Mit DORA ist Testen im Finanzsektor endgültig von der guten Praxis zur Rechtspflicht geworden. Die entscheidende Frage lautet nicht mehr „testen wir genug?“, sondern „können wir es nachweisen?“.
Was sich beim Testen konkret ändert
DORA verlangt ein programmatisches Testen der digitalen Betriebsstabilität: regelmäßig, risikobasiert, über alle kritischen IKT-Systeme hinweg — von Schwachstellenanalysen bis zu szenariobasierten Tests. Für bestimmte Institute kommen bedrohungsorientierte Penetrationstests (TLPT) hinzu. Das bedeutet: Testaktivitäten müssen geplant, priorisiert, dokumentiert und gegenüber der Aufsicht belegbar sein — Ad-hoc-Testen vor Releases genügt nicht mehr.
Die Lücke in der Praxis
Viele Institute haben funktionierende Testteams, aber keine Test-Governance: Es fehlen ein konsolidiertes Testregister über alle kritischen Systeme, einheitliche Risikokriterien, definierte Wiederholungszyklen und eine Nachweisführung, die ein Prüfer ohne Übersetzung lesen kann. Genau diese Klammer fordert DORA — und genau sie fehlt am häufigsten.
Pragmatischer Einstieg in drei Schritten
- Inventur: Kritische Funktionen und Systeme identifizieren und mit den vorhandenen Testaktivitäten abgleichen — wo wird regelmäßig getestet, wo nur anlassbezogen?
- Risikobasiertes Testprogramm: Testarten, Frequenzen und Verantwortlichkeiten je Kritikalität festlegen; Drittdienstleister vertraglich einbinden.
- Nachweisführung industrialisieren: Ergebnisse, Mängel und deren Behebung so dokumentieren, dass Berichte an Vorstand und Aufsicht ohne Nacharbeit entstehen.
Fazit
DORA bestraft nicht zu wenig Testaufwand — DORA bestraft fehlende Steuerbarkeit. Wer sein Testen als Governance-Disziplin organisiert, erfüllt nicht nur die Verordnung, sondern gewinnt auch im Alltag: weniger Produktionsstörungen, klarere Prioritäten, belastbare Aussagen gegenüber dem Management.
Sie wollen Ihre Test-Governance DORA-fest machen? Unsere Branchenseite Banken & Versicherungen zeigt, wie wir unterstützen — oder sprechen Sie uns direkt an.