Glossarbegriff
TLPT (Threat-Led Penetration Testing)
Auch: Threat-Led Penetration Testing, TIBER-EU
Ein behördlich begleiteter, intelligenz-gesteuerter Penetrationstest, den DORA für signifikante Finanzunternehmen alle drei Jahre fordert. TLPT folgt dem TIBER-EU-Framework und ist deutlich intensiver als ein klassischer Pentest.
DORA Art. 26 führt TLPT als verpflichtende Prüfung für als signifikant eingestufte Finanzunternehmen ein. Der Test wird durch eine Threat-Intelligence-Phase eingeleitet und in einer Red-Team-Phase ausgeführt, jeweils gegen produktive Systeme.
Das Framework basiert auf TIBER-EU der EZB, mit nationalen Aufsichtsbehörden als Co-Aufseher. TLPT-Anbieter müssen registrierte Pentester sein; die Threat-Intelligence-Komponente kann separat beauftragt werden.
In der Praxis
Vorbereitungs-relevant: TLPT-Schwellenwerte greifen nur für signifikante Entitäten. Mid-Market-Banken und kleinere Wertpapierdienstleister sind in der Regel nicht TLPT-pflichtig, brauchen aber dennoch das Resilienz-Test-Programm nach Art. 24-25.
Verwandte Begriffe
DORA ICT risk management
The EU Digital Operational Resilience Act regulates the operational resilience of financial entities against ICT risks, with particularly prescriptive expectations around ICT third-party risk management (Art. 28) and contractual arrangements (Art. 30).
Decision memo
A short structured document that captures why a decision was made, the options considered, the criteria and trade-offs, the stakeholders involved and the accepted risks. A good decision memo is auditable months later.
Compliance mapping
The explicit link between a decision (vendor, architecture, control) and the specific regulatory articles, controls or standards it satisfies. Without compliance mapping, a memo cannot be defended under audit against a named clause.
TIA
Bewertung des Schutzniveaus im Empfängerland bei Datenübermittlungen in Drittländer nach Schrems II. Pflicht bei SCC, BCR und Art-49-Ausnahmen. Output: Entscheidung, ob Transfer ohne, mit oder gar nicht durchgeführt werden darf.
TISAX
Prüfstandard und Austauschplattform des VDA für Informationssicherheit in der Automobilindustrie. ISA-Katalog (Information Security Assessment) ist das Prüfraster, ENX betreibt die Plattform.
TPRM
Disziplin und Tool-Kategorie zur Steuerung von Risiken aus externen Anbietern (SaaS, Cloud, Outsourcing, Beratung). Pflicht-Disziplin unter DORA Art. 28-30 für Finanzunternehmen und unter NIS2 Art. 21 Buchstabe d für wesentliche/wichtige Einrichtungen.
AI Act Konformitätsbewertung
Verfahren zur Feststellung, dass ein Hochrisiko-KI-System die Anforderungen des EU AI Act erfüllt, bevor es in Verkehr gebracht oder in Betrieb genommen wird. Pflicht für alle Anhang-III-Hochrisiko-Systeme ab 2. Dezember 2027 (verschoben vom ursprünglichen 2. August 2026 durch den Digital Omnibus, Verordnung (EU) 2026/1744).
AI Act Risikoklassen
Vier-stufige Klassifikation nach EU AI Act: verboten (Art. 5), Hochrisiko (Anhang I/III), begrenztes Risiko (Art. 50 Transparenzpflichten), minimales Risiko (freiwillige Codes). Klassifizierung ist die erste Pflicht, sie muss dokumentiert und nachvollziehbar sein.