialisten analysieren zunächst die tatsächlichen Bedrohungen für Ihr konkretes Institut: welche Bedrohungsakteure Sie wahrscheinlich ins Visier nehmen, wie ihre Taktiken, Techniken und Verfahren aussehen und wo Ihre reale Angriffsfläche liegt. Ein davon getrenntes Red Team nutzt diese Erkenntnisse anschließend, um einen realistischen Angriff auf Ihre produktiven Live-Systeme zu simulieren, während der Großteil Ihrer Belegschaft nichts von dem laufenden Test weiß.
Es geht um Realismus. Ein Standardtest sagt Ihnen, welche Schwachstellen existieren. Ein TLPT sagt Ihnen, wie ein plausibler, fähiger Gegner tatsächlich hineinkäme, wie weit er sich bewegen würde und ob Ihre Verteidiger es bemerken würden. Das ist teurer, störender und aufschlussreicher, weshalb DORA es einem Teil der Unternehmen vorbehält, statt es allen vorzuschreiben.
Was DORA Artikel 26 und 27 verlangen
Der Rechtsrahmen in einfacher Sprache.
Im Klartext:
Häufigkeit. Nach Artikel 26 Absatz 1 führen benannte Finanzunternehmen mindestens alle 3 Jahre fortgeschrittene Tests mittels TLPT durch. Eine zuständige Behörde kann auf Grundlage des Risikoprofils und der betrieblichen Gegebenheiten des Unternehmens bei Bedarf eine abweichende Häufigkeit verlangen. Es handelt sich um eine Pflicht.
Umfang und Live-Systeme. Artikel 26 Absatz 2 verlangt, dass jeder Test mehrere oder alle kritischen oder wichtigen Funktionen abdeckt und auf den produktiven Live-Systemen durchgeführt wird, die diese Funktionen unterstützen. Gemeint sind ausschließlich produktive Live-Systeme, womit eine Staging-Kopie oder die Marketing-Website ausscheiden. Genau das macht viele CISOs nervös, denn das Risiko einer Störung während des Tests ist real und muss gesteuert werden. Diese Nervosität ist berechtigt, und sie ist zugleich der wahrscheinlichste Grund für Verzögerungen. Auf Produktion zu testen bedeutet, dass jemand aus der Führungsebene schriftlich akzeptiert, dass ein laufender Kundenservice ins Wanken geraten kann. Diese Unterschrift ist selten in einem einzigen Termin zu holen, setzen Sie sie also beim Scoping von Anfang an auf den kritischen Pfad und behandeln Sie sie als Entscheidung statt als Formalie.
IKT-Drittdienstleister. Artikel 26 verlangt, dass das Finanzunternehmen deren Mitwirkung sicherstellt, wenn IKT-Drittdienstleister im Testumfang liegen, und dabei die volle Verantwortung für die Einhaltung behält. Sie können Ihre eigenen Systeme nicht testen und so tun, als gäbe es die Plattform darunter nicht. Derselbe Artikel sieht auch gebündelte Tests vor: Verlassen sich mehrere Finanzunternehmen auf denselben IKT-Drittdienstleister, können sie schriftlich einen einzigen gebündelten TLPT unter Federführung eines benannten Unternehmens vereinbaren, damit der Dienstleister nicht wiederholt einem Red Team ausgesetzt wird.
Gegenseitige Anerkennung. Artikel 26 sieht eine Bescheinigung vor, die bestätigt, dass der Test entsprechend den Anforderungen durchgeführt wurde, sodass die Ergebnisse von den zuständigen Behörden über Mitgliedstaaten hinweg anerkannt werden können. Eine grenzüberschreitende Gruppe soll denselben Test nicht für jede nationale Aufsicht wiederholen müssen.
Tester. Artikel 27 legt Anforderungen daran fest, wer einen TLPT durchführen darf. Tester müssen höchste Eignung und Reputation aufweisen, spezifische Expertise in Threat Intelligence, Penetrationstests und Red-Team-Tests nachweisen, von einer Akkreditierungsstelle in einem Mitgliedstaat zertifiziert sein oder formellen Verhaltenskodizes beziehungsweise ethischen Rahmenwerken folgen, eine unabhängige Bestätigung oder einen Prüfbericht vorlegen und eine Berufshaftpflichtversicherung unterhalten. Interne Tester dürfen nur unter Bedingungen eingesetzt werden: Die zuständige Behörde muss ihren Einsatz genehmigen, sich davon überzeugen, dass das Unternehmen über ausreichende dedizierte Ressourcen verfügt und Interessenkonflikte gesteuert hat, und in diesem Fall muss der Threat-Intelligence-Anbieter außerhalb des Unternehmens stehen. Artikel 26 ergänzt, dass ein Unternehmen, das interne Tester einsetzt, bei jedem dritten Test externe Tester beauftragen muss.
