Penetrationstests – die kontrollierte Simulation von Cyberangriffen zur Identifizierung ausnutzbarer Schwachstellen – haben sich von einer optionalen Best Practice zu einer regulatorischen Erwartung für Unternehmen in Malta entwickelt. Unter NIS2, DSGVO, ISO 27001 und sektorspezifischen Anforderungen der Malta Gaming Authority (MGA) und der Malta Financial Services Authority (MFSA) müssen Organisationen nachweisen, dass sie die Wirksamkeit ihrer technischen Sicherheitskontrollen aktiv bewerten.
Der regulatorische Treiber: Warum maltesische Unternehmen testen müssen
NIS2-Richtlinie
NIS2 Artikel 21(2)(e) verlangt von Organisationen die Implementierung von Prozessen zur Behandlung und Offenlegung von Schwachstellen, und Artikel 21(2)(a) verlangt Richtlinien zur Bewertung der Wirksamkeit von Cybersicherheits-Risikomanagementmaßnahmen. MITA wird als Teil jeder Compliance-Bewertung Nachweise technischer Sicherheitstests erwarten.
DSGVO Artikel 32
Die DSGVO verlangt von Organisationen einen Prozess zur regelmäßigen Prüfung, Bewertung und Evaluierung der Wirksamkeit technischer und organisatorischer Maßnahmen. Penetrationstests erfüllen direkt diese Anforderung. Der IDPC kann im Rahmen einer Untersuchung nach einer Datenpanne Nachweise von Sicherheitstests anfordern.
ISO-27001:2022-Anhang-A-Kontrolle 8.8
ISO-27001-Anhang-A-Kontrolle 8.8 (Management technischer Schwachstellen) verlangt von Organisationen, Schwachstellen in Informationssystemen zu identifizieren, zu bewerten und zu beheben.
Malta Gaming Authority (MGA)-Anforderungen
Der technische Compliance-Rahmen der MGA für lizenzierte Glücksspieloperatoren umfasst Anforderungen für regelmäßige Sicherheitsbewertungen von Spielplattformen, Spielerdatenschutz und die Integrität von Zufallszahlengeneratoren. MGA-lizenzierte Betreiber werden erwartet, Penetrationstests als Teil ihrer laufenden technischen Compliance durchzuführen.
MFSA-regulierte Firmen und DORA
Von der MFSA regulierte Einrichtungen in Malta unterliegen DORA ab Januar 2025. DORA führt explizite Anforderungen für Threat-Led Penetration Testing (TLPT) für bedeutende Finanzunternehmen ein.
Was in maltesischen Organisationen getestet werden sollte
- Externer Netzwerk-Penetrationstest: Basistest jährlich für jede Organisation
- Webanwendungs-Penetrationstest: Unabdingbar für iGaming-Betreiber, Fintech-Plattformen und jede Organisation mit kundenorientierter Webpräsenz
- Spielplattform-Sicherheitsbewertung: Für MGA-lizenzierte Betreiber, gezieltes Testen von Spielerbeglaubigung, Sitzungsmanagement und Zahlungsflüssen
- Interner Netzwerk-Penetrationstest: Empfohlen alle ein bis zwei Jahre
- Social Engineering / Phishing-Simulation: Besonders relevant angesichts der Credential-Theft-Bedrohung
- Cloud-Sicherheitsreview: Kritisch für Maltas iGaming- und Fintech-Sektoren, die stark auf Cloud-Infrastruktur angewiesen sind
- TLPT (DORA): Für bedeutende Finanzunternehmen unter DORA
Auswahl eines Penetrationstest-Anbieters in Malta
- Zertifizierungen: OSCP, CREST oder CHECK für einzelne Tester; OWASP oder GWAPT für Webanwendungstests
- Sektorerfahrung: Für iGaming-Plattformtests spezifische Erfahrung in Spielplattformsicherheit und Zahlungsgateway-Tests
- Methodik: OWASP WSTG für Webanwendungen, PTES oder OSSTMM für Netzwerktests
- Berichtsqualität: Klare Befundbeschreibungen, CVSS-Schweregrade, Reproduktionsschritte und umsetzbare Behebungsleitlinien
- Unabhängigkeit: Test muss von einer unabhängigen Partei durchgeführt werden
- Vertraglicher Schutz: NDA und schriftliche Rules of Engagement vor Testbeginn
Erkenntnisse effektiv managen
- Nach Schweregrad priorisieren: Kritische innerhalb von 7 Tagen, hohe innerhalb von 30 Tagen, mittlere innerhalb von 90 Tagen
- Eigentümerschaft zuweisen: Benannten Eigentümer für jede Erkenntnis bestimmen
- Fortschritt verfolgen: Dediziertes Erkenntnismanagement-Tool verwenden
- Kritische und hohe Erkenntnisse nachtesten: Bestätigung durch den Testanbieter einholen
- Risikoakzeptanz dokumentieren: Geschäftsbegründung, Restrisiko und kompensierende Kontrollen dokumentieren
- An Management berichten: Zusammenfassung dem Senior Management und ggf. der MGA oder MFSA vorlegen
Aufbau eines wiederkehrenden Programms
- Jährlicher externer Perimeter- und Webanwendungstest als Mindestbasis
- Spielplattform-Sicherheitsbewertungen im Einklang mit MGA-Auditzyklen und Lizenzerneuerung
- Social-Engineering-Übungen mindestens jährlich
- TLPT in der von DORA vorgeschriebenen Häufigkeit für betroffene Finanzunternehmen
Fazit
Penetrationstests sind für maltesische Unternehmen in regulierten Sektoren nicht mehr optional. NIS2, DSGVO, ISO 27001, MGA-technische Anforderungen und DORA schaffen jeweils klare Erwartungen an regelmäßige, unabhängige Sicherheitstests. Organisationen, die in ein strukturiertes, wiederkehrendes Programm investieren, reduzieren ihre Exposition erheblich.