DORA Audit & Selbstprüfung
Business Continuity, BIA & Krisenmanagement
Kritische Funktionen, Auswirkungen, Kontinuitätspläne und Krisenorganisation beherrschen.
DORA Art. 11 · RTS 2024/1774 Art. 2410 FragenFramework: Business Continuity & BIA
Die Fragen sind als Gesprächs- und Stichprobenhilfe gedacht. Ein belastbarer Auditnachweis entsteht aus der Kombination von Dokumenten, tatsächlicher Umsetzung, Stichproben und Wirksamkeitsbelegen.
Auditfragen
Existenz · Frage 1
Sind kritische oder wichtige Funktionen und ihre maximal tolerierbaren Ausfallwirkungen durch eine BIA bestimmt?
Worauf achten?BIA muss Geschäftsanforderungen und Abhängigkeiten abbilden.
Mögliche NachweiseBIA; Prozessinventar; Kritikalitätsbewertung
Regulatorischer BezugDORA Art. 11(5); RTS 2024/1774 Art. 24
Passendes Framework-ThemaBIA
Existenz · Frage 2
Gibt es eine IKT-Business-Continuity-Policy und konkrete Pläne für relevante Störungsszenarien?
Worauf achten?Pläne müssen aus BIA und Risiken abgeleitet sein.
Mögliche NachweiseBC Policy; BC-Pläne; Notfallhandbuch
Regulatorischer BezugDORA Art. 11; RTS 2024/1774 Art. 24
Passendes Framework-ThemaBusiness Continuity
Umsetzung · Frage 3
Sind Rollen, Entscheidungswege und Krisenkommunikation im Störungsfall festgelegt?
Worauf achten?Vertretungen und Erreichbarkeit berücksichtigen.
Mögliche NachweiseKrisenhandbuch; Alarmierungslisten; Kommunikationsplan
Regulatorischer BezugDORA Art. 11, 14
Passendes Framework-ThemaDORA Kommunikation
Umsetzung · Frage 4
Werden Szenarien einschließlich Ausfall von IKT-Drittdienstleistern berücksichtigt?
Worauf achten?Nicht nur internes Rechenzentrum betrachten.
Mögliche NachweiseBC-Szenarien; Supplier BC; Exit-/Fallback-Plan
Regulatorischer BezugDORA Art. 11; Art. 28
Passendes Framework-ThemaLieferantensteuerung
Existenz · Frage 5
Sind RTO und RPO aus BIA und Geschäftsanforderungen abgeleitet?
Worauf achten?Werte dürfen nicht allein aus technischer Bequemlichkeit entstehen.
Mögliche NachweiseBIA; Serviceanforderungen; Recovery-Pläne
Regulatorischer BezugDORA Art. 11(5); Art. 12(6)
Passendes Framework-ThemaBackup & Recovery
Wirksamkeit · Frage 6
Werden BC-Pläne regelmäßig getestet und erkannte Schwächen nachverfolgt?
Worauf achten?Tests müssen realistische Szenarien und relevante Beteiligte einbeziehen.
Mögliche NachweiseBC-Tests; Übungsberichte; Maßnahmen
Regulatorischer BezugDORA Art. 11(6); RTS 2024/1774 Art. 24–25
Passendes Framework-ThemaResilience Testing
Wirksamkeit · Frage 7
Kann das Management während einer Störung aktuelle Auswirkungen, Prioritäten und Wiederanlaufstatus erkennen?
Worauf achten?Informationslage und Entscheidungsfähigkeit prüfen.
Mögliche NachweiseCrisis Dashboard; Lageberichte; Übungsprotokolle
Regulatorischer BezugDORA Art. 11
Passendes Framework-ThemaGovernance
Umsetzung · Frage 8
Werden Pläne nach wesentlichen Änderungen und Lessons Learned aktualisiert?
Worauf achten?BC-Dokumente müssen mit System-/Prozessänderungen Schritt halten.
Mögliche NachweiseVersionshistorie; Change-Bezug; Lessons Learned
Regulatorischer BezugDORA Art. 13; RTS 2024/1774 Art. 24
Passendes Framework-ThemaBusiness Continuity
Wirksamkeit · Frage 9
Werden die IKT-BC-Pläne für kritische oder wichtige Funktionen mindestens jährlich sowie nach wesentlichen Änderungen angemessen getestet?
Worauf achten?Testumfang und -frequenz gegen DORA/RTS und Kritikalität prüfen.
Mögliche NachweiseJahrestestplan; BC-Testberichte; Change-Bezug
Regulatorischer BezugDORA Art. 11(6); RTS 2024/1774 Art. 25
Passendes Framework-ThemaBusiness Continuity
Umsetzung · Frage 10
Umfassen BC-Tests Szenarien für Cyberangriffe, Ausfälle relevanter Infrastrukturen und – soweit angemessen – Ausfälle von IKT-Drittdienstleistern?
Worauf achten?Szenarien müssen die reale Abhängigkeitslage widerspiegeln.
Mögliche NachweiseSzenariokatalog; Übungsberichte
Regulatorischer BezugDORA Art. 11; RTS 2024/1774 Art. 25
Passendes Framework-ThemaBusiness Continuity
← Zurück zur Übersicht DORA Audit & Selbstprüfung