Belastbare Testnachweise für Ihr DORA-Testprogramm – von einem unabhängigen Senior Engineer

Das Problem

• Art. 24 verlangt ein risikobasiertes Testprogramm, Tests durch unabhängige interne oder externe Parteien, die nachweisbare Behebung von Befunden und mindestens jährliche Tests der IKT-Systeme, die kritische oder wichtige Funktionen unterstützen.
• Viele kleine Fintech-Teams haben CI-Tests – aber keine Lasttests auf den Zahlungspfaden, keine dokumentierten Störungsszenarien und keine Retest-Historie.
• Eine grüne Pipeline ist kein Nachweis. Ihre Compliance braucht Scope, Methode, Schwellenwerte, Befunde und Retests.

Umfang und Ergebnisse

• Schriftlicher Scope innerhalb von 2 Werktagen nach unserem Gespräch, zugeordnet zu den gewünschten Testarten aus Art. 25.
• Testplan mit vorab vereinbarten Schwellen (Latenz-Perzentile, Fehlerraten, fachliche Prüfungen wie „keine doppelten Buchungen“).
• Bericht: jeder Befund mit Reproduktionsschritten, Trace, Schweregrad und Lösungsvorschlag; kritische Befunde melde ich noch am selben Tag.
• Retest behobener Befunde, dokumentiert mit Datum und Ergebnis.
• k6-, Playwright- und API-Testcode in Ihrem Repository – bereit für den nächsten Jahreszyklus.
• Auftragsverarbeitungsvertrag (AVV); Testdaten werden nach Projektende gelöscht.

FAQ

Kann Assertwise die „unabhängige Partei“ nach Art. 24 Abs. 4 sein? Ich stehe außerhalb Ihres Entwicklungsteams und bin an der Entwicklung des Systems nicht beteiligt; damit kann ich eine der dort genannten „unabhängigen, internen oder externen Parteien“ sein. Ob diese Unabhängigkeit zu Ihrem Programm passt, entscheidet Ihre Compliance.

Führen Sie TLPT durch? Nein. Ich unterstütze die TLPT-Readiness auf der Engineering-Seite; den TLPT selbst führen spezialisierte Anbieter nach Art. 26 durch.

Testen Sie auch in Produktion unter Last? Nur auf Ihren ausdrücklichen Wunsch und mit schriftlich vereinbarten Grenzen. Standardmäßig teste ich in Staging oder einer produktionsnahen Umgebung.

Wir sind ein Kleinstunternehmen. Gilt Art. 24 für uns? Art. 24 spricht von Finanzunternehmen, „die keine Kleinstunternehmen sind“, Art. 25 Abs. 3 enthält eine eigene Regelung für Kleinstunternehmen. Wie das für Sie gilt, klärt Ihre Compliance.

Was brauchen Sie von uns? Zugang zu einer Testumgebung, die API-Dokumentation und eine Ansprechperson, die das System kennt. Für Lastmodelle zusätzlich anonymisierte Traffic-Kennzahlen.