Werden Sie benannt?
DORA liefert keine saubere Checkliste. Artikel 26 Absatz 8 legt die Entscheidung in die Hände der zuständigen Behörden, die die zur Durchführung von TLPT verpflichteten Unternehmen benennen, unter Berücksichtigung der Kriterien in Artikel 4 Absatz 2 und einer Bewertung von drei Aspekten:
Auswirkungsbezogene Faktoren. Wie stark die vom Unternehmen erbrachten Dienstleistungen und ausgeübten Tätigkeiten den Finanzsektor beeinflussen. Je größer die Auswirkung, desto wahrscheinlicher die Benennung.
Bedenken für die Finanzstabilität. Mögliche systemische Folgen, einschließlich der systemischen Bedeutung des Unternehmens. Marktinfrastrukturen und Unternehmen, deren Ausfall Wellen schlagen würde, liegen auf dieser Achse weit oben.
IKT-Risikoprofil und Reifegrad. Das spezifische IKT-Risikoprofil und der Grad der IKT-Reife des Unternehmens. Eine komplexe IKT-Landschaft mit starker Abhängigkeit von Dritten vergrößert die Angriffsfläche, die in die Bewertung einfließt.
Daraus folgen zwei Dinge. Erstens sind die Kriterien qualitativ und werden von Ihrer zuständigen Behörde angewendet, im Text gibt es also keine feste Bilanzschwelle und keinen sicheren Hafen. Zweitens zieht sich die Verhältnismäßigkeit generell durch DORA, sodass kleinere Unternehmen mit einfacheren IKT-Umgebungen und ohne systemischen Fußabdruck seltener benannt werden, doch diese Feststellung liegt allein bei Ihrer Behörde.
Das ist eine Schwachstelle in einer ansonsten straff formulierten Verordnung. DORA ist fast überall sonst bis zur Pedanterie präzise, und ausgerechnet hier hängt die teuerste Einzelpflicht der Verordnung an einer Einschätzung, die Sie für sich selbst nicht treffen können. Dafür gibt es einen vertretbaren Grund, denn jede veröffentlichte Schwelle würde schlicht umgangen. Der praktische Effekt bleibt: Ein mittelgroßes Unternehmen muss für einen Test budgetieren, zu dem es womöglich nie aufgefordert wird, oder darauf wetten, dass das Schreiben ausbleibt.
Das ist eine Schwachstelle in einer ansonsten straff formulierten Verordnung. DORA ist fast überall sonst bis zur Pedanterie präzise, und ausgerechnet hier hängt die teuerste Einzelpflicht der Verordnung an einer Einschätzung, die Sie für sich selbst nicht treffen können. Dafür gibt es einen vertretbaren Grund, denn jede veröffentlichte Schwelle würde schlicht umgangen. Der praktische Effekt bleibt: Ein mittelgroßes Unternehmen muss für einen Test budgetieren, zu dem es womöglich nie aufgefordert wird, oder darauf wetten, dass das Schreiben ausbleibt.
Wenn Ihr Geschäft systemisch bedeutsam ist, unter verstärkter Aufsicht steht oder kritische Markt- oder Zahlungsinfrastruktur betreibt, planen Sie unter der Annahme, dass TLPT kommt, und klären Sie das aktiv mit Ihrer zuständigen Behörde, statt auf eine Mitteilung zu warten.
Die TIBER-EU-Verbindung und die RTS-Phasen
Artikel 26 Absatz 11 schreibt vor, dass die technischen Regeln für TLPT im Einklang mit dem TIBER-EU-Rahmenwerk entwickelt werden. TIBER-EU (Threat Intelligence-Based Ethical Red Teaming) ist das Rahmenwerk der EZB für bedrohungsgeleitete Tests im Finanzsektor und bildet das methodische Rückgrat des DORA-TLPT. Die Details stehen in der Delegierten Verordnung (EU) 2025/1190 der Kommission, dem RTS zu TLPT, der am 18. Juni 2025 im Amtsblatt veröffentlicht wurde.
