Szenario

Compliance- & Regulierungsvalidierung

Nicht nur ein Pentest-Bericht. Ein belastbarer Compliance-Nachweis.

Penetrationstests sind eine gesetzliche Pflicht in der EU-Finanz- und Kritische-Einrichtungen-Landschaft. SPECTER liefert die kontinuierliche, nachweisgestützte Validierung, die Ihre Aufsichtsbehörde, Ihr Prüfer und Ihr Vorstand verlangen: nicht nur ein Pentest-Bericht, sondern ein belastbarer Compliance-Nachweis.

Ergebnisse

Was Sie erhalten

Kontinuierlicher Test-Scope ausgerichtet auf DORA (Art. 25 & 26), NIS2, PCI DSS v4, ISO/IEC 27001, GDPR, TIBER-EU/TIBER-BE und den EU AI Act

Unveränderliche MissionEvent-Aufzeichnungen: Append-only, manipulationssicher, jederzeit für regulatorische Prüfung verfügbar

Audit-taugliche Berichte mit Kontroll- und Artikelzuordnung zu Ihrem spezifischen Framework

Vollständige Nachweispakete pro Engagement: rohe Tool-Ausgabe, PoC-Nachweise, nach Schweregrad eingestufte Befunde

MITRE ATT&CK- und MITRE ATLAS-Mapping für Bedrohungskontext und Vorstandsberichterstattung

TIBER-EU- und TIBER-BE-Unterstützung für bedrohungsgeleitete Tests im Finanzsektor

Compliance-tauglicher Export: PDF für Auditoren, Vorstände und Regulierer - bei jedem Durchlauf

Kontinuierliche Validierung, damit Ihre Sicherheitslage aktuell ist - nicht 90 Tage veraltet zum Zeitpunkt des Audits

Jurisdiktionen

Regulatorische Abdeckung

In der gesamten EU-Finanz- und Kritische-Einrichtungen-Landschaft und für Organisationen in Nordamerika, die belastbare Nachweise benötigen, erzeugt SPECTER den Compliance-Nachweis, den Ihre Aufsichtsbehörde, Ihr Prüfer und Ihr Vorstand verlangen.

DORA Artikel 25 & 26

Seit Januar 2025 müssen alle EU-Finanzinstitute ein dokumentiertes Testprogramm für digitale operationelle Resilienz vorhalten (Art. 25). Bedeutende Institute unterliegen einer Pflicht zu bedrohungsgeleiteten Penetrationstests (TLPT) alle drei Jahre gemäß Artikel 26. SPECTER liefert die kontinuierlichen Nachweise und die TLPT-fähige Methodik, die diese Pflichten erfordern.Frameworks: DORA Art. 25 / DORA Art. 26 (TLPT) / TIBER-EU/TIBER-BE

NIS2 & PCI DSS v4.0.1

NIS2 erhöht die Anforderungen an Cybersecurity-Risikomanagement und Lieferkettensicherheit für wesentliche und wichtige Einrichtungen. PCI DSS v4.0.1 verlangt jährliche Penetrationstests und Nachtests nach jeder wesentlichen Änderung. SPECTER ordnet Befunde den Kontrollnachweisen zu, die Ihr Prüfer verwenden kann.Frameworks: NIS2 / PCI DSS v4.0.1

ISO/IEC 27001, GDPR & EU AI Act

ISO/IEC 27001:2022-Auditoren erwarten periodische Testnachweise für kritische Systeme. GDPR verbindet Datenschutz mit der Art, wie Sicherheitsvalidierung durchgeführt wird und wo Daten gespeichert werden. Die SPECTER-Methodik ist auf TIBER-EU und TIBER-BE ausgerichtet, mit Nachweispaketen, die EU AI Act-Governance-Prüfungen unterstützen, wo KI-Systeme im Scope sind.Frameworks: ISO/IEC 27001 / GDPR / EU AI Act / Märkte: EU / Nordamerika

Scope

Was wir bewerten

Externe und interne Angriffsfläche relevant für regulierte In-Scope-Assets

Zugriffskontrolle, Authentifizierung und Identität (ausgerichtet auf Framework-Anforderungen)

Netzwerksegmentierung und Perimetersicherheit

Cloud-Posture und Identitätsrisiken für regulierte Cloud-gehostete Systeme

Schwachstellen und Fehlkonfigurationen mit Exploit-Verifizierung und PoC-Nachweis

Angriffspfade, die zu einem Breach regulierter Daten oder kritischer Dienste führen könnten

KI/ML-System-Exposition, sofern für Ihren regulatorischen Scope relevant

Attack path

Evidence path for regulators

Every finding carries PoC, MITRE mapping, and an immutable audit trail.

Scoped run
Art. 26 ready
Finding
severity ranked
PoC
reproducible
MITRE
ATT&CK map
Export
audit package

Demonstration

Live-Missions-Ausgabe

Mehrstufige Ketten mit echter CVE-Korrelation, MITRE ATT&CK / ATLAS-Mapping und verifiziertem Proof-of-Concept-Nachweis - wie SPECTER sie in einer Mission aufdeckt.

SPECTER: compliance validation

Demo-Ausgabe (Englisch)

Illustrative validated chains from staging engagements. CVE identifiers map to real-world threat intelligence (CISA KEV, vendor advisories). Destructive or high-impact steps (e.g. DCSync, LDAPNightmare exploitation) are shown as detected, operator-gated, or not executed where applicable.

Fähigkeiten

Abdeckung im Überblick

Fähigkeit	Enthalten
DORA Art. 25 & 26 (TLPT)-Ausrichtung
NIS2-Ausrichtung
PCI DSS v4-Pentest-Nachweise
ISO/IEC 27001-Ausrichtung
GDPR-bewusste Nachweisbehandlung
TIBER-EU / TIBER-BE-Unterstützung
EU AI Act-Nachweisunterstützung
Kontroll- / Artikelzuordnung
Unveränderlicher Audit-Trail
Compliance-tauglicher Export (PDF)
Kontinuierliche Validierung
MITRE ATT&CK + MITRE ATLAS-Mapping

Nicht nur ein Pentest-Bericht. Ein belastbarer Nachweis Ihres Sicherheitsvalidierungsprogramms - konzipiert, um Ihre Aufsichtsbehörde, Ihren Prüfer und Ihren Vorstand zu überzeugen.

Starten Sie Ihre erste Mission Vollständige Lösung ansehen