---
adresse: "https://qvestcon.com/dora-experte-markus-junge/markus-junge-bafin-verlangt-umsetzungsplan_1855074b/"
titel: "Markus Junge: bafin verlangt ums – Resilienztests"
beschreibung: "Jedes Finanzunternehmen braucht ein risikobasiertes, proportionales Testprogramm. Es gehört zum…"
sprache: "de-DE"
stand: "2026-10-04"
---

FAQ · DORA in der Praxis

# Welche Tests der digitalen operationalen Resilienz verlangt DORA und wer muss bedro­hungs­ori­en­tierte Pene­tra­ti­ons­tests (TLPT) durchführen?

Freigegebene Antwort von Qvestcon mit Fundstellen.

## Antwort

Jedes Finanz­un­ter­neh­men braucht ein risi­ko­ba­sier­tes, pro­por­tio­na­les Testprogramm. Es gehört zum IKT-Risi­ko­ma­nage­ment­rah­men jedes Finanz­un­ter­neh­mens und für Kleinst­un­ter­neh­men gibt es Erleich­te­run­gen beim Umfang. DORA regelt das in Kapitel IV, Artikel 24 und 25. Die BaFin nennt als Bestandteile zum Beispiel die Analyse von Open-Source-Software sowie Prüfungen der Netz­si­cher­heit und der physischen Sicherheit; hinzu kommen sze­na­rio­ba­sierte Tests, Kom­pa­ti­bi­li­täts­tests und Pene­tra­ti­ons­tests.

Über das Testprogramm hinaus müssen bestimmte Finanz­un­ter­neh­men bedro­hungs­ge­lei­tete Pene­tra­ti­ons­tests (TLPT) durchführen, und welche das sind, legt DORA anhand von Kriterien in Artikel 26 Absatz 8 Unterabsatz 3 fest. Die BaFin ermittelt regelmäßig, ob die von ihr beauf­sich­tig­ten Unternehmen diese Kriterien erfüllen. Trifft es ein Haus, erhält es einen Ver­pflich­tungs­be­scheid, der auch die Frequenz nennt, zum Beispiel einen Drei-Jahres-Rhythmus.

Nach der BaFin begleitet die Deutsche Bundesbank die Tests operativ. Die Testpflicht lässt sich nicht vollständig auf einen IKT-Dritt­dienst­leis­ter übertragen.

## Belege

- [Testen der digitalen operationalen Resilienz und TLPT, BaFin](https://www.bafin.de/DE/unternehmen-maerkte/aufsicht/alle-unternehmen/dora/digitale_resilienz/digitale_resilienz_TLPT_node.html)
- [Testen der digitalen operationalen Resilienz und TLPT, Kapitel IV, BaFin](https://www.bafin.de/DE/unternehmen-maerkte/aufsicht/alle-unternehmen/dora/digitale_resilienz/digitale_resilienz_TLPT_node.html)
- [Testen der digitalen operationalen Resilienz und TLPT, Testprogramm, BaFin](https://www.bafin.de/DE/unternehmen-maerkte/aufsicht/alle-unternehmen/dora/digitale_resilienz/digitale_resilienz_TLPT_node.html)
- [DORA: Der Countdown läuft, Testprogramm, BaFin](https://www.bafin.de/SharedDocs/Veroeffentlichungen/DE/Fachartikel/2024/fa_bj_2402_DORA.html)
- [Testen der digitalen operationalen Resilienz und TLPT, Kriterien, BaFin](https://www.bafin.de/DE/unternehmen-maerkte/aufsicht/alle-unternehmen/dora/digitale_resilienz/digitale_resilienz_TLPT_node.html)
- [Testen der digitalen operationalen Resilienz und TLPT, Verpflichtung, BaFin](https://www.bafin.de/DE/unternehmen-maerkte/aufsicht/alle-unternehmen/dora/digitale_resilienz/digitale_resilienz_TLPT_node.html)
- [Testen der digitalen operationalen Resilienz und TLPT, Ver­pflich­tungs­be­scheid, BaFin](https://www.bafin.de/DE/unternehmen-maerkte/aufsicht/alle-unternehmen/dora/digitale_resilienz/digitale_resilienz_TLPT_node.html)
- [Testen der digitalen operationalen Resilienz und TLPT, Bundesbank, BaFin](https://www.bafin.de/DE/unternehmen-maerkte/aufsicht/alle-unternehmen/dora/digitale_resilienz/digitale_resilienz_TLPT_node.html)
- [FAQs zu DORA, TLPT und IKT-Dritt­dienst­leis­ter, BaFin](https://www.bafin.de/DE/unternehmen-maerkte/aufsicht/alle-unternehmen/dora/Management_IKT_Drittparteienrisikos/FAQ/FAQ_node.html)
- [Testen der digitalen operationalen Resilienz und TLPT, Frequenz, BaFin](https://www.bafin.de/DE/unternehmen-maerkte/aufsicht/alle-unternehmen/dora/digitale_resilienz/digitale_resilienz_TLPT_node.html)

- [#DORA](https://qvestcon.com/stichwoerter/d/#dora)
- [#TLPT](https://qvestcon.com/stichwoerter/r-u/#tlpt)
- [#BaFin](https://qvestcon.com/stichwoerter/b-c/#bafin)
- [#Resi­li­en­ztests](https://qvestcon.com/stichwoerter/r-u/#resilienztests)

## Weiterlesen

[Alle Fragen zu DORA in der Praxis](https://qvestcon.com/faq/dora-praxis/) [Alle Rubriken der FAQ](https://qvestcon.com/faq/)