Der RTS gliedert einen TLPT in klar getrennte Phasen:
Vorbereitung
Scoping und Planung. Legen Sie fest, welche kritischen oder wichtigen Funktionen im Umfang liegen, stimmen Sie die Projektdokumentation ab, binden Sie die Threat-Intelligence- und Testdienstleister ein und stellen Sie das Kontrollteam auf, also die kleine Gruppe, die von dem Test weiß. Die zuständige Behörde ist von Anfang an eingebunden.
Threat Intelligence
Der Threat-Intelligence-Anbieter erstellt eine maßgeschneiderte Analyse der für Ihr Institut spezifischen Bedrohungen und der daraus folgenden plausiblen Angriffsszenarien. Diese Erkenntnisse steuern den Plan des Red Teams, weshalb generische Aufklärung einen generischen Test mit geringem Wert erzeugt.
Red-Team-Test
Das Red Team führt die Szenarien gegen produktive Live-Systeme aus und setzt dabei eine Bandbreite an Taktiken, Techniken und Verfahren ein. Je nach Aufklärungslage kann das Social Engineering, Phishing, Netzwerkeinbruch, laterale Bewegung und versuchte Datenexfiltration umfassen, alles innerhalb vereinbarter Sicherheitsgrenzen, die das Kontrollteam steuert.
Abschluss
Berichte, Replay und eine Purple-Teaming-Übung, die das Red Team und Ihre Verteidiger zusammenbringt, um jedes Szenario durchzugehen: was passiert ist, was erkannt wurde, was übersehen wurde und warum. Das Unternehmen erstellt einen Maßnahmenplan, und die zuständige Behörde stellt die Bescheinigung aus, welche die gegenseitige Anerkennung trägt.
Ein vollständiger TLPT ist ein Programm über mehrere Monate statt eines einzelnen Auftrags, weil Vorbereitung, eine maßgeschneiderte Aufklärungsphase, Live-Tests und Abschluss jeweils echte Zeit brauchen. Behandeln Sie ihn als Arbeitsstrang über mehrere Quartale. Die Phase, die viele überrascht, ist die Vorbereitung. Scoping, die Beauftragung der Dienstleister und die Einigung darüber, wer im Kontrollteam sitzt, sind unglamouröse Verwaltungsarbeit, und sie dauern regelmäßig länger, als das Red Team in Ihrem Netzwerk verbringt. Der Wert entsteht im Abschluss, schützen Sie also die Zeit für das Purple Teaming, wenn der Zeitplan zu rutschen beginnt, denn sie wird immer zuerst zur Streichung angeboten.
Was die Kosten treibt
Weder DORA noch der RTS legt ein Honorar fest, und einen offiziellen Preis gibt es nicht. Was die Verordnung tut, ist, die Kosten über ihre Anforderungen zu treiben, weshalb es sich lohnt, die Treiber vor einem Budgetgespräch nüchtern zu benennen.
Die wichtigsten sind Umfang, Einsatz externer Spezialisten und Dauer. Der Umfang ergibt sich daraus, wie viele kritische oder wichtige Funktionen Sie abdecken müssen. Artikel 27 verlangt hoch geeignete Tester mit Berufshaftpflichtversicherung und, bei internen Testern, einen separaten externen Threat-Intelligence-Anbieter, sodass ein konformer TLPT auf knappere und erfahrenere Fachkräfte zurückgreift als ein Routinescan. Und weil das Projekt über Vorbereitung, Aufklärung, Live-Test und Abschluss läuft, ist auch die interne Zeit Ihres Kontrollteams, Ihrer Verteidiger und Ihrer Maßnahmenverantwortlichen ein realer Kostenposten.
Die praktische Konsequenz heißt Verfügbarkeit. Qualifizierte Threat-Intelligence- und Red-Team-Anbieter sind gemessen an der Zahl der von DORA erfassten Unternehmen knapp. Wenn Sie mit der Suche bis zum Benennungsschreiben warten, warten Sie danach womöglich erneut auf einen Platz im Terminkalender eines Anbieters.
