Penetrationstests – die kontrollierte Simulation von Cyberangriffen zur Identifizierung ausnutzbarer Schwachstellen – haben sich von einer optionalen Best Practice zu einer regulatorischen Erwartung für Unternehmen in Zypern entwickelt. Unter NIS2, DSGVO und ISO 27001 müssen Organisationen nachweisen, dass sie die Wirksamkeit ihrer technischen Sicherheitskontrollen aktiv bewerten. Regelmäßige Penetrationstests sind der glaubwürdigste Weg, dies zu tun.
Der regulatorische Treiber: Warum zypriotische Unternehmen testen müssen
Mehrere sich überschneidende Regulierungsrahmen schaffen klare Erwartungen für Sicherheitstests in Zypern:
NIS2-Richtlinie
NIS2 Artikel 21(2)(e) verlangt von in den Geltungsbereich fallenden Organisationen die Implementierung von Prozessen zur Behandlung und Offenlegung von Schwachstellen, und Artikel 21(2)(a) verlangt Richtlinien und Verfahren zur Bewertung der Wirksamkeit von Cybersicherheits-Risikomanagementmaßnahmen. Während NIS2 keine Penetrationstests namentlich vorschreibt, werden Aufsichtsbehörden – einschließlich der Digitalen Sicherheitsbehörde in Zypern – erwarten, Nachweise technischer Sicherheitstests als Teil jeder Compliance-Bewertung zu sehen.
DSGVO Artikel 32
Die DSGVO verlangt von Organisationen, risikoadaptierte technische und organisatorische Maßnahmen zu implementieren und einen Prozess zur regelmäßigen Prüfung, Bewertung und Evaluierung der Wirksamkeit dieser Maßnahmen zu haben. Penetrationstests erfüllen direkt diese Anforderung für die technische Schicht eines DSGVO-Compliance-Programms. Der Beauftragte für den Schutz personenbezogener Daten in Zypern kann im Rahmen einer Untersuchung nach einer Datenpanne Nachweise von Sicherheitstests anfordern.
ISO 27001:2022 Anhang A Kontrolle 8.8
ISO-27001-Anhang-A-Kontrolle 8.8 (Management technischer Schwachstellen) verlangt von Organisationen, Schwachstellen in Informationssystemen zu identifizieren, zu bewerten und zu beheben. Eine Penetrationstest-Richtlinie, regelmäßige Testdurchführung und dokumentierte Behebung sind Kernbestandteile der Erfüllung dieser Kontrolle.
CySEC-regulierte Unternehmen
Investmentfirmen, Zahlungsinstitute und andere CySEC-regulierte Einrichtungen in Zypern unterliegen DORA (dem Digital Operational Resilience Act) ab Januar 2025. DORA führt explizite Anforderungen für Threat-Led Penetration Testing (TLPT) für bedeutende Finanzunternehmen ein – die anspruchsvollste Form des adversarialen Testens, basierend auf echten Bedrohungsinformationen, die auf die jeweilige Institution abzielen.
Was in zypriotischen Organisationen getestet werden sollte
Der Umfang der Penetrationstests sollte die Angriffsfläche und das Risikoprofil der Organisation widerspiegeln. Häufige Testarten und ihre Relevanz:
- Externer Netzwerk-Penetrationstest: Testet den Perimeter – internetexponierte Systeme, Firewalls, VPN-Endpunkte, Webanwendungen und APIs. Dies ist der Basistest, den jede Organisation jährlich durchführen sollte
- Webanwendungs-Penetrationstest: Konzentriert sich auf Webanwendungen und APIs nach der OWASP-Web-Security-Testing-Guide-Methodik. Unabdingbar für jede Organisation, die eine kundenorientierte Webplattform oder API betreibt
- Interner Netzwerk-Penetrationstest: Simuliert einen Angreifer mit Zugang zum internen Netzwerk (Insider-Bedrohung oder laterale Bewegung nach einem Einbruch). Empfohlen alle ein bis zwei Jahre für Organisationen mit bedeutender On-Premise-Infrastruktur
- Social Engineering / Phishing-Simulation: Testet die Anfälligkeit von Mitarbeitern für Phishing und Social Engineering. Besonders relevant, da Credential-Theft der führende initiale Zugriffsvektor für Vorfälle in Zypern ist
- Cloud-Sicherheitsreview: Bewertet die Konfiguration von Cloud-Umgebungen (AWS, Azure, GCP). Zunehmend wichtig, da zypriotische Unternehmen Cloud-First-Architekturen einführen
