DORA-Manager

Die Verordnung · Kapitel IV: Testen der digitalen operationalen Resilienz

Artikel 24

Allgemeine Anforderungen für das Testen der digitalen operationalen Resilienz

Wen dieser Artikel betrifft

  • VVoller Rahmen
  • 16Artikel 16
  • IKTIKT-Dienstleister

Verordnung (EU) 2022/2554 · Kapitel IV, Artikel 24 · gilt seit dem 17. Januar 2025 · Amtlicher Text bei EUR-Lex (CELEX 32022R2554)
Rechtsstand dieser Seite: 28. September 2026

Wortlaut

Amtliche deutsche Fassung, Verordnung (EU) 2022/2554, veröffentlicht im Amtsblatt der Europäischen Union L 333 vom 27.12.2022. Verbindlich ist der dort veröffentlichte Wortlaut.

(1) Um die Vorbereitung auf die Handhabung IKT-bezogener Vorfälle zu bewerten, Schwächen, Mängel und Lücken in Bezug auf die digitale operationale Resilienz zu erkennen und Korrekturmaßnahmen umgehend umzusetzen, erstellen, pflegen und überprüfen Finanzunternehmen, die keine Kleinstunternehmen sind, unter Berücksichtigung der in Artikel 4 Absatz 2 aufgeführten Kriterien ein solides und umfassendes Programm für das Testen der digitalen operationalen Resilienz als integraler Bestandteil des in Artikel 6 genannten IKT-Risikomanagementrahmens.

(2) Das Programm für Tests der digitalen operationalen Resilienz umfasst eine Reihe von Bewertungen, Tests, Methoden, Verfahren und Tools, die gemäß den Artikeln 25 und 26 anzuwenden sind.

(3) Bei der Ausführung des in Absatz 1 genannten Programms für das Testen der digitalen operationalen Resilienz wenden Finanzunternehmen, die keine Kleinstunternehmen sind, unter Berücksichtigung der in Artikel 4 Absatz 2 aufgeführten Kriterien einen risikobasierten Ansatz an, wobei sie die sich entwickelnden IKT-Risikolandschaften, etwaige spezifische Risiken, denen das betreffende Finanzunternehmen ausgesetzt ist oder ausgesetzt sein könnte, die Kritikalität von Informationsassets und erbrachten Dienstleistungen sowie alle sonstigen Faktoren, die das Finanzunternehmen für angemessen hält, gebührend berücksichtigen.

(4) Finanzunternehmen, die keine Kleinstunternehmen sind, stellen sicher, dass Tests von unabhängigen, internen oder externen Parteien durchgeführt werden. Werden die Tests von einem internen Tester durchgeführt, stellen die Finanzunternehmen ausreichende Ressourcen bereit und tragen dafür Sorge, dass während der Konzeptions- und Durchführungsphase der Prüfung keine Interessenkonflikte entstehen.

(5) Finanzunternehmen, die keine Kleinstunternehmen sind, legen Verfahren und Leitlinien zur Priorisierung, Klassifizierung und Behebung aller während der Durchführung der Tests zutage getretenen Probleme fest und legen interne Validierungsmethoden fest, um sicherzustellen, dass alle ermittelten Schwächen, Mängel oder Lücken vollständig angegangen werden.

(6) Finanzunternehmen, die keine Kleinstunternehmen sind, stellen sicher, dass bei allen IKT-Systemen und -Anwendungen, die kritische oder wichtige Funktionen unterstützen, mindestens einmal jährlich angemessene Tests durchgeführt werden.

Neben jedem Absatz steht ein . Ein Klick darauf setzt die Adresse genau dieses Absatzes in die Adresszeile, zum Kopieren in Ihre eigene Richtlinie, eine Vorlage oder ein Prüfungsprotokoll. Verweise auf andere Artikel dieser Verordnung sind verlinkt.

Worum es geht

Artikel 24 verlangt von allen Finanzunternehmen, die keine Kleinstunternehmen sind, ein Programm für das Testen der digitalen operationalen Resilienz, als integralen Bestandteil des IKT-Risikomanagementrahmens nach Artikel 6.

Zwei Vorgaben daraus sind hart: Tests werden von unabhängigen internen oder externen Parteien durchgeführt (Absatz 4), und alle IKT-Systeme und Anwendungen, die kritische oder wichtige Funktionen unterstützen, werden mindestens einmal jährlich getestet (Absatz 6).

In der Praxis

Der Kreis ist größer als beim TLPT: auch Artikel-16-Häuser testen

Artikel 24 nimmt nur Kleinstunternehmen aus. Häuser unter dem vereinfachten Rahmen des Artikels 16 sind damit nicht befreit; befreit sind sie erst von Artikel 26, den bedrohungsgeleiteten Penetrationstests.

Das ist eine der häufigsten Fehlannahmen bei Häusern, die von den BAIT kommen: „vereinfacht“ heißt nicht „ohne Tests“. Es heißt, dass Umfang und Tiefe nach Artikel 4 Absatz 2 skaliert werden dürfen; das Programm selbst muss es geben.

Unabhängigkeit ist eine Frage der Aufgabentrennung, nicht der Organisationsgröße

Absatz 4 erlaubt interne Tester ausdrücklich. Verlangt sind dann ausreichende Ressourcen und die Sicherstellung, dass in Konzeptions- und Durchführungsphase keine Interessenkonflikte entstehen.

In einem kleinen Haus heißt das nicht „wir brauchen eine Testabteilung“. Es heißt: Wer eine Konfiguration verantwortet, prüft sie nicht selbst ab. Das ist mit zwei Personen lösbar, mit einer nicht. Dann braucht es einen Externen für den betreffenden Bereich.