Häufige Fehler bei der TLPT-Planung
Fehler 1: den jährlichen Pentest für einen TLPT halten
Eine übliche Schwachstellenbewertung oder ein Netzwerk-Penetrationstest erfüllt die TLPT-Anforderung nicht. Ein TLPT braucht maßgeschneiderte Threat Intelligence, Tests gegen Live-Systeme, einen vom Red Team getrennten Threat-Intelligence-Anbieter und die Aufsicht der zuständigen Behörde. Ein Routinescan leistet das nicht.
Fehler 2: den Umfang zu eng ziehen
Artikel 26 Absatz 2 spricht von mehreren oder allen kritischen oder wichtigen Funktionen. Eine bequeme Einzelfunktion zu testen und die Sache für erledigt zu erklären, lädt Ihre zuständige Behörde dazu ein, den Umfang zu beanstanden. Beginnen Sie mit einer umfassenden Kartierung der kritischen oder wichtigen Funktionen und begründen Sie dann, was drin ist und was draußen bleibt.
Fehler 3: kritische IKT-Anbieter auslassen
Läuft eine kritische Funktion auf einer Drittanbieterplattform, sollte dieser Anbieter Teil des Tests sein. DORA ist hier eindeutig, und eine Red-Team-Übung zu koordinieren, die einen großen Cloud- oder SaaS-Anbieter berührt, ist eine monatelange Verhandlung. Den Weg des gebündelten Tests gibt es genau deshalb, weil sich diese Anbieter kaum für jeden Kunden einzeln testen lassen. Beginnen Sie das Gespräch früh.
Fehler 4: Nachbesserung als optional behandeln
Die Feststellungen gehen über einen reinen Informationsbericht hinaus. Der Maßnahmenplan geht an Ihre zuständige Behörde und wird zu einer aufsichtlichen Erwartung. Den Kreis zu schließen, gehört zur Pflicht.
Fehler 5: mit der Vorbereitung bis zur Benennung warten
Ein TLPT ist ein Programm über mehrere Monate, und die Beschaffung qualifizierter Dienstleister kommt zeitlich obendrauf. Wenn Ihre zuständige Behörde Sie benennt und einen abgeschlossenen Test innerhalb des Zyklus erwartet, läuft die Uhr bereits. Eine Anbieter-Shortlist und ein vorläufiger Testumfang schon vor der Benennung sparen Monate, die Sie sonst nicht haben.
Nicht für TLPT benannt? Testen müssen Sie trotzdem
Ein Punkt, der in der TLPT-Diskussion oft untergeht: DORA verlangt Tests der digitalen operationalen Resilienz von allen Finanzunternehmen, auch von denen, die nie für TLPT benannt werden.
Die Artikel 24 und 25 legen ein allgemeines Testprogramm fest, das jedes Unternehmen unterhalten muss. Artikel 25 Absatz 1 listet die Methoden auf, aus denen es schöpfen kann:
- Schwachstellenbewertungen und Scans
- Open-Source-Analysen
- Netzwerksicherheitsbewertungen
- Lückenanalysen
- Überprüfungen der physischen Sicherheit
- Fragebögen und Scanning-Softwarelösungen
- Quellcodeprüfungen, soweit durchführbar
- Szenariobasierte Tests
- Kompatibilitätstests
- Leistungstests
- End-to-End-Tests
- Penetrationstests (Standardvariante)
Das ist eine Auswahl, die verhältnismäßig angewendet wird. Kleinere Unternehmen können einfachere Varianten fahren, doch die Erwartung lautet, dass Tests systematisch und dokumentiert sind und Nachbesserungen anstoßen. TLPT den benannten Unternehmen vorzubehalten, gehört zu den besseren Verhältnismäßigkeitsentscheidungen in DORA. Eine vollständige bedrohungsgeleitete Übung in einem kleinen Haus mit einer Handvoll kritischer Systeme würde ein Jahresbudget der Sicherheit verbrennen, um zu einem Ergebnis zu kommen, das ein gut zugeschnittener Penetrationstest und ein ehrlicher Szenario-Workshop ohnehin erreicht hätten. Das allgemeine Programm aus den Artikeln 24 und 25 ist für die meisten Unternehmen das richtige Instrument. Es ist zugleich das Programm, das am häufigsten ohne eine schriftliche Verbindung zwischen Testumfang und den abzudeckenden Funktionen betrieben wird, und genau das kann eine Aufsicht an einem Nachmittag feststellen.
