DORA-Manager

Die Verordnung · Kapitel IV: Testen der digitalen operationalen Resilienz

Artikel 27

Anforderungen an Tester bezüglich der Durchführung von TLPT

Wen dieser Artikel betrifft

  • VVoller Rahmen
  • 16Artikel 16
  • IKTIKT-Dienstleister

Verordnung (EU) 2022/2554 · Kapitel IV, Artikel 27 · gilt seit dem 17. Januar 2025 · Amtlicher Text bei EUR-Lex (CELEX 32022R2554)
Rechtsstand dieser Seite: 28. September 2026

Wortlaut

Amtliche deutsche Fassung, Verordnung (EU) 2022/2554, veröffentlicht im Amtsblatt der Europäischen Union L 333 vom 27.12.2022. Verbindlich ist der dort veröffentlichte Wortlaut.

(1) Finanzunternehmen ziehen für TLPT nur Tester heran, die

  • a)von höchster Eignung und Ansehen sind;
  • b)über technische und organisatorische Fähigkeiten verfügen und spezifisches Fachwissen in den Bereichen Bedrohungsanalyse, Penetrationstests und Red-Team-Tests nachweisen;
  • c)von einer Akkreditierungsstelle in einem Mitgliedstaat zertifiziert wurden oder formale Verhaltenskodizes oder ethische Rahmenregelungen einhalten;
  • d)eine unabhängige Gewähr oder einen Auditbericht in Bezug auf das zuverlässige Management von Risiken vorlegen, die mit der Durchführung von TLPT verbunden sind, darunter auch der angemessene Schutz vertraulicher Informationen des Finanzunternehmens und ein Ausgleich der geschäftlichen Risiken des Finanzunternehmens;
  • e)ordnungsgemäß und vollständig durch einschlägige Berufshaftpflichtversicherungen abgesichert sind, einschließlich einer Versicherung gegen das Risiko von Fehlverhalten und Fahrlässigkeit.

(2) Beim Einsatz interner Tester gewährleisten Finanzunternehmen, dass neben den Anforderungen in Absatz 1 auch folgende Bedingungen erfüllt sind:

  • a)der Einsatz wurde von der jeweils zuständigen Behörde oder von der gemäß Artikel 26 Absätze 9 und 10 benannten einzigen staatlichen Behörde genehmigt;
  • b)die jeweils zuständige Behörde hat überprüft, dass das Finanzunternehmen über ausreichende Ressourcen verfügt und sichergestellt hat, dass während der Konzeptions- und Durchführungsphase der Tests keine Interessenkonflikte entstehen; und
  • c)der Anbieter von Bedrohungsanalysen gehört nicht dem Finanzunternehmen an.

(3) Finanzunternehmen stellen sicher, dass in Verträgen, die mit externen Testern geschlossen werden, eine ordentliche Handhabung der Ergebnisse von TLPT vorgesehen ist und die diesbezügliche Datenverarbeitung, einschließlich Generierung, Speicherung, Aggregation, Entwurf, Berichterstattung, Weitergabe oder Vernichtung, keine Risiken für das Finanzunternehmen mit sich bringt.

Neben jedem Absatz steht ein . Ein Klick darauf setzt die Adresse genau dieses Absatzes in die Adresszeile, zum Kopieren in Ihre eigene Richtlinie, eine Vorlage oder ein Prüfungsprotokoll. Verweise auf andere Artikel dieser Verordnung sind verlinkt.

Worum es geht

Artikel 27 legt fest, wen man für einen TLPT beauftragen darf. Fünf Anforderungen: höchste Eignung und Ansehen, nachgewiesenes Fachwissen in Bedrohungsanalyse, Penetrationstests und Red-Team-Tests, Zertifizierung durch eine Akkreditierungsstelle oder Einhaltung formaler Verhaltenskodizes, eine unabhängige Gewähr oder ein Auditbericht zum Risikomanagement des Testers sowie eine Berufshaftpflichtversicherung einschließlich Fehlverhalten und Fahrlässigkeit.

Für interne Tester kommen drei Bedingungen hinzu, darunter die Genehmigung durch die zuständige Behörde.

In der Praxis

Buchstabe e ist der Punkt, an dem Angebote auseinandergehen

Ordnungsgemäß und vollständig abgesichert durch einschlägige Berufshaftpflichtversicherungen, einschließlich einer Versicherung gegen das Risiko von Fehlverhalten und Fahrlässigkeit. Das ist nachprüfbar und wird selten nachgeprüft.

Fragen Sie im Auswahlverfahren nach der Versicherungsbestätigung mit Deckungssumme und Einschluss dieser Risiken, nicht nach einer Zusicherung im Angebotstext. Ein TLPT an Live-Systemen ist der eine Fall, in dem diese Deckung praktisch relevant werden kann.

Interner Tester heißt: Antrag stellen, nicht entscheiden

Absatz 2 verlangt die Genehmigung der zuständigen Behörde oder der benannten staatlichen Behörde, die Prüfung ausreichender Ressourcen und der Konfliktfreiheit durch die Behörde, und dass der Anbieter der Bedrohungsanalyse nicht zum Haus gehört.

Die dritte Bedingung wird oft überlesen: Selbst bei internem Red Team muss die Bedrohungsanalyse von außen kommen. Das ist der Teil, der beauftragt werden muss, auch wenn man intern testet.

Absatz 3: der Vertrag mit dem Tester ist selbst ein Risikothema

Verlangt ist, dass der Vertrag eine ordentliche Handhabung der Testergebnisse vorsieht und dass die Datenverarbeitung (Generierung, Speicherung, Aggregation, Entwurf, Berichterstattung, Weitergabe, Vernichtung) keine Risiken für das Haus mit sich bringt.

