Wirksamkeit nachweisen.
Mit Belegen statt Richtlinien.

§ 30 Abs. 2 Nr. 6 BSIG verlangt Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen. Gemeint ist der Nachweis, dass Maßnahmen nicht nur beschlossen sind, sondern im Ernstfall greifen. Penetrationstests und Audits sind dafür ein anerkannter Weg. Die Übersicht unterstützt die Einordnung und ersetzt keine rechtliche Bewertung.

DORA verlangt ein Programm zum Testen der digitalen operationalen Resilienz mit regelmäßigen Tests, darunter Schwachstellenbewertungen und Penetrationstests (Art. 24 und 25). Ausgewählte Finanzunternehmen müssen zusätzlich bedrohungsorientierte Penetrationstests durchführen, sogenannte TLPT (Art. 26).

TISAX bewertet die Umsetzung der Anforderungen aus dem VDA-ISA-Katalog. Penetrationstests und Audits liefern Belege für technische Kontrollen, etwa zu Netzwerktrennung, Zugriffsschutz und Schwachstellenmanagement.

Mindestens jährlich und nach wesentlichen Änderungen, etwa neuen Standorten, Systemen oder Dienstleistern. Für kritische Systeme empfehlen wir kürzere Abstände und eine laufende Beobachtung von außen mit CQTI.

Ein Scan listet bekannte Schwachstellen. Ein Pentest prüft manuell, welche davon sich ausnutzen und zu einem Angriffspfad verbinden lassen. Erst das zeigt, ob eine Maßnahme wirkt.

Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen. Verletzt sie diese Pflichten, haftet sie gegenüber der Einrichtung. Die Übersicht unterstützt die Einordnung und ersetzt keine rechtliche Bewertung.