Absatz 6 ist die Zeile, an der Prüfungen ansetzen

Mindestens einmal jährlich, alle IKT-Systeme und Anwendungen, die kritische oder wichtige Funktionen unterstützen. Das verlangt eine Liste, und diese Liste entsteht nicht im Testprogramm, sondern aus der Einstufung nach Artikel 3 Nummer 22 und dem Inventar nach Artikel 8.

Der Abgleich ist die eigentliche Arbeit: Jedes System, das eine kritische oder wichtige Funktion trägt, muss im Jahresplan wiederauffindbar sein. Lücken in diesem Abgleich sind der häufigste Befund, nicht fehlende Tests, sondern Tests ohne nachweisbare Vollständigkeit.

Absatz 5: der Befund ohne Erledigung zählt nicht

Verlangt sind Verfahren und Leitlinien zur Priorisierung, Klassifizierung und Behebung aller zutage getretenen Probleme sowie interne Validierungsmethoden, mit denen belegt wird, dass Schwächen vollständig angegangen wurden.

Ein Testbericht mit offenen Punkten und ohne Nachverfolgung ist deshalb schlechter als kein Test: Er dokumentiert eine bekannte Schwäche, die niemand bearbeitet hat. Führen Sie die Befunde in derselben Liste wie die Vorfälle und die Prüfungsfeststellungen; drei getrennte Listen werden nicht gepflegt.

Konkretisiert durch

  • Delegierte Verordnung (EU) 2025/1190, gesamter Rechtsakt. Der einzige Rechtsakt, der Kapitel IV weiter ausgestaltet, und er betrifft allein die bedrohungsgeleiteten Penetrationstests nach Artikel 26. Amtlicher Text (CELEX 32025R1190)
  • Delegierte Verordnung (EU) 2024/1774, Artikel 36. IKT-Sicherheitstests für Unternehmen unter dem vereinfachten Rahmen nach Artikel 16; ergangen zu Artikel 16 Absatz 3, nicht zu diesem Artikel. Amtlicher Text (CELEX 32024R1774)

Die Zuordnung der einzelnen Artikel ist eine fachliche Einschätzung. Verbindlich ist allein der Wortlaut der jeweiligen Verordnung.

Was die Aufsicht dazu sagt

1 Antwort aus den Frage-und-Antwort-Beständen der Aufsicht, hier zusammengefasst. Verbindlich ist jeweils die Originalantwort, auf die der Verweis am Ende jedes Eintrags führt.

Jeder Eintrag nennt unten den Stand, zu dem er hier erfasst wurde. Die BaFin datiert ihre Antworten nicht; die europäischen Bestände nennen eigene Daten, die dann dort stehen. Wann zuletzt geprüft wurde und was sich seither geändert hat, steht im Änderungsprotokoll; alle Antworten an einer Stelle stehen in der Übersicht.

BaFinWelche Institute und Unternehmen müssen die erweiterten Anforderungen an das Testen im Sinne von TLPT erfüllen?

Die allgemeinen Testanforderungen gelten für alle Finanzunternehmen im Anwendungsbereich; TLPT trifft nur die von der Aufsicht ermittelten Unternehmen. Maßgeblich sind Auswirkungen auf den Finanzsektor, Finanzstabilität und systemische Bedeutung sowie das IKT-Risikoprofil und der IKT-Reifegrad.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

Die BaFin datiert ihre Antworten nicht; einzelne Antworten nennen Fristen des Jahres 2025, die verstrichen sind. Die europäischen Antworten tragen ein Aktenzeichen. Ein Teil davon stammt von der Europäischen Kommission und nicht von den Aufsichtsbehörden. Welche Antwort zu welchem Artikel gehört, ist hier zugeordnet worden und keine Angabe der Behörden.

Was am Ende vorliegen muss

Erfüllt ist die Anforderung, wenn diese Unterlagen vorliegen, aktuell sind und zueinander passen, nicht, wenn sie einzeln existieren:

  • Das Testprogramm, schriftlich, als Teil des IKT-Risikomanagementrahmens
  • Der Jahresplan mit allen Systemen und Anwendungen, die kritische oder wichtige Funktionen unterstützen, abgeglichen gegen Einstufung und Inventar
  • Je Test: Auftrag, Durchführender, Unabhängigkeitsnachweis, Ergebnis
  • Die Befundliste mit Priorisierung, Zuständigkeit, Termin und Erledigungsnachweis
  • Die Beschreibung der internen Validierungsmethode nach Absatz 5
  • Der Nachweis der Verhältnismäßigkeit nach Artikel 4 Absatz 2, wenn Umfang und Tiefe bewusst begrenzt wurden

Häufige Fragen zu Artikel 24

Müssen alle Finanzunternehmen nach DORA testen?

Nach Artikel 24 Absatz 1 DORA alle Finanzunternehmen, die keine Kleinstunternehmen sind. Unternehmen unter dem vereinfachten Rahmen des Artikels 16 DORA sind davon nicht ausgenommen; ausgenommen sind sie nach Artikel 26 Absatz 1 DORA nur von den bedrohungsgeleiteten Penetrationstests.

Wie oft müssen IKT-Systeme getestet werden?

Nach Artikel 24 Absatz 6 DORA mindestens einmal jährlich für alle IKT-Systeme und -Anwendungen, die kritische oder wichtige Funktionen unterstützen.

Dürfen eigene Mitarbeiter die Tests durchführen?

Ja. Artikel 24 Absatz 4 DORA lässt interne Tester zu, verlangt dann aber ausreichende Ressourcen und die Sicherstellung, dass während der Konzeptions- und Durchführungsphase keine Interessenkonflikte entstehen.

Weiter

Stand: 28. September 2026