Glossarbegriff
Operational Resilience Testing
Auch: Digital Operational Resilience Testing, DORA Art. 24-27
Pflicht-Test-Programm aus DORA Art. 24-27 für die operative Resilienz der ICT-Systeme von Finanzunternehmen. Umfasst Schwachstellen-Analysen, Open-Source-Analysen, Netzsicherheits-Bewertungen, Lücken-Analysen, physische Sicherheits-Reviews, Fragebögen, Scans, Penetrationstests und TLPT.
DORA verlangt ein jährliches Testprogramm proportional zur Größe, Risiko-Profil und Komplexität des Finanzunternehmens. Das Programm muss Test-Methoden, Frequenz, Scope, Akzeptanz-Kriterien, Eskalations-Pfade, Reporting und Behebungs-Disziplin definieren. Ergebnisse fließen in den jährlichen ICT-Risiko-Bericht an die Aufsicht.
Test-Spektrum: Vulnerability Assessments mindestens jährlich, Source-Code-Reviews bei kritischen Anwendungen, Penetration Tests für externe und kritische interne Systeme, Network Security Assessments, Performance- und End-to-End-Tests. Für signifikante Entitäten zusätzlich TLPT mindestens alle drei Jahre (Art. 26-27).
In der Praxis
Audit-Logik: das Test-Programm muss von einer unabhängigen Stelle innerhalb oder ausserhalb des Unternehmens gesteuert werden. Tester dürfen nicht gleichzeitig Entwickler oder Betreiber der getesteten Systeme sein. Nachweis-Pflicht: jeder Test braucht Protokoll, Findings-Liste, Risiko-Bewertung, Behebungs-Plan, Nachprüfung.
Verwandte Begriffe
DORA
EU-Verordnung 2022/2554 für digitale operationale Resilienz im Finanzsektor. Seit 17. Januar 2025 unmittelbar geltend. Fünf Säulen: ICT-Risikomanagement, Vorfallsmanagement, Resilienz-Testing inkl. TLPT, Drittanbieter-Steuerung, Informationsaustausch.
TLPT (Threat-Led Penetration Testing)
Ein behördlich begleiteter, intelligenz-gesteuerter Penetrationstest, den DORA für signifikante Finanzunternehmen alle drei Jahre fordert. TLPT folgt dem TIBER-EU-Framework und ist deutlich intensiver als ein klassischer Pentest.
Compliance mapping
The explicit link between a decision (vendor, architecture, control) and the specific regulatory articles, controls or standards it satisfies. Without compliance mapping, a memo cannot be defended under audit against a named clause.
AI Act Konformitätsbewertung
Verfahren zur Feststellung, dass ein Hochrisiko-KI-System die Anforderungen des EU AI Act erfüllt, bevor es in Verkehr gebracht oder in Betrieb genommen wird. Pflicht für alle Anhang-III-Hochrisiko-Systeme ab 2. Dezember 2027 (verschoben vom ursprünglichen 2. August 2026 durch den Digital Omnibus, Verordnung (EU) 2026/1744).
AI Act Risikoklassen
Vier-stufige Klassifikation nach EU AI Act: verboten (Art. 5), Hochrisiko (Anhang I/III), begrenztes Risiko (Art. 50 Transparenzpflichten), minimales Risiko (freiwillige Codes). Klassifizierung ist die erste Pflicht, sie muss dokumentiert und nachvollziehbar sein.
BaFin DORA-Aufsichtsmitteilung
Veröffentlichungen der BaFin zur Auslegung und Erwartung der DORA-Anwendung in Deutschland. Stand 2025/2026 ergehen die wichtigsten Hinweise als Aufsichtsmitteilungen, Merkblätter und Fachartikel im BaFin-Journal, nicht als klassisches Rundschreiben.
BAIT
Rundschreiben der BaFin, das die Anforderungen an die IT-Aufstellung von Kreditinstituten konkretisiert. Präzisiert MaRisk AT 7.2 für IT-Strategie, Informationssicherheit, Benutzerberechtigungen, Projektmanagement, Anwendungsentwicklung und IT-Outsourcing.
BCM
Disziplin zur Aufrechterhaltung kritischer Geschäftsprozesse bei Störungen. Standards: ISO 22301, BSI-Standard 200-4. Im Finanzsektor durch BAIT/VAIT und DORA Art. 11 verpflichtend.