- TLPT (DORA): Gilt für bedeutende Finanzunternehmen unter DORA. Ein strukturierter, geheimdienstgeleiteter Test, der die TTPs realer Bedrohungsakteure simuliert, die auf die jeweilige Institution abzielen
Auswahl eines Penetrationstest-Anbieters in Zypern
Die Qualität eines Penetrationstests hängt stark von den Fähigkeiten und der Methodik des Testteams ab. Bei der Beauftragung eines Anbieters in Zypern oder international sollten Sie Folgendes bewerten:
- Zertifizierungen: OSCP (Offensive Security Certified Professional), CREST oder CHECK sind die am weitesten anerkannten Credentials für einzelne Tester. Für Webanwendungstests ist OWASP- oder GWAPT-Zertifizierung relevant
- Methodik: Der Anbieter sollte einer anerkannten Methodik folgen – OWASP WSTG für Webanwendungen, PTES oder OSSTMM für Netzwerktests
- Berichtsqualität: Ein hochwertiger Penetrationstest-Bericht liefert klare Befundbeschreibungen, CVSS-Schweregrade, Reproduktionsschritte und spezifische, umsetzbare Behebungsleitlinien – nicht nur automatisierten Scanner-Output
- Unabhängigkeit: Für ISO-27001- und NIS2-Compliance-Zwecke muss der Test von einer unabhängigen Partei durchgeführt werden – nicht von internem IT-Personal, das die eigene Infrastruktur testet
- Vertraglicher Schutz: Stellen Sie sicher, dass ein unterzeichnetes NDA und schriftliche Rules of Engagement (RoE) vor Testbeginn vorliegen
Erkenntnisse effektiv managen
Der Wert eines Penetrationstests wird durch effektive Behebung realisiert, nicht durch den Test selbst. Ein strukturierter Ansatz zum Erkenntnismanagement umfasst:
- Nach Schweregrad priorisieren: Kritische Erkenntnisse erfordern sofortige Aufmerksamkeit – typischerweise innerhalb von 7 Tagen. Hoher Schweregrad innerhalb von 30 Tagen, mittlerer innerhalb von 90 Tagen
- Eigentümerschaft zuweisen: Jede Erkenntnis sollte einen benannten Eigentümer haben, der für die Behebung oder Risikoakzeptanz verantwortlich ist
- Fortschritt verfolgen: Verwenden Sie ein dediziertes Erkenntnismanagement-Tool, um Status, Behebungsnachweise und Nachtestergebnisse zu verfolgen
- Kritische und hohe Erkenntnisse nachtesten: Beauftragen Sie den Testanbieter, um zu bestätigen, dass kritische und hochriskante Erkenntnisse tatsächlich behoben wurden
- Risikoakzeptanz dokumentieren: Wo sofortige Behebung nicht möglich ist, dokumentieren Sie die Geschäftsbegründung, das Restrisiko und kompensierende Kontrollen
- An das Management berichten: Präsentieren Sie eine Zusammenfassung der Testergebnisse, des Behebungsstatus und von Trenddaten dem Senior Management als Teil des ISMS-Performance-Reporting-Zyklus
Aufbau eines wiederkehrenden Programms
Ein einzelner Penetrationstest liefert eine Momentaufnahme. Eine nachhaltige Sicherheitsverbesserung erfordert ein wiederkehrendes Programm, das am Risikoprofil und den regulatorischen Pflichten der Organisation ausgerichtet ist:
- Jährlicher externer Perimeter- und Webanwendungstest als Mindestbasis
- Zusätzliche Tests ausgelöst durch große Infrastrukturänderungen, neue Produkteinführungen oder erhebliche Sicherheitsvorfälle
- Social-Engineering-Übungen mindestens jährlich, idealerweise vierteljährlich für Organisationen in Hochrisikosektoren
- TLPT in der von DORA vorgeschriebenen Häufigkeit für betroffene Finanzunternehmen
Fazit
Penetrationstests sind für zypriotische Unternehmen in regulierten Sektoren nicht mehr optional. NIS2, DSGVO, ISO 27001 und DORA schaffen jeweils klare Erwartungen an regelmäßige, unabhängige Sicherheitstests. Organisationen, die in ein strukturiertes, wiederkehrendes Penetrationstest-Programm mit diszipliniertem Erkenntnismanagement investieren, reduzieren ihre Exposition gegenüber Cybervorfällen und regulatorischen Durchsetzungsmaßnahmen erheblich.