18. März 2026 15:02

SPK-Penetrationstest-Pflicht für Portfoliomanagementgesellschaften

Das Kapitalmarktaufsichtsamt (SPK) hat im Rahmen des Kommuniqués Nr. VII-128.10 über Verfahren und Grundsätze für das Informationssystemmanagement wichtige Cybersicherheitsverpflichtungen für Portfoliomanagementgesellschaften eingeführt. Dieses Kommuniqué wurde am 13.03.2025 im Amtsblatt Nr. 32840 veröffentlicht und tritt am 30.06.2025 in Kraft. Es verpflichtet Institutionen, ihre Informationssystemsicherheit regelmäßig testen zu lassen.

Der Verband der türkischen Kapitalmärkte (TSPB) hat die Mitgliedsinstitutionen durch ein Rundschreiben zusätzlich über diese Verpflichtung informiert.

Welche Unternehmen fallen unter diese Verpflichtung?

Alle Portfoliomanagementgesellschaften, die den Absätzen (a), (b) und (c) des ersten Absatzes von Artikel 28 des Kommuniqués Nr. III-55.1 über Portfoliomanagementgesellschaften der SPK unterliegen; jede Institution mit einer Tätigkeitsgenehmigung muss diese Verpflichtung erfüllen.

Institutionen, die unter diesen Geltungsbereich fallen können, sind:

• Portfoliomanagementgesellschaften
• Fondsmanagementgesellschaften
• Dienstleister für Krypto-Assets (unterliegen gesonderten Regelungen)

Nach welchem Kommuniqué wird der Penetrationstest durchgeführt?

Im Rahmen der Übergangsphase gilt gemäß Artikel 1 (vorläufig) des neuen Kommuniqués Nr. VII-128.10, dass bis zum 31.12.2025 die Bestimmungen des alten Kommuniqués, des Kommuniqués Nr. VII-128.9 über das Informationssystemmanagement (aufgehobenes Kommuniqué), weiterhin angewendet werden.

Daher müssen Portfoliomanagementgesellschaften ihre Penetrationstests für 2025 gemäß den Verfahren und Grundsätzen des aufgehobenen Kommuniqués durchführen lassen.

Wichtige Termine für das Jahr 2025

• 13.03.2025: Das neue Kommuniqué Nr. VII-128.10 wurde im Amtsblatt veröffentlicht
• 30.06.2025: Das Kommuniqué tritt in Kraft
• 31.12.2025: Ende der Übergangsphase – bis zu diesem Datum müssen Penetrationstests nach den alten Bestimmungen durchgeführt werden
• Nach 2025: Einhaltung der Nr. VII-128.10 und der neuen Verfahren/Grundsätze verpflichtend

Wie sollte ein Penetrationstest durchgeführt werden? Was sollte er umfassen?

Penetrationstests im Rahmen der SPK sind nicht nur ein technisches Sicherheitsscreening, sondern eine systematische Sicherheitsbewertung, die die gesamte IT-Infrastruktur der Institution umfasst. Typischerweise sollten folgende Bereiche abgedeckt werden:

• Online-Banking / Kundenportale: Webanwendungs- und API-Sicherheitstests
• Interne Netzwerkinfrastruktur: Lokales Netzwerk, Active Directory und Serversicherheit
• Externe Angriffsfläche: Öffentlich zugängliche IPs und Dienste
• Mobile Anwendungen: iOS/Android-Investitionsanwendungen
• Social Engineering: Phishing-Simulationen

Ist ein TSE-zertifiziertes Unternehmen erforderlich?

Die SPK verlangt, dass Penetrationstests von kompetenten und unabhängigen Organisationen durchgeführt werden. In der Praxis ist die Beauftragung von nach TSE 13638-Standard akkreditierten Unternehmen der sicherste Ansatz für die Anerkennung bei Audits.

⚠️ Achtung: Portfoliomanagementgesellschaften, die bis zum Jahresende 2025 keinen Penetrationstest durchführen lassen, können bei SPK-Audits auf Nichtkonformität stoßen und administrativen Sanktionen ausgesetzt sein.

Wie sollte die Penetrationstest-Berichterstattung erfolgen?

Erforderliche Elemente für Penetrationstestberichte im SPK-Rahmen:

1. Management Summary: Kritische Befunde und allgemeine Risikobewertung
2. Technische Befunde: CVSS-Score, Beschreibung und Nachweis für jede Schwachstelle
3. Risikoklassifizierung: Kritisch / Hoch / Mittel / Niedrig
4. Korrekturmaßnahmenplan: Empfohlene Lösung und Priorität für jeden Befund
5. Retest-Bericht: Verifizierung behobener Schwachstellen

Unterschied zur BDDK: Penetrationstest im SPK-Rahmen

Obwohl Banken im BDDK-Rahmen und Portfoliomanagementgesellschaften im SPK-Rahmen ähnlichen Verpflichtungen unterliegen, bestehen einige Unterschiede:

SPK-konformer Penetrationstest mit Nordis Global

Als Nordis Global bieten wir spezialisierte Penetrationstestdienste für Portfoliomanagementgesellschaften im SPK-Rahmen an. Unser TSE-zertifiziertes und ISO 27001-zertifiziertes Team arbeitet nicht nur mit einem technischen Test, sondern mit einem umfassenden Berichtspaket, das bei Audits akzeptiert wird.

• ✅ TSE 13638-akkreditierter Penetrationstest
• ✅ SPK-konformes Berichtsformat
• ✅ Retest (Nachverifizierung) inklusive
• ✅ Management Summary für den Vorstand

Um Ihre Penetrationstest-Verpflichtung für 2025 rechtzeitig zu erfüllen, kontaktieren Sie uns jetzt.