Art. 27 Anforderungen an Tester bezüglich der Durchführung von TLPT | DORA regulation | DORA

This article directly supports Article 26, which establishes the requirement for threat-led penetration testing (TLPT).

Here, the focus shifts to the qualification standards that testers must meet in order to carry out TLPT on behalf of financial entities.

It sets out a baseline of criteria for all testers, adds further conditions specific to the use of internal testers, and places obligations on financial entities regarding how TLPT results are handled by external testers.

Important points:

Only use testers for TLPT who meet specific standards of suitability, expertise, certification, independent assurance, and professional indemnity insurance coverage.
When using internal testers, obtain approval from the relevant competent authority, and ensure the threat intelligence provider is external to the financial entity.
Ensure that contracts with external testers require sound management of TLPT results, so that all data processing related to those results does not create risks to the financial entity.

1. Finanzunternehmen ziehen für TLPT nur Tester heran, die
  1. von höchster Eignung und Ansehen sind;
  2. über technische und organisatorische Fähigkeiten verfügen und spezifisches Fachwissen in den Bereichen Bedrohungsanalyse, Penetrationstests und Red-Team-Tests nachweisen;
  3. von einer Akkreditierungsstelle in einem Mitgliedstaat zertifiziert wurden oder formale Verhaltenskodizes oder ethische Rahmenregelungen einhalten;
  4. eine unabhängige Gewähr oder einen Auditbericht in Bezug auf das zuverlässige Management von Risiken vorlegen, die mit der Durchführung von TLPT verbunden sind, darunter auch der angemessene Schutz vertraulicher Informationen des Finanzunternehmens und ein Ausgleich der geschäftlichen Risiken des Finanzunternehmens;
  5. ordnungsgemäß und vollständig durch einschlägige Berufshaftpflichtversicherungen abgesichert sind, einschließlich einer Versicherung gegen das Risiko von Fehlverhalten und Fahrlässigkeit.
1. Beim Einsatz interner Tester gewährleisten Finanzunternehmen, dass neben den Anforderungen in Absatz 1 auch folgende Bedingungen erfüllt sind:
  1. der Einsatz wurde von der jeweils zuständigen Behörde oder von der gemäß Artikel 26 Absätze 9 und 10 benannten einzigen staatlichen Behörde genehmigt;
  2. die jeweils zuständige Behörde hat überprüft, dass das Finanzunternehmen über ausreichende Ressourcen verfügt und sichergestellt hat, dass während der Konzeptions- und Durchführungsphase der Tests keine Interessenkonflikte entstehen; und
  3. der Anbieter von Bedrohungsanalysen gehört nicht dem Finanzunternehmen an.
1. Finanzunternehmen stellen sicher, dass in Verträgen, die mit externen Testern geschlossen werden, eine ordentliche Handhabung der Ergebnisse von TLPT vorgesehen ist und die diesbezügliche Datenverarbeitung, einschließlich Generierung, Speicherung, Aggregation, Entwurf, Berichterstattung, Weitergabe oder Vernichtung, keine Risiken für das Finanzunternehmen mit sich bringt.

Artikel 27 Anforderungen an Tester bezüglich der Durchführung von TLPT

Relevant recitals