Europäischer regulatorischer Kontext
Penetrationstests im Rahmen von NIS2 und DORA
Ein praxisorientierter Leitfaden zum Management von Cybersicherheitsrisiken in der EU, zu Tests der digitalen operationalen Resilienz und zu den Anforderungen an bedrohungsorientierte Penetrationstests.
Nachweis der Widerstandsfähigkeit, keine Compliance-Garantie
Organisationen in ganz Europa und den USA sind auf vernetzte Systeme und Lieferanten angewiesen. Autorisierte Penetrationstests überprüfen ausgewählte Angriffspfade und liefern Nachweise zur Priorisierung von Behebungsmaßnahmen. Verpflichtungen innerhalb der EU hängen von der Einrichtung, der Branche und dem geltenden Recht ab. Organisationen in den USA sollten prüfen, ob ihre Aktivitäten oder Geschäftsbeziehungen in der EU dazu führen, dass einschlägige Anforderungen auf sie anwendbar sind.
NIS2: Risikomanagement und Wirksamkeitsprüfung
Die Richtlinie (EU) 2022/2555 verpflichtet in Artikel 21 wesentliche und wichtige Einrichtungen dazu, geeignete und verhältnismäßige Maßnahmen zum Risikomanagement im Bereich der Cybersicherheit zu ergreifen. Artikel 21(2)(f) umfasst Konzepte und Verfahren zur Bewertung ihrer Wirksamkeit. Penetrationstests können diese Bewertung unterstützen, die Richtlinie schreibt jedoch keinen allgemeinen jährlichen Penetrationstest vor. Umfang und Häufigkeit hängen vom Risiko, den geltenden nationalen Umsetzungsvorschriften und den branchenspezifischen Anforderungen ab. Artikel 20 regelt die Billigung und Überwachung durch die Leitungsorgane.
EUR-Lex, NIS2 Artikel 20 und 21DORA: ein verhältnismäßiges Testprogramm
Die Verordnung (EU) 2022/2554 gilt ab dem 17. Januar 2025. Die Artikel 24 und 25 legen Anforderungen an Tests der digitalen operationalen Resilienz fest, vorbehaltlich des Geltungsbereichs und der Ausnahmen der Verordnung. Finanzunternehmen, die keine Kleinstunternehmen sind, müssen sicherstellen, dass mindestens jährlich angemessene Tests aller IKT-Systeme und Anwendungen durchgeführt werden, die kritische oder wichtige Funktionen unterstützen. Das Programm umfasst verschiedene Verfahren; daraus ergibt sich keine pauschale Verpflichtung zu einem jährlichen vollständigen Penetrationstest jedes Systems.
EUR-Lex, DORA Artikel 24 und 25DORA: fortgeschrittene bedrohungsorientierte Penetrationstests
Artikel 26 verpflichtet Finanzunternehmen, die von den zuständigen Behörden anhand der darin festgelegten Kriterien bestimmt werden, einschließlich einschlägiger bedeutender Finanzunternehmen, mindestens alle drei Jahre bedrohungsorientierte Penetrationstests (TLPT) durchzuführen. Die Behörden können diese Häufigkeit auf Grundlage von Risiken und betrieblichen Umständen anpassen. TLPT umfassen mehrere oder alle kritischen oder wichtigen Funktionen und werden auf produktiven Systemen im laufenden Betrieb durchgeführt. Sie erfordern einen kontrollierten Prüfumfang, Maßnahmen zur Risikobegrenzung, die Behebung von Mängeln und die Einbindung der Aufsichtsbehörden. Nicht jedes Finanzunternehmen ist dazu verpflichtet. Artikel 27 legt Anforderungen an die Tester fest; ein gewöhnlicher Penetrationstest erfüllt nicht automatisch die Anforderungen an einen TLPT.
EUR-Lex, DORA Artikel 26 und 27Prüfumfang, Schutzmaßnahmen und Berichterstattung festlegen
Vereinbaren Sie vor Testbeginn die schriftliche Autorisierung, die Systeme, kritischen Funktionen, Genehmigungen von Lieferanten, Testzeitfenster, Eskalationskontakte und Abbruchbedingungen. Berichte sollten Nachweise, Einschränkungen, geschäftliche Auswirkungen, Behebungsprioritäten und Ergebnisse von Nachprüfungen dokumentieren. Bewahren Sie diese Unterlagen im Rahmen des übergeordneten Risikomanagementprogramms auf.
Dieser Leitfaden dient der allgemeinen Information und stellt weder eine Rechtsberatung noch eine Aussage über eine behördliche Genehmigung dar. Klären Sie die nationale Umsetzung von NIS2, die Anwendbarkeit von DORA und die Erwartungen der Aufsichtsbehörden mit Ihrem Compliance-Team oder Ihrer Rechtsberatung. Ein Prüfbericht ist keine Compliance-Zertifizierung.
Eine Sicherheitsprüfung besprechen