Seminar DORA TLPT: Planung, Steuerung und TIBER-EU

Beschreibung

Bedrohungsgeleitete Penetrationstests prüfen realistische Angriffsszenarien unter besonderer Steuerung und Einbindung der zuständigen Stellen. Das Seminar behandelt die Planung dieses mehrphasigen Verfahrens und die damit verbundenen Risiken. Die TLPT-Pflicht wird anhand der maßgeblichen Auswahlkriterien und der behördlichen Bestimmung eingeordnet.

Der Schwerpunkt liegt auf Auftraggeber- und Steuerungskompetenz. Ein fiktives Testvorhaben wird vom Geltungsbereich über den Testauftrag bis zu Auswertung und Maßnahmenverfolgung geplant. Das Seminar umfasst eine Planungssimulation; ein vollständiger regulatorischer TLPT läuft über einen wesentlich längeren Zeitraum mit dafür qualifizierten Beteiligten. Einordnung und Terminologie berücksichtigen das Zusammenspiel von DORA-Anforderungen und TIBER-EU.

Lernziele

• Den Anwendungsfall für TLPT und die beteiligten Rollen zutreffend einordnen.
• Scope, Testziele und Risiken eines Testvorhabens nachvollziehbar vorbereiten.
• Anforderungen an Beteiligte, Dienstleister und Vertraulichkeit konkretisieren.
• Testphasen und Nachbearbeitung mit klaren Freigaben und Nachweisen strukturieren.

Seminarinhalte

Inhaltsübersicht: Einordnung und Auswahl; Rollen und Testvorbereitung; Risiken und Beauftragung; Bedrohungsszenarien und Teststeuerung; Auswertung und Maßnahmen.

Einordnung und Auswahl

• Reguläre Resilienztests und fortgeschrittene bedrohungsgeleitete Tests unterscheiden.
• Unternehmenskategorie, Auswahlkriterien und zuständige TLPT-Stellen berücksichtigen.
• TIBER-EU als Rahmen für Vorgehen und Zusammenarbeit im DORA-Kontext einordnen.

Rollen und Testvorbereitung

• Leitungsorgan, Control Team, Testmanager sowie Red und Blue Team zuordnen.
• Kritische oder wichtige Funktionen und relevante Produktivsysteme für den Scope erfassen.
• Abhängigkeiten und Beteiligung von IKT-Drittdienstleistern klären.

Risiken und Beauftragung

• Vertraulichkeit, Interessenkonflikte, Qualifikation und Versicherung der Beteiligten prüfen.
• Risiken für Produktivbetrieb und Geschäftsleistungen mit Gegenmaßnahmen bewerten.
• Freigaben, Kommunikationswege und Kriterien für Unterbrechung oder Anpassung festlegen.

Bedrohungsszenarien und Teststeuerung

• Relevante Bedrohungsinformationen in ein Szenariomodell und einen Testplan überführen.
• Abstimmungen zwischen Control Team, Dienstleistern und zuständiger Stelle organisieren.
• Zeitplanung, Fortschrittskontrolle und erforderliche Nachweise während des Tests strukturieren.

Auswertung und Maßnahmen

• Berichte, Replay und Purple-Teaming-Aktivitäten organisatorisch einordnen.
• Erkenntnisse aus Angriffs- und Verteidigungsperspektive miteinander abgleichen.
• Behebungsplan, Berichterstattung und die regulatorische Bescheinigung des Verfahrens unterscheiden.

Praxisworkshop

1. Das fiktive Unternehmen anhand eines Auswahlprofils einordnen.
2. Eine Scope-Skizze mit Funktionen, Systemen und Dienstleisterabhängigkeiten erstellen.
3. Eine Rollenmatrix und einen vertraulichen Kommunikationsplan entwerfen.
4. Dienstleisterunterlagen anhand eines Kriterienkatalogs bewerten.
5. Drei vorgegebene Bedrohungsszenarien auf Eignung und Betriebsrisiken prüfen.
6. Einen Phasenplan mit Freigaben sowie einen Maßnahmenprozess für die Nachbearbeitung ausarbeiten.