DORA · DDOS-RESILIENZTEST
DORA verpflichtet Finanzunternehmen (außer Kleinstunternehmen), alle IKT-Systeme, die kritische oder wichtige Funktionen unterstützen, mindestens jährlich zu testen. Ein dokumentierter DDoS-Resilienztest erfüllt gleich mehrere der geforderten Testarten.
DORA · REGULATION (EU) 2022/2554
ART. 24–25
DORA-ANWENDUNGSBEREICH
Entscheidend ist, ob Ihr Unternehmen zu einer der in Art. 2 DORA genannten Kategorien gehört. Anders als bei NIS-2 gibt es keine allgemeinen Größenschwellen – der Umfang der Pflichten richtet sich jedoch nach dem Proportionalitätsprinzip.
Unsicher, ob Sie betroffen sind? Fragen Sie unsere Berater21 Kategorien
Keine Größenschwelle
Gilt seit 17. Januar 2025
RECHTSGRUNDLAGE
DORA schreibt nirgends „DDoS-Test“ vor — aber ein DDoS-Resilienztest bildet verbindliche Pflichten direkt ab.
Finanzunternehmen, die keine Kleinstunternehmen sind, müssen alle IKT-Systeme, die kritische oder wichtige Funktionen unterstützen, mindestens jährlich testen. Art. 25 Abs. 1 DORA nennt ausdrücklich Leistungstests, End-to-End-Tests, szenariobasierte Tests und Netzwerksicherheitsbewertungen — ein DDoS-Last- und Resilienztest ist ein Leistungs- plus Szenariotest.
Kapazitäts- und Leistungsmanagement, Netzsicherheitsmanagement und IKT-Business-Continuity zielen auf Verfügbarkeitsschutz — die Begründung, warum DDoS in den Testumfang gehört.
ART. 24–25
BASIS-TESTPROGRAMM
Beides wird häufig verwechselt. Die richtige Einordnung spart Budget und vermeidet Prüfungsfeststellungen.
DDoS-Resilienztest
TLPT (Art. 26)
Volumetrische, Protokoll- und Anwendungsszenarien, abgestimmt auf Ihre Exposition.
Gemessene Belastungsgrenzen und Degradationsverhalten Ihrer kritischen Systeme.
Ein strukturierter Bericht, der jedes Ergebnis den Anforderungen aus Art. 24–25 DORA und der DelVO (EU) 2024/1774 zuordnet.
Priorisierte Maßnahmen zur Erhöhung Ihres Verfügbarkeitsschutzes.
Wir identifizieren die IKT-Systeme Ihrer kritischen oder wichtigen Funktionen.
Angriffsszenarien und Lastprofile passend zu Ihrem Risikoprofil.
Kontrollierte DDoS-Simulation mit Monitoring, Abbruchkriterien und Abstimmung mit Ihren Providern.
Dokumentierte Ergebnisse und Roadmap, auf DORA abgebildet.
Wenn Ihr Unternehmen zu einer der in Art. 2 DORA genannten Kategorien gehört, ja. Es gibt keine allgemeinen Größenschwellen – der Umfang der Pflichten richtet sich jedoch nach dem Proportionalitätsprinzip.
Nicht namentlich. Aber jährliche, risikobasierte Tests aller IKT-Systeme, die kritische oder wichtige Funktionen unterstützen, sind Pflicht — und ein DDoS-Resilienztest deckt Leistungs- und Szenariotests besonders sauber ab.
Nein. TLPT (Art. 26) sind bedrohungsorientierte Penetrationstests für benannte Unternehmen alle drei Jahre. Ein DDoS-Resilienztest gehört zum Basis-Testprogramm nach Art. 24–25 und gilt für alle Finanzunternehmen außer Kleinstunternehmen.
Mindestens jährlich für Systeme kritischer oder wichtiger Funktionen, risikoadäquat angepasst.
Fordern Sie Ihr Angebot für einen Cypurge DDoS-Resilienztest an oder starten Sie mit einer DORA-Gap-Analyse.
DORA · Art. 24–25 · DelVO (EU) 2024/1774
Vielen Dank. Ein Cypurge-Experte wird Sie in Kürze kontaktieren.
