Griechenland – Die Bank von Griechenland und die griechische Kapitalmarktkommission haben das überarbeitete europäische Rahmenwerk TIBER-EU gemeinsam für den griechischen Finanzsektor übernommen. Mit der Veröffentlichung des nationalen Umsetzungsdokuments TIBER-GR schaffen die beiden Aufsichtsbehörden einen Rahmen für realitätsnahe Tests, bei denen Cyberangriffe auf kritische Systeme von Finanzunternehmen simuliert werden.
Die sogenannten Threat-Led Penetration Tests (TLPT) sollen die digitale Widerstandsfähigkeit des Finanzsektors stärken. Dabei geht es nicht um tatsächliche Angriffe, sondern um kontrollierte Sicherheitstests, die sich an Bedrohungsszenarien orientieren und unter realitätsnahen Bedingungen stattfinden.
Cyberangriffe auf kritische Systeme simulieren
Das europäische Rahmenwerk TIBER-EU steht für „Threat Intelligence-Based Ethical Red Teaming“. Es wurde vom Europäischen System der Zentralbanken (ESZB) entwickelt und beschreibt einen gemeinsamen Ansatz für bedrohungsorientierte Penetrationstests. Im Mittelpunkt stehen kritische produktive IT-Systeme und Geschäftsabläufe von Finanzunternehmen, deren Schutz für den laufenden Betrieb wichtig ist.
Mit TIBER-GR übernimmt Griechenland diese Methodik auf nationaler Ebene. Das Umsetzungsdokument ist so ausgestaltet, dass die nach ihm durchgeführten Tests den anwendbaren Anforderungen der europäischen Verordnung zur digitalen operationalen Resilienz im Finanzsektor, DORA, entsprechen sollen.
Gemeinsames Team der beiden Aufsichtsbehörden
Für die praktische Koordination richten die Bank von Griechenland und die griechische Kapitalmarktkommission die TLPT Cyber Team Greece (TCT-GR) ein. Die Gruppe besteht aus Mitarbeitern beider Behörden und soll die nach TIBER-GR vorgesehenen Tests koordinieren und unterstützen.
Die beiden Institutionen sind nach Artikel 46 der EU-Verordnung 2022/2554 (DORA) sowie den Bestimmungen des griechischen Gesetzes 5193/2025 die zuständigen Behörden für diese Art von Sicherheitstests im griechischen Finanzsektor.
Für welche Finanzunternehmen die Tests Pflicht sind
Nicht jedes Unternehmen des Finanzsektors ist allein durch die Einführung von TIBER-GR automatisch zu einem solchen Test verpflichtet. Eine regulatorische Pflicht zu TLPT besteht für Finanzunternehmen, die unter DORA fallen und zugleich die Auswahlkriterien der delegierten EU-Verordnung 2025/1190 erfüllen.
Mit dem gemeinsamen nationalen Rahmen und der neuen Koordinierungsgruppe wollen die Aufsichtsbehörden die Durchführung dieser Prüfungen unterstützen und die Widerstandsfähigkeit des griechischen Finanzsektors gegenüber Cyberbedrohungen verbessern.
Mit Informationen von: Bank von Griechenland, griechische Kapitalmarktkommission.
