DORA Audit & Selbstprüfung
Assets, Abhängigkeiten & Klassifikation
Informations- und IKT-Assets, Eigentümer, Kritikalität, Abhängigkeiten und Konfigurationen beherrschen.
DORA Art. 8 · RTS 2024/1774 Art. 4–510 FragenFramework: Asset Management
Die Fragen sind als Gesprächs- und Stichprobenhilfe gedacht. Ein belastbarer Auditnachweis entsteht aus der Kombination von Dokumenten, tatsächlicher Umsetzung, Stichproben und Wirksamkeitsbelegen.
Auditfragen
Existenz · Frage 1
Sind Informations- und IKT-Assets vollständig inventarisiert und einem Verantwortlichen zugeordnet?
Worauf achten?Inventar muss für Risikobewertung und Schutz nutzbar sein.
Mögliche NachweiseAssetregister; CMDB; Verantwortlichkeitsmatrix
Regulatorischer BezugDORA Art. 8; RTS 2024/1774 Art. 4–5
Passendes Framework-ThemaAsset Management
Umsetzung · Frage 2
Sind kritische oder wichtige Funktionen mit den sie unterstützenden Assets verknüpft?
Worauf achten?Geschäftsfunktion, Anwendung, Infrastruktur und Dienstleister müssen zusammengeführt werden können.
Mögliche NachweiseService-/Asset-Mapping; BIA; Architekturübersicht
Regulatorischer BezugDORA Art. 8
Passendes Framework-ThemaBIA
Umsetzung · Frage 3
Werden Abhängigkeiten zwischen Assets und IKT-Drittdienstleistern dokumentiert?
Worauf achten?Auch Ketten und gemeinsame technische Abhängigkeiten berücksichtigen.
Mögliche NachweiseAbhängigkeitsmatrix; Lieferantenregister; Architekturdiagramme
Regulatorischer BezugDORA Art. 8(5)
Passendes Framework-ThemaLieferantensteuerung
Existenz · Frage 4
Gibt es nachvollziehbare Kriterien für Klassifikation und Kritikalität?
Worauf achten?Kriterien sollten Schutzbedarf und Geschäftsrelevanz abbilden.
Mögliche NachweiseKlassifikationsschema; Asset Policy
Regulatorischer BezugDORA Art. 8; RTS 2024/1774 Art. 5
Passendes Framework-ThemaInformationsschutz
Umsetzung · Frage 5
Werden Asset- und Konfigurationsinformationen nach Änderungen aktualisiert?
Worauf achten?Change- und Configuration-Management miteinander abgleichen.
Mögliche NachweiseChange Tickets; CMDB-Historie; Reviews
Regulatorischer BezugDORA Art. 8(4); RTS 2024/1774 Art. 8
Passendes Framework-ThemaChange & Configuration
Wirksamkeit · Frage 6
Wie wird die Vollständigkeit und Aktualität des Assetbestands geprüft?
Worauf achten?Stichproben gegen technische Discovery, Verträge und Betrieb verwenden.
Mögliche NachweiseInventurberichte; Discovery-Abgleich; Audit-Stichproben
Regulatorischer BezugDORA Art. 8
Passendes Framework-ThemaAsset Management
Umsetzung · Frage 7
Sind Legacy-Systeme und nicht mehr unterstützte Technologien erkennbar und risikobewertet?
Worauf achten?Ausnahmen und Kompensationsmaßnahmen müssen nachvollziehbar sein.
Mögliche NachweiseEOL/EOS-Liste; Risikobewertungen; Maßnahmenpläne
Regulatorischer BezugDORA Art. 8(7)
Passendes Framework-ThemaSchwachstellenmanagement
Wirksamkeit · Frage 8
Kann bei einem Vorfall schnell ermittelt werden, welche kritischen Funktionen betroffen sein können?
Worauf achten?Praktische Nutzbarkeit des Abhängigkeitsmodells testen.
Mögliche NachweiseIncident-Beispiele; Service Mapping; BIA
Regulatorischer BezugDORA Art. 8; Art. 17
Passendes Framework-ThemaIncident Management
Wirksamkeit · Frage 9
Werden Klassifikation, Assetdokumentation und relevante Abhängigkeiten mindestens jährlich sowie bei Bedarf überprüft?
Worauf achten?DORA verlangt für die Klassifikation und zugehörige Dokumentation mindestens eine jährliche Angemessenheitsprüfung.
Mögliche NachweiseAsset Review; Inventurprotokoll; Freigabe
Regulatorischer BezugDORA Art. 8(1)
Passendes Framework-ThemaAsset Management
Umsetzung · Frage 10
Werden IKT-Risikoszenarien mindestens jährlich sowie relevante Cyberbedrohungen und Schwachstellen fortlaufend überprüft?
Worauf achten?Asset- und Risikoebene müssen miteinander verbunden bleiben.
Mögliche NachweiseRisikoreview; Threat/Vulnerability Reports
Regulatorischer BezugDORA Art. 8(2)
Passendes Framework-ThemaRisk Management
← Zurück zur Übersicht DORA Audit & Selbstprüfung