Praktisch heißt das: Aufbewahrungsfristen, Löschnachweis, Verschlüsselung der Berichte, namentliche Verteilerliste und ein Verbot der Verwendung als Referenz. Diese fünf Punkte gehören in jeden TLPT-Vertrag, und sie stehen in keinem Standardangebot.

Der Tester ist zugleich ein IKT-Drittdienstleister

Ein externer Tester erbringt eine Dienstleistung, die unter Artikel 3 Nummer 21 fallen kann. Dann gelten Vorabbewertung, Registereintrag und Vertragsinhalte nach Kapitel V Abschnitt I zusätzlich, nicht statt Artikel 27.

Das wird regelmäßig übersehen, weil der Tester organisatorisch bei der Revision oder der Informationssicherheit geführt wird und nicht beim Auslagerungsmanagement.

Konkretisiert durch

  • Delegierte Verordnung (EU) 2025/1190, gesamter Rechtsakt. Die Anforderungen und Standards für den Einsatz interner Tester sowie Methodik und Phasen des TLPT. Amtlicher Text (CELEX 32025R1190)

Die Zuordnung der einzelnen Artikel ist eine fachliche Einschätzung. Verbindlich ist allein der Wortlaut der jeweiligen Verordnung.

Was die Aufsicht dazu sagt

2 Antworten aus den Frage-und-Antwort-Beständen der Aufsicht, hier zusammengefasst. Verbindlich ist jeweils die Originalantwort, auf die der Verweis am Ende jedes Eintrags führt.

Jeder Eintrag nennt unten den Stand, zu dem er hier erfasst wurde. Die BaFin datiert ihre Antworten nicht; die europäischen Bestände nennen eigene Daten, die dann dort stehen. Wann zuletzt geprüft wurde und was sich seither geändert hat, steht im Änderungsprotokoll; alle Antworten an einer Stelle stehen in der Übersicht.

BaFinGibt es eine Übersicht aller in Deutschland zugelassenen Tester für TLPT?

Nein, die BaFin führt keine solche Liste. Finanzunternehmen wählen Tester und Threat-Intelligence-Dienstleister selbst aus und müssen dabei die Anforderungen der Delegierten Verordnung (EU) 2025/1190 beachten. Eine Akkreditierungsstelle zur Zertifizierung von Testern gibt es in Deutschland nicht.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

BaFinWie werden die Anforderungen an einen TLPT aus Artikel 26 und 27 DORA in Deutschland umgesetzt?

Nach der Methodik des TIBER-EU-Rahmenwerks. Die Deutsche Bundesbank begleitet die Durchführung; die zuständige Aufsichtsbehörde verantwortet Verpflichtung, Testfrequenz, Validierung des Testumfangs und die Verwertung der Ergebnisse.

Originalantwort bei der BaFin ↗

Erfasst am 3. Oktober 2026

Die BaFin datiert ihre Antworten nicht; einzelne Antworten nennen Fristen des Jahres 2025, die verstrichen sind. Die europäischen Antworten tragen ein Aktenzeichen. Ein Teil davon stammt von der Europäischen Kommission und nicht von den Aufsichtsbehörden. Welche Antwort zu welchem Artikel gehört, ist hier zugeordnet worden und keine Angabe der Behörden.

Was am Ende vorliegen muss

Erfüllt ist die Anforderung, wenn diese Unterlagen vorliegen, aktuell sind und zueinander passen, nicht, wenn sie einzeln existieren:

  • Je Tester: Nachweise zu allen fünf Anforderungen des Absatzes 1, einschließlich Versicherungsbestätigung mit Deckungssumme
  • Bei internen Testern: die Genehmigung der Behörde, der Ressourcennachweis und der Nachweis, dass die Bedrohungsanalyse von außen kommt
  • Der Vertrag mit dem externen Tester mit den Regelungen zur Handhabung der Ergebnisse nach Absatz 3
  • Die Einordnung des Testers in die Dienstleistersteuerung: Vorabbewertung, Registereintrag, Vertragsinhalte

Häufige Fragen zu Artikel 27

Welche Anforderungen muss ein TLPT-Tester erfüllen?

Nach Artikel 27 Absatz 1 DORA fünf: höchste Eignung und Ansehen; technische und organisatorische Fähigkeiten und nachgewiesenes Fachwissen in Bedrohungsanalyse, Penetrationstests und Red-Team-Tests; Zertifizierung durch eine Akkreditierungsstelle eines Mitgliedstaats oder Einhaltung formaler Verhaltenskodizes oder ethischer Rahmenregelungen; eine unabhängige Gewähr oder ein Auditbericht zum zuverlässigen Management der mit TLPT verbundenen Risiken; sowie eine einschlägige Berufshaftpflichtversicherung einschließlich der Risiken von Fehlverhalten und Fahrlässigkeit.

Dürfen interne Mitarbeiter einen TLPT durchführen?

Nach Artikel 27 Absatz 2 DORA nur, wenn zusätzlich drei Bedingungen erfüllt sind: der Einsatz wurde von der zuständigen oder der nach Artikel 26 Absätze 9 und 10 DORA benannten Behörde genehmigt; die Behörde hat ausreichende Ressourcen und Konfliktfreiheit überprüft; und der Anbieter der Bedrohungsanalyse gehört nicht zum Finanzunternehmen. Nach Artikel 26 Absatz 8 DORA ist außerdem jeder dritte Test von einem externen Tester durchzuführen.

Weiter

Stand: 28. September 2026