Digitales Resilienz-Testing und TLPT für Finanzdienstleister
DORA verlangt von Finanzinstituten ein regelmässiges Programm zum Testen der digitalen operationellen Resilienz, von Schwachstellenanalysen bis zu szenariobasierten Tests. Für bedeutende Institute kommt bedrohungsgeleitetes Penetration Testing nach TIBER-EU hinzu. Wir bauen ein risikobasiertes Testprogramm, führen Schwachstellenscans und Pentests selbst durch und bereiten TLPT prüffähig vor. Ob DORA und TLPT für Sie direkt gelten, prüfen wir im Einzelfall.
Für Banken, Versicherer, Wertpapierhäuser, FinTechs, Vermögensverwalter und ihre kritischen IT-Dienstleister
Pentest & Schwachstellenscan
intern, OWASP · PTES
TLPT / TIBER-EU
Readiness & Koordination
DORA & FINMA
Geltung im Einzelfall
Prüffähige Nachweise
in der Priverion-Plattform
CH · EU
mehrsprachig DE/FR/EN
Verantwortlich für dieses Mandat
Philipp Staiger
M.Sc., MIT Sloan Fellow · Lead Auditor ISO 27001 (BSI)
Begleitet ISO-27001- und ISMS-Projekte im Gesundheitswesen vom Scope-Workshop bis zur Stage-2-Auditbegleitung, als Schnittstelle zu Geschäftsleitung, IT, Datenschutz und externer Zertifizierungsstelle.
Resilienz lässt sich nicht behaupten, sie muss getestet werden. DORA macht aus dem Testen der digitalen operationellen Resilienz eine wiederkehrende Pflicht, und die FINMA erwartet, dass Institute ihre Massnahmen wirksam überprüfen. Was konkret gilt, hängt von Ihrem Institut ab, das prüfen wir im Einzelfall.
DORA, der Digital Operational Resilience Act der EU, gilt seit dem 17. Januar 2025. Säule 3 verlangt ein risikobasiertes Programm zum Testen der digitalen operationellen Resilienz. Dazu gehören regelmässige Schwachstellenanalysen, Open-Source-Analysen, Netzwerksicherheitsprüfungen, szenariobasierte Tests und Tests der Geschäftskontinuität. Umfang und Frequenz richten sich nach Grösse, Risikoprofil und Kritikalität des Instituts.
Für Institute, die nach den Kriterien als bedeutend gelten, kommt das bedrohungsgeleitete Penetration Testing hinzu, im englischen Threat-Led Penetration Testing oder kurz TLPT. Es folgt dem europäischen Rahmenwerk TIBER-EU und simuliert einen realistischen Angriff auf die kritischen Funktionen des Instituts in der Produktivumgebung, in der Regel etwa alle drei Jahre. Ob TLPT auf Ihr Institut anwendbar ist, ist eine Einzelfallfrage, die wir vorab klären.
Für Schweizer Institute gilt DORA meist nur indirekt, über EU-Niederlassungen oder Tochtergesellschaften oder über Verträge mit EU-regulierten Finanzunternehmen. Direkte und indirekte Geltung müssen pro Institut geprüft werden. Unabhängig davon erwartet die FINMA im Rundschreiben 2023/01 zu operationellen Risiken und Resilienz, dass Banken ihre Kontrollen und ihre Reaktionsfähigkeit prüfen, das Rundschreiben ist in Kraft und gilt für FINMA-beaufsichtigte Institute.
Ein dokumentiertes, risikobasiertes Testprogramm mit Umfang, Frequenz und Methodik je nach Kritikalität
Regelmässige Schwachstellenanalysen und Netzwerksicherheitsprüfungen über die relevanten Systeme
Penetrationstests für Web, API, Netzwerk und Infrastruktur durch qualifizierte Tester
Szenariobasierte Tests und Tests der Geschäftskontinuität für die kritischen Funktionen
Bei bedeutenden Instituten TLPT nach TIBER-EU, in der Regel etwa alle drei Jahre, Anwendbarkeit im Einzelfall
Behebung der gefundenen Schwachstellen mit nachverfolgbaren Massnahmen und prüffähiger Dokumentation
So bauen wir Ihr Resilienz-Testprogramm
Wir machen aus DORA-Säule 3 ein wiederholbares Programm statt einer Einzelaktion. Schwachstellenscans und Penetrationstests führen wir mit unserem eigenen Technik-Team durch. Für vollständige Red-Team-TLPT bereiten wir vor, definieren den Scope und koordinieren, und ziehen, wo nötig, einen spezialisierten Red-Team-Partner hinzu.
