TLPT – Threat-Led Penetration Testing

Definition

TLPT (Threat-Led Penetration Testing) bezeichnet bedrohungsgeleitete Penetrationstests nach Art. 26 DORA. Dabei werden reale Angreifer auf Basis aktueller Bedrohungsinformationen gegen die Live-Produktivsysteme kritischer oder wichtiger Funktionen simuliert (Art. 26 Abs. 2 DORA). Einzelheiten regelt die Delegierte Verordnung (EU) 2025/1190.

Praxisbezug

TLPT ist nicht für alle Finanzunternehmen verpflichtend. Wer TLPT durchführen muss, bestimmt die Behörde. Für bestimmte Finanzunternehmen (u. a. G-SRI/A-SRI, große Zahlungs-, E-Geld- und Versicherungsunternehmen) legt Art. 2 Abs. 2 Del. VO (EU) 2025/1190 Schwellen fest, ab denen die Behörde TLPT grundsätzlich verlangt. Bestimmte Unternehmen führen TLPT mindestens alle drei Jahre durch; Kleinstunternehmen und Unternehmen im vereinfachten Rahmen nach Art. 16 sind ausgenommen (Art. 26 Abs. 1). Ein Test durchläuft gestaffelte Phasen – Einleitung, Scoping, Red-Team-Phase, Berichte, Purple-Teaming, Abhilfeplan und Bescheinigung – und verlangt organisatorische Vorkehrungen wie ein Kontrollteam, Geheimhaltung, eine Prüfung der Testanbieter und eine Risikobewertung. Unabhängig davon brauchen Finanzunternehmen außer Kleinstunternehmen ein Testprogramm (Art. 24); Kleinstunternehmen testen risikobasiert (Art. 25 Abs. 3).

Verwandte Begriffe

• DORA
• ISMS
• Informationssicherheitsvorfall