Die Falle heißt Erleichterung. Häuser, die froh sind, nicht benannt worden zu sein, vergessen manchmal, dass sie ein echtes Testprogramm weiterhin schulden. Ihre zuständige Behörde wird in aufsichtlichen Bewertungen unabhängig vom TLPT-Status danach fragen.
Eine praktische Planungsreihenfolge
Ob Sie bereits benannt wurden oder es für möglich halten: Die folgende Reihenfolge ist ein anschaulicher Weg, einen ersten DORA-TLPT anzugehen. Die Dauer variiert je nach Umfang und Anbieter, behandeln Sie das also als Reihenfolge der Schritte statt als festen Zeitplan.
Bereitschaftsbewertung. Kartieren Sie Ihre kritischen oder wichtigen Funktionen und die Systeme, die sie unterstützen. Beurteilen Sie ehrlich, ob Ihre Verteidiger reif genug sind, um aus einer Red-Team-Übung Wert zu ziehen. Wenn schon die grundlegende Alarmierung hakt, wird die Purple-Teaming-Phase schmerzhaft. Schmerzhaft ist überlebbar. Schlimmer ist es, den Abschluss zu erreichen, ohne dass Einigkeit darüber besteht, wer die Feststellungen verantwortet, klären Sie die Zuständigkeit für Nachbesserungen also während der Vorbereitung und schreiben Sie sie in die Projektdokumentation, solange alle noch entspannt sind.
Anbieterauswahl. Identifizieren Sie qualifizierte Threat-Intelligence- und Red-Team-Anbieter und sichern Sie sich Termine. Denken Sie daran, dass Threat-Intelligence-Anbieter und Red Team getrennt sein müssen, und holen Sie von beiden jeweils mehrere Angebote ein.
Behördeneinbindung. Sprechen Sie mit Ihrer zuständigen Behörde über Umfang und Planung. Der Test kommt für die Aufsicht nicht überraschend: Die Behörde weiß, dass er stattfindet. Vertraulich bleiben die konkreten Angriffsszenarien, die das Red Team fahren wird.
Threat Intelligence. Der Anbieter erstellt die maßgeschneiderte Aufklärung, welche die Szenarien steuert. Prüfen Sie sie streng, denn generische Aufklärung ergibt einen generischen Test.
Red-Team-Test. Das Red Team führt gegen Live-Systeme aus, während Ihre Verteidiger ohne Kenntnis der Details reagieren und das Kontrollteam die Übung innerhalb ihrer Sicherheitsgrenzen hält.
Abschluss. Purple-Team-Workshop, Berichte, Maßnahmenplan, Bescheinigung und Einreichung, Lessons Learned.
Das größere Bild
TLPT nach DORA gehört zu den realistischsten Tests der operationalen Resilienz, die ein Institut durchläuft, und gut gemacht legt er blinde Flecken offen, die Richtlinientexte und papierne Risikobewertungen nicht erreichen. Der Preis dafür ist erheblich und die Störung real, weshalb der Nutzen davon abhängt, ihn als Lernübung anzugehen.
Der Rest eines DORA-Programms liegt um diesen Test herum: das Informationsregister, das IKT-Risikomanagement, die Klassifizierung und Meldung von Vorfällen sowie das allgemeine Testprogramm nach den Artikeln 24 und 25. DORA ist eines von mehreren EU-Regimen, die ein Finanzunternehmen parallel betreiben muss, und die Arbeit überschneidet sich, weshalb es darum geht, das Gesamtbild zu steuern, ohne dieselben Nachweise für jede Pflicht neu aufzubauen.
Häufig gestellte Fragen
Muss jedes Finanzunternehmen einen TLPT durchführen?
Nein. TLPT gilt nur für Finanzunternehmen, die eine zuständige Behörde nach Artikel 26 Absatz 8 benennt, auf Grundlage einer risikobasierten Bewertung ihrer Auswirkung auf den Sektor, ihrer systemischen Bedeutung sowie ihres IKT-Risikoprofils und Reifegrads. Nicht benannte Unternehmen müssen weiterhin das allgemeine Resilienz-Testprogramm nach den Artikeln 24 und 25 betreiben, allerdings ohne vollständigen bedrohungsgeleiteten Test.