Wir beginnen mit einem risikobasierten Testplan. Dazu ordnen wir Ihre kritischen oder wichtigen Funktionen und die sie tragenden Systeme den passenden Testarten zu und legen Umfang und Frequenz fest. So entsteht ein nachvollziehbarer Plan, der zeigt, was wann mit welcher Methodik getestet wird, abgestimmt auf Ihr Risikoprofil und die Erwartungen aus DORA und dem FINMA-Rundschreiben 2023/01.
Schwachstellenscans und Penetrationstests sind bestehende Leistungen von SIDD, die wir mit dem eigenen Technik-Team unter einem ISO-27001-Lead-Auditor erbringen. Wir testen Web-Anwendungen, APIs, Netzwerke und Infrastruktur nach anerkannten Methodiken wie OWASP und PTES. Sie erhalten Berichte mit priorisierten Findings, einer klaren Risikoeinordnung und konkreten Empfehlungen zur Behebung, formuliert so, dass interne Revision und Prüfer sie nachvollziehen können.
Für TLPT nach TIBER-EU übernehmen wir die Vorbereitung und Steuerung. Wir prüfen zunächst, ob TLPT für Ihr Institut überhaupt einschlägig ist, definieren mit Ihnen den Scope der kritischen Funktionen, erstellen die Threat-Intelligence-Grundlage und die Testkonzeption und richten die Governance mit dem White Team ein. Die eigentliche Red-Team-Übung gegen die Produktivumgebung führt ein spezialisierter Red-Team-Partner durch, den wir einbinden und steuern. SIDD betreibt kein eigenes Red Team und behauptet das auch nicht, gerade dieser klare Schnitt hält unsere Rolle als unabhängiger Koordinator sauber.
Ein Test ist erst wertvoll, wenn die Findings behoben sind. Wir verfolgen die Behebung der Schwachstellen mit, vereinbaren Fristen und führen, wo sinnvoll, einen Nachtest durch. Das Testprogramm, die Berichte, die Massnahmen und der Behebungsstand werden in der Priverion-Plattform geführt. So liegt der Nachweis über Tests und Resilienz gepflegt und exportierbar bereit, wenn die interne Revision, ein Prüfer oder die Aufsicht danach fragt.
Warum SIDD für Ihr Resilienz-Testing
Resilienz-Testing nach DORA verbindet aufsichtsrechtliche Erwartungen mit echter technischer Tiefe. Genau diese Kombination decken wir aus einer Hand ab, mit klarer Grenze zwischen dem, was wir selbst tun, und dem, was wir koordinieren.
Pentest und Schwachstellenscan intern
Schwachstellenscans und Penetrationstests für Web, API, Netzwerk und Infrastruktur führt unser eigenes Technik-Team unter einem ISO-27001-Lead-Auditor durch, nach OWASP und PTES. Sie erhalten prüffähige Berichte, die interne Revision und Aufsicht überzeugen.
TLPT klar abgegrenzt
Für vollständige TLPT nach TIBER-EU bereiten wir vor, definieren den Scope und koordinieren, und binden einen spezialisierten Red-Team-Partner ein. Wir betreiben kein eigenes Red Team und behaupten das nicht. Diese Ehrlichkeit schützt die Aussagekraft des Tests und Ihre Position gegenüber der Aufsicht.
Aufsichtsrecht und Technik aus einer Hand
Unsere promovierten Juristinnen und Juristen ordnen die Erwartungen aus DORA-Säule 3 und dem FINMA-Rundschreiben 2023/01 ein, das Technik-Team testet. So passt das Testprogramm rechtlich und technisch zusammen, ohne Reibung zwischen zwei Dienstleistern.
Prüffähige Nachweise im Tooling
Testplan, Berichte, Findings, Massnahmen und Behebungsstand pflegen wir in der Priverion-Plattform. Fragt die interne Revision, ein Prüfer oder die FINMA nach dem Resilienz-Testing, liegt der Nachweis gepflegt und exportierbar bereit.
