Services

FINMA reguliertes Penetration Testing

Mit dem FINMA-Rundschreiben 2023/1 “Operationelle Risiken und Resilienz” (Rz 69) wird Penetration Testing für viele Institute verbindlich:

Offerte anfragen

"Die Geschäftsleitung lässt regelmässig Verwundbarkeitsanalysen und Penetrationstests durchführen. Diese müssen durch qualifiziertes Personal mit angemessenen Ressourcen ausgeführt werden."

Was bedeutet das für Ihr Unternehmen?
Die Durchführung von Penetration Tests ist nicht nur Pflicht, sondern erfordert einen klar strukturierten Prozess, von der Planung bis zum Reporting.

Dabei gilt es unter anderem:

  • Richtlinien und interne Weisungen für Penetration Testing zu erstellen

  • Testobjekte und Testzyklen zu definieren

  • Scoping-Meetings durchzuführen

  • Den gesamten Penetration Testing-Prozess revisionssicher zu dokumentieren

  • Fristen einzuhalten und Findings zu verfolgen

Für viele FINMA-regulierte Unternehmen bedeutet das: Jährlich müssen zahlreiche Penetration Tests geplant, durchgeführt und ausgewertet werden, zusätzlich zum operativen Tagesgeschäft.

Unsere Unterstützung:
Wir begleiten Sie in allen Phasen, von der Erstellung der Richtlinien über die Durchführung bis hin zu Auswertung, Tracking und Reporting der Ergebnisse.

Unsere Lösung:
Mit mesher, unserer speziell entwickelten Kundenplattform, steuern Sie den gesamten Penetration Testing-Prozess effizient. Die Software ist bereits erfolgreich bei Kunden wie Allianz Suisse im Einsatz und sorgt für klare Abläufe, Nachvollziehbarkeit und sichere Dokumentation.

Referenzen

  • Allianz
  • Migrosbank
  • Blkb
  • Valiant

Und zahlreiche weitere Kunden, von der Bäckerei bis zum Kernkraftwerk.

Success Story

Allianz Suisse

"Die avantguard unterstützt uns im Bereich Penetration Testing in zwei Bereichen, das eine ist das Thema Vorbereitung und Koordination, das andere ist die Durchführung der Penetration Tests, die auf einem sehr, sehr hohen Qualitätsniveau durchgeführt werden und auch bei externen Auditoren, wie zum Beispiel auch einer FINMA, sehr hohen Anklang finden."

Christian Bormann Head of IT Risk and Compliance Management, Allianz Suisse

Kundenstimmen

Zahlreiche FINMA-regulierte Unternehmen vertrauen bereits auf unsere Expertise. Hier finden Sie einige unserer Erfolgsgeschichten:

«Avantguard begleitet uns im Rahmen eines langfristigen Mandats bei der Planung, Vorbereitung, Durchführung und Debriefing von Penetration Tests. Mit Unterstützung von mesher und avantguard steigern wir Anzahl und Qualität der Penetration Tests und liefern unseren Kunden eine erstklassige Dienstleistung im Sinne unserer 5-Sterne-Strategie. Avantguard hat sich als verlässlicher Partner etabliert und leistet einen entscheidenden Beitrag zur erfolgreichen Umsetzung der regulatorischen Anforderungen im Penetration Testing.»

Christian BormannHead of IT Risk and Compliance Management

«Penetration Testing von avantguard bedeutet für uns nicht nur die Erfüllung regulatorischer Anforderungen, sondern einen echten Mehrwert: klare Einblicke in Risiken und konkrete Ansätze, wie wir unsere Sicherheit verbessern. Mit avantguard stellen wir sicher, dass unsere Systeme nicht nur FINMA-konform geprüft werden, sondern dass wir konkrete Handlungsempfehlungen erhalten, die unsere Bank nachhaltig widerstandsfähiger machen.»

Joey RyserInformation Security Officer

«Als Information Security Officer und verantwortliche Person bei der Valiant Bank AG schätze ich die Zusammenarbeit mit der Firma avantguard im Bereich Penetration Testing sehr. Die Projekte werden mit grosser Sorgfalt, hohem Engagement und bemerkenswerter Flexibilität durchgeführt. Die Qualität der gelieferten Reports überzeugt durch ihre hohe Detaillierung, klare Struktur und fundiertes technisches Know-how. Sie bieten wertvolle Erkenntnisse und unterstützen uns wirkungsvoll bei der kontinuierlichen Weiterentwicklung unserer Sicherheitsmassnahmen. Ich bin mit der erbrachten Dienstleistung äusserst zufrieden und kann avantguard als kompetenten und verlässlichen Partner im Bereich Cybersecurity uneingeschränkt empfehlen.»

Rico ZempInformation Security Officer

Penetration Testing Prozess

  1. Policy

    Richtlinien und Weisungen

    Bestehende Vorgaben prüfen und neue Richtlinien entwickeln, um die FINMA-Anforderungen wirksam umzusetzen.

  2. Target

    Definition der Testobjekte

    Testobjekte und Testzyklen gezielt festlegen, basierend auf den gültigen Richtlinien und Weisungen.