Wie oft ist ein DORA-TLPT erforderlich?
Mindestens alle 3 Jahre nach Artikel 26 Absatz 1. Auf Grundlage des Risikoprofils und der betrieblichen Gegebenheiten eines Unternehmens kann seine zuständige Behörde bei Bedarf eine abweichende Häufigkeit verlangen.
Worin unterscheiden sich TLPT und ein Standard-Penetrationstest?
Ein Standard-Penetrationstest nutzt generische Techniken zu einem festen Zeitpunkt. Ein TLPT beginnt mit maßgeschneiderter Threat Intelligence über Ihr konkretes Institut, anschließend nutzt ein getrenntes Red Team diese Erkenntnisse, um Ihre produktiven Live-Systeme anzugreifen, während der Großteil der Belegschaft nichts davon weiß. Er folgt dem TIBER-EU-Rahmenwerk und ist weit realistischer und anspruchsvoller als ein Routinescan.
Können wir unser eigenes internes Team als Tester einsetzen?
Nur unter Bedingungen. Artikel 27 erlaubt interne Tester, wenn die zuständige Behörde ihren Einsatz genehmigt hat und sich davon überzeugt hat, dass das Unternehmen über ausreichende dedizierte Ressourcen verfügt und Interessenkonflikte gesteuert hat; in diesem Fall muss der Threat-Intelligence-Anbieter extern sein. Artikel 26 verlangt zudem, dass ein Unternehmen, das interne Tester einsetzt, bei jedem dritten Test externe Tester beauftragt.
Wo sind die detaillierten TLPT-Regeln niedergeschrieben?
Die Pflicht steht in den Artikeln 26 und 27 der DORA, Verordnung (EU) 2022/2554. Die detaillierte Methodik einschließlich Phasen, Anbieteranforderungen und Dokumentation steht im technischen Regulierungsstandard, der Delegierten Verordnung (EU) 2025/1190 der Kommission, entwickelt im Einklang mit dem TIBER-EU-Rahmenwerk der EZB.
Ihr DORA-Programm mit Venvera steuern
TLPT ist ein anspruchsvolles Teilstück von DORA, und der Rest des Programms läuft daneben weiter. Das Venvera DORA-Modul hält das Informationsregister, IKT-Risikobewertungen, die Vorfallklassifizierung und Ihre Testnachweise an einem prüffähigen Ort zusammen, sodass das allgemeine Programm nach Artikel 24 und 25 sowie alle TLPT-Maßnahmen zentral nachverfolgt werden.
Weil DORA sich mit anderen Regimen überschneidet, die Sie womöglich bereits betreiben, erlaubt Ihnen die Crosswalk-Engine, Controls und Nachweise über NIS2, ISO 27001 und DORA hinweg wiederzuverwenden, statt jedes Mal bei null zu beginnen. Wenn Sie schnell wissen wollen, wo Sie stehen, nutzen Sie den kostenlosen Compliance-Check.
Bringen Sie den Rest Ihres DORA-Programms unter Kontrolle
Informationsregister, IKT-Risikobewertungen, Vorfallklassifizierung und Testnachweise, prüffähig gehalten und über Ihre weiteren Pflichten hinweg wiederverwendbar.
Demo buchen →Primärquellen
Dieser Leitfaden stützt sich auf die Verordnung und offizielle EU-Materialien. Bestätigen Sie stets den aktuellen Text, bevor Sie sich auf einen bestimmten Absatz oder ein Datum stützen.
- Verordnung (EU) 2022/2554 (DORA) - Artikel 24, 25, 26 und 27 sowie der Geltungsbeginn am 17. Januar 2025.
- Delegierte Verordnung (EU) 2025/1190 der Kommission - der RTS zu TLPT-Kriterien, Anbieteranforderungen, Umfang, Phasen und Methodik.
- TIBER-EU-Rahmenwerk der EZB - das Threat-Intelligence-basierte Ethical-Red-Teaming-Rahmenwerk, auf dem der RTS aufbaut.
Zuletzt aktualisiert: Juli 2026. Dieser Artikel enthält allgemeine Informationen und ersetzt keine Rechtsberatung. Wenden Sie sich für TLPT-Hinweise zu Ihrer Jurisdiktion an Ihre zuständige Behörde.