Mehrsprachig und unabhängig
Wir testen und berichten in Deutsch, Französisch und Englisch, passend für Institute in der Schweiz und der EU. Da wir kein eigenes SOC verkaufen, bleiben unsere Empfehlungen zu Befunden und Massnahmen unabhängig und auf Ihre Resilienz ausgerichtet.
Geltung vorab geklärt
Wir klären zuerst, ob und wie DORA und TLPT für Ihr Institut gelten, direkt oder indirekt über EU-Bezug, bevor wir testen. So investieren Sie in das, was tatsächlich verlangt ist, und nicht in einen Aufwand, den Ihr Risikoprofil gar nicht erfordert.
Zwei Wege zu geprüfter digitaler Resilienz
Resilienz-Test-Programm
Festpreis
Das risikobasierte Testprogramm nach DORA-Säule 3, inklusive Schwachstellenscans und Penetrationstests durch unser eigenes Technik-Team.
Risikobasierter Testplan mit Umfang, Frequenz und Methodik je nach Kritikalität
Schwachstellenscans und Netzwerksicherheitsprüfungen über die relevanten Systeme
Penetrationstests für Web, API, Netzwerk und Infrastruktur nach OWASP und PTES
Prüffähige Berichte mit priorisierten Findings und Empfehlungen zur Behebung
Testplan, Berichte, Findings und Behebungsstand gepflegt in der Priverion-Plattform
Die Vorbereitung und Steuerung einer TLPT nach TIBER-EU. Wir prüfen die Anwendbarkeit, setzen den Scope und koordinieren, das Red Team stellt ein spezialisierter Partner.
Prüfung der Anwendbarkeit von TLPT auf Ihr Institut, Anwendbarkeit im Einzelfall geklärt
Scope-Definition der kritischen Funktionen und Threat-Intelligence-Grundlage
Governance mit dem White Team und Abstimmung mit der Aufsicht nach TIBER-EU
Auswahl, Einbindung und Steuerung eines spezialisierten Red-Team-Partners
Abschlussbericht, Lessons Learned und nachverfolgbarer Massnahmenplan in der Priverion-Plattform
LexCMD
Unser Werkzeug: LexCommand
Warum wir mit LexCommand arbeiten, unserer eigenen Schweizer Rechts-KI
LexCommand ist unsere hauseigene, zitatgestützte Rechts-KI für das Recht der Schweiz, Deutschlands, Österreichs und der EU. Entwickelt und souverän in der Schweiz betrieben von der Priverion GmbH, dem Unternehmen hinter SIDD. Datensouveränität und Belegbarkeit predigen wir nicht nur, wir haben sie in unser Werkzeug eingebaut, ergänzend zur Priverion-Plattform.
01
Souverän in der Schweiz
Die KI läuft selbst gehostet auf Schweizer Infrastruktur, ohne externe Cloud-LLMs. Als unabhängiges Schweizer Unternehmen ohne ausländische Muttergesellschaft verarbeiten wir Ihre Unterlagen in einer Umgebung, die wir kontrollieren.
02
Kein Zitat, kein Anspruch
Jede rechtliche Aussage ist auf eine abrufbare Primärquelle rückführbar, oder sie erscheint nicht. So werden unsere Empfehlungen auditierbar und nachvollziehbar, statt nur plausibel zu klingen.
03
Vom Aufwand zum Urteil
LexCommand übernimmt das Suchen, Abgleichen und Belegen. Das verkürzt Durchlaufzeiten und gibt unseren Senior-Beratenden Zeit für Urteil und Mandantengespräch, bei gleichbleibender Sorgfalt.
04
Drei Disziplinen, ein Bild
Datenschutz, Informationssicherheit und KI-Sicherheit betrachten wir auf einer geteilten Quellenbasis mit Framework-Crosswalk. So sehen Sie überschneidende Pflichten in einem konsolidierten Bild statt in drei isolierten Analysen.
Konkret für Ihr Resilienz-Test-Programm: LexCommand belegt zu jedem Testbefund die konkret berührte Pflicht aus DORA und FINMA mit Quellenangabe und ordnet die Anforderungen an Schwachstellentests und Threat-Led Penetration Testing (TIBER-EU) ein, damit Ihr Testnachweis aufsichtsfest bleibt.