  3. Accept

    Pentesting Akzeptanz schaffen

    Sämtliche involvierten Stakeholder werden über die notwendigen Tests informiert und abgeholt. So wird eine interne Akzeptanz für die Tests geschaffen.

  4. Scope

    Scoping der Testobjekte

    Für jedes Testobjekt wird zeitnah ein Scoping durchgeführt, um einen klaren Umfang und eine angemessene Testtiefe festzulegen.

  5. Support

    Pentest begleiten

    Wir begleiten die Durchführung der Penetration Tests aktiv, um einen reibungslosen Ablauf sicherzustellen und auf auftretende Herausforderungen schnell zu reagieren. So gewährleisten wir effiziente und zielgerichtete Tests.

  6. Test

    Penetration Testing

    Die Penetration Tests werden durch qualifiziertes Personal mit angemessenen Ressourcen ausgeführt, um den FINMA-Anforderungen gerecht zu werden.

  7. Report

    Reporting und Tracking

    Sämtliche Resultate werden erfasst und ausgewertet. Auf dieser Basis werden regelmässig Reports erstellt, und der Fortschritt sowie die Findings werden durch kontinuierliches Tracking überwacht.

  8. mesher

    Automatisierung

    mesher automatisiert den gesamten Penetration Testing-Prozess, von Planung bis Reporting. So werden Abläufe transparent, revisionssicher und effizient gesteuert.

Features

Mandat

Wir unterstützen Sie beim Definieren der Weisungen und gestalten den gesamten Penetration Testing Prozess, von der Planung über die Durchführung bis zur Nachbearbeitung. Flexible Mandate oder Kontingente ermöglichen eine passgenaue und zuverlässige Begleitung.

Penetration Testing

Unsere qualifizierten Spezialisten führen die Penetration Tests mit den nötigen Ressourcen durch und gewährleisten so eine gründliche, regelkonforme und professionelle Sicherheitsprüfung Ihrer IT-Systeme.

mesher

Mit unserer Eigenentwicklung mesher automatisieren wir den gesamten Penetration Testing Prozess. Dadurch schaffen wir transparente Abläufe, revisionssichere Dokumentation und erhöhen die Effizienz Ihrer Sicherheitsprüfungen nachhaltig

Unsere eigenentwickelte Software mesher unterstützt den gesamten Penetration Testing-Prozess. Ausserdem stellt mesher sicher, dass der gesamte Prozess gemäss den regulatorischen Anforderungen durchgeführt wird und revisionssicher ist. Mesher wird bereits erfolgreich von der Allianz Suisse eingesetzt.

Mehr zu mesher
mesher_logo

FAQs

Was bedeutet FINMA reguliertes Penetration Testing konkret?

Die FINMA verlangt im Rundschreiben 2023/1, dass Institute regelmässig Verwundbarkeitsanalysen und Penetrationstests durchführen, und zwar durch qualifiziertes Personal und mit angemessenen Ressourcen.

Welche Institute sind betroffen?

Adressaten sind u. a. Banken, Personen nach Art. 1b BankG (FinTech‑Lizenz), Wertpapierhäuser sowie Finanzgruppen/-konglomerate.

Wie oft müssen Penetration Tests stattfinden?

Die FINMA schreibt keine fixe Frequenz vor; sie verlangt regelmässige, risikobasierte Tests. In der Praxis wird mindestens jährlich für internet‑exponierte Systeme getestet, abhängig von Risiko und Änderungstempo.

Welche Systeme müssen zwingend getestet werden?

Alle internet‑exponierten IKT‑Bestandteile sowie risikobasiert nicht internet‑exponierte Komponenten, die für kritische Prozesse nötig sind.

Müssen die Penetration Tests extern erfolgen?

Entscheidend sind Qualifikation und ausreichende Ressourcen. Viele Institute setzen aus Unabhängigkeits‑/Kapazitätsgründen auf externe Spezialisten

Setzt die FINMA auch weitere Tests voraus?

Ja, die FINMA nennt szenariobasierte Cyber‑Übungen (z. B. Table‑Top oder Red Teaming) als ergänzendes Instrument.

Wie unterstützt avantguard bei der Umsetzung der FINMA‑Vorgaben?

Wir begleiten den gesamten Prozess: Richtlinien/Weisungen, Scoping, Durchführung durch qualifizierte Spezialisten, Reporting und Tracking, inkl. mesher zur revisionssicheren Steuerung.

Was ist mesher und wofür brauche ich es?

mesher ist unsere Kundenplattform, die Planung, Monitoring, Findings‑Tracking, Reporting und Versionierung automatisiert: effizient, nachvollziehbar, revisionssicher; u. a. bereits bei Allianz Suisse im Einsatz.

Welche Dokumentation erwartet die FINMA?

Gefordert sind u. a. transparente Risiko-/Kontrollberichte, Nachweise zur Wirksamkeit von Schlüsselkontrollen, Vorfalls‑/Cyber‑Reporting sowie nachvollziehbare Penetration Test Ergebnisse (inkl. Massnahmen und Priorisierung)

Wie sicher sind Ihre Systeme wirklich?

Erzählen Sie uns von Ihrem Vorhaben. Wir melden uns mit einem unverbindlichen Angebot.

Offerte anfragen +41 55 253 30 30