Art. 4 Von den Finanzunternehmen zu treffende organisatorische Vorkehrungen | RTS on threat-led penetration testing | DORA

This article sets out the internal governance requirements that financial entities must put in place to manage a TLPT properly.

It establishes a clear leadership role in the form of a control team lead, who is accountable for the day-to-day running of the test and the actions of the wider control team.

Beyond that single point of accountability, the article focuses heavily on the operational discipline required to protect the integrity of the test, particularly around secrecy, information access, and escalation management.

It connects closely to the broader TLPT framework by defining how the financial entity organises itself internally to interact with testers, threat intelligence providers, and the TLPT authority throughout the process.

Important points:

Appoint a control team lead to take responsibility for the day-to-day management of the TLPT and the decisions of the control team.
Establish organisational and procedural measures to strictly control access to TLPT information on a need-to-know basis, maintain secrecy across all involved parties, and ensure the control team can contain any accidental detection of the test.
The control team must consult test managers before involving any blue team member in the TLPT, and must provide information to test managers upon request.

1. Die Finanzunternehmen benennen ein Kontrollteam, das für die laufende Umsetzung des TLPT sowie die Entscheidungen und Maßnahmen des Kontrollteams zuständig ist.
1. Finanzunternehmen legen organisatorische und verfahrenstechnische Maßnahmen fest, um sicherzustellen, dass
  1. der Zugang zu Informationen über geplante oder laufende TLPT dem Kontrollteam, dem Leitungsorgan, den Testern, dem Anbieter von Bedrohungsanalysen und der TLPT-Behörde nur in dem Maße gewährt wird, in dem die Kenntnis der Informationen notwendig ist,
  2. das Kontrollteam die Testmanager konsultiert, bevor es ein Mitglied des Blue Teams in einen TLPT einbindet,
  3. das Kontrollteam informiert wird, wenn ein Mitarbeiter des Finanzunternehmens oder seiner Drittdienstleister den TLPT aufdeckt, im Falle einer Eskalation der sich daraus ergebenden Reaktion auf Vorfälle das Kontrollteam erforderlichenfalls eine solche Eskalation eindämmt,
  4. Vereinbarungen über die Geheimhaltung des TLPT bestehen, die für die Mitarbeiter des Finanzunternehmens, die Mitarbeiter der betreffenden IKT-Drittdienstleister, Tester und den Anbieter von Bedrohungsanalysen gelten,
  5. das Kontrollteam den Testmanagern auf Anfrage alle Informationen über den TLPT zur Verfügung stellt,
  6. sich die am TLPT beteiligten Parteien nach Möglichkeit nur mit Codenamen darauf beziehen.

Artikel 4 Von den Finanzunternehmen zu treffende organisatorische Vorkehrungen

Relevant recitals