DORA · DDOS-RESILIENZTEST
DORA verpflichtet jedes Finanzunternehmen, alle IKT-Systeme, die kritische oder wichtige Funktionen unterstützen, mindestens einmal jährlich zu testen. Ein dokumentierter DDoS-Resilienztest deckt mehrere Pflichten gleichzeitig ab.
DORA · VERORDNUNG (EU) 2022/2554
ART. 24–25
DORA-ANWENDUNGSBEREICH
Anders als NIS-2 orientiert sich DORA nicht an Umsatz, Bilanzsumme oder Mitarbeiterzahl. Entscheidend ist der Unternehmenstyp nach Art. 2 DORA mit 21 Kategorien von Finanzunternehmen. Wer die entsprechende Lizenz hält, fällt in den Anwendungsbereich — unabhängig von der Größe.
Unsicher, ob Sie betroffen sind? Fragen Sie unsere Experten21 Kategorien
Art. 2 DORA Anwendungsbereich
Gilt seit 17. Jan. 2025
RECHTSGRUNDLAGE
DORA schreibt nirgends „DDoS-Test“ vor — aber ein DDoS-Resilienztest bildet verbindliche Pflichten direkt ab.
Jedes Finanzunternehmen muss alle IKT-Systeme, die kritische oder wichtige Funktionen unterstützen, mindestens jährlich testen. Art. 25(1) nennt ausdrücklich Leistungstests, End-to-End-Tests, szenariobasierte Tests und Netzsicherheitsbewertungen — ein DDoS-Last- und Resilienztest ist ein Leistungs- plus Szenariotest.
Kapazitäts- und Leistungsmanagement, Netzsicherheitsmanagement und IKT-Business-Continuity zielen auf Verfügbarkeitsschutz — die Begründung, warum DDoS in den Testumfang gehört.
Gefordert ist jetzt ein dokumentiertes, risikobasiertes Testprogramm — nicht nur ein jährlicher Pentest. Die Aufsicht erwartet Nachweise, Methodik und Wiederholbarkeit.
ART. 24–25
BASIS-TESTPROGRAMM
Kunden verwechseln beides häufig. Die richtige Einordnung spart Budget und vermeidet Prüfungsfeststellungen.
DDoS-Resilienztest
TLPT (Art. 26)
Volumetrische, Protokoll- und Anwendungsszenarien, abgestimmt auf Ihre Exposition.
Gemessene Belastungsgrenzen und Degradationsverhalten Ihrer kritischen Systeme.
Ein strukturierter Bericht, der Ergebnisse auf Art. 24–25 und DelVO 2024/1774 abbildet.
Priorisierte Maßnahmen zur Erhöhung Ihres Verfügbarkeitsschutzes.
Wir identifizieren die IKT-Systeme Ihrer kritischen oder wichtigen Funktionen.
Angriffsszenarien und Lastprofile passend zu Ihrem Risikoprofil.
Kontrollierte DDoS-Simulation mit Monitoring und Abbruchkriterien.
Dokumentierte Ergebnisse und Roadmap, auf DORA abgebildet.
Wenn Sie eine Lizenz für eine der 21 Kategorien nach Art. 2 DORA halten, ja — unabhängig von Umsatz oder Mitarbeiterzahl.
Nicht namentlich. Aber jährliche, risikobasierte Tests aller kritischen IKT-Systeme sind Pflicht — und ein DDoS-Resilienztest deckt Leistungs- und Szenariotests besonders sauber ab.
Nein. TLPT (Art. 26) ist bedrohungsorientiertes Penetrationtesting für benannte Unternehmen alle drei Jahre. Ein DDoS-Resilienztest gehört zum Basis-Testprogramm nach Art. 24–25 und gilt für alle.
Mindestens jährlich für Systeme kritischer oder wichtiger Funktionen, risikoadäquat angepasst.
Fordern Sie Ihr Angebot für einen Cypurge DDoS-Resilienztest an oder starten Sie mit einer DORA-Gap-Analyse.
DORA · Art. 24–25 · DelVO (EU) 2024/1774
Vielen Dank. Ein Cypurge-Experte wird Sie in Kürze kontaktieren.