Zeitlich deterministisch (Stand heute oder zu jedem Stichtag), mit Jurisdiktions-Isolation (CH/DE/AT/EU) und einem Zitat-Verifizierer am Ende jeder Antwort.
Häufige Fragen
Gilt DORA-Säule 3 für unser Schweizer Institut?
DORA gilt in der EU seit dem 17. Januar 2025. Für Schweizer Institute gilt es meist nur indirekt, etwa über EU-Niederlassungen oder Tochtergesellschaften oder über Verträge mit EU-regulierten Finanzunternehmen. Ob die Geltung direkt oder indirekt ist, muss pro Institut geprüft werden. Unabhängig davon erwartet die FINMA im Rundschreiben 2023/01, das in Kraft ist, dass beaufsichtigte Banken ihre Kontrollen und ihre Reaktionsfähigkeit prüfen. Wir klären Ihre Lage vorab im Einzelfall.
Brauchen wir wirklich ein TLPT?
Nicht jedes Institut. TLPT nach TIBER-EU ist für Institute vorgesehen, die nach den Kriterien als bedeutend gelten, in der Regel etwa alle drei Jahre. Ob Ihr Institut darunter fällt, ist eine Einzelfallfrage, die wir vorab klären. Wenn TLPT nicht einschlägig ist, decken Schwachstellenscans, szenariobasierte Tests und Penetrationstests das geforderte Testprogramm ab. So investieren Sie nur in das, was Ihr Risikoprofil tatsächlich verlangt.
Betreibt SIDD ein eigenes Red Team?
Nein. Schwachstellenscans und Penetrationstests führen wir mit unserem eigenen Technik-Team durch, das ist ein bestehender Teil unserer Leistungen. Für eine vollständige Red-Team-TLPT nach TIBER-EU bereiten wir vor, definieren den Scope und koordinieren, und binden einen spezialisierten Red-Team-Partner ein. Wir behaupten kein eigenes Red Team, gerade diese klare Grenze hält die Aussagekraft des Tests und unsere unabhängige Koordinatorrolle sauber.
Wie oft müssen wir testen?
Das hängt von Ihrem Risikoprofil und der Kritikalität der Systeme ab. DORA verlangt ein regelmässiges, risikobasiertes Programm, viele Institute kombinieren laufende Schwachstellenscans mit jährlichen Penetrationstests der wichtigsten Anwendungen. TLPT findet, wo anwendbar, in der Regel etwa alle drei Jahre statt. Wir legen Umfang und Frequenz im Testplan fest, abgestimmt auf Ihr Risikoprofil und die Erwartungen der Aufsicht. Die konkreten Vorgaben prüfen wir im Einzelfall.
Was passiert mit den gefundenen Schwachstellen?
Ein Test ist erst wertvoll, wenn die Findings behoben sind. Sie erhalten einen Bericht mit priorisierten Schwachstellen, einer Risikoeinordnung und konkreten Empfehlungen. Wir verfolgen die Behebung mit, vereinbaren Fristen und führen, wo sinnvoll, einen Nachtest durch. Befunde, Massnahmen und Behebungsstand pflegen wir in der Priverion-Plattform, damit der Fortschritt jederzeit prüffähig ist. Die operative Behebung setzen Ihre IT oder Ihre Dienstleister um, wir begleiten und prüfen.
Können Sie auf Französisch und Englisch testen und berichten?
Ja. Wir testen und berichten durchgängig in Deutsch, Französisch und Englisch, relevant für Institute in der Deutschschweiz, der Romandie und der EU. Die Berichte formulieren wir so, dass interne Revision, Geschäftsleitung und Prüfer sie in ihrer Sprache nachvollziehen können.
Passende nächste Schritte
Resilienz-Testing greift direkt in Pentests und das ICT-Risikomanagement nach DORA-Säule 1:
Bereit, Ihre digitale Resilienz prüffähig zu testen?
Wir bauen Ihr risikobasiertes Testprogramm nach DORA-Säule 3, führen Schwachstellenscans und Penetrationstests selbst durch und bereiten TLPT nach TIBER-EU vor und koordinieren es. Geltung im Einzelfall geprüft.
