DORA Audit & Selbstprüfung
Projekte, Entwicklung & Change
Sicherheitsanforderungen in Projekten, Beschaffung, Entwicklung, Wartung und Änderungen.
DORA Art. 8(3), 9 · RTS 2024/1774 Art. 15–178 FragenFramework: Sichere Projektgestaltung & Change
Die Fragen sind als Gesprächs- und Stichprobenhilfe gedacht. Ein belastbarer Auditnachweis entsteht aus der Kombination von Dokumenten, tatsächlicher Umsetzung, Stichproben und Wirksamkeitsbelegen.
Auditfragen
Existenz · Frage 1
Sind IKT-Risiken und Sicherheitsanforderungen Bestandteil des Projektmanagements?
Worauf achten?Sicherheit früh einbinden, nicht erst vor Go-live.
Mögliche NachweiseProjektmethodik; Security Gates; Risikoregister
Regulatorischer BezugDORA Art. 8(3); RTS 2024/1774 Art. 15
Passendes Framework-ThemaSichere Projektgestaltung
Umsetzung · Frage 2
Werden Sicherheitsanforderungen bei Beschaffung und Entwicklung dokumentiert und getestet?
Worauf achten?Anforderungen müssen bis zur Abnahme nachvollziehbar sein.
Mögliche NachweiseLastenheft; Security Requirements; Testprotokolle
Regulatorischer BezugDORA Art. 9; RTS 2024/1774 Art. 16
Passendes Framework-ThemaSecure Development
Existenz · Frage 3
Gibt es ein kontrolliertes Change-Management mit Bewertung, Test, Freigabe und Rückfallplanung?
Worauf achten?Notfallchanges und Trennung von Rollen berücksichtigen.
Mögliche NachweiseChange Policy; Tickets; CAB-Protokolle
Regulatorischer BezugDORA Art. 9; RTS 2024/1774 Art. 17
Passendes Framework-ThemaChange Management
Umsetzung · Frage 4
Werden sicherheitsrelevante Auswirkungen von Changes vor Freigabe bewertet?
Worauf achten?Asset-, Risiko-, Berechtigungs-, Logging- und BC-Auswirkungen prüfen.
Mögliche NachweiseChange Records; Security Review; Risikoanalyse
Regulatorischer BezugDORA Art. 8(3); RTS 2024/1774 Art. 17
Passendes Framework-ThemaChange Management
Wirksamkeit · Frage 5
Werden fehlgeschlagene oder sicherheitsrelevante Changes ausgewertet und Verbesserungen abgeleitet?
Worauf achten?Problem-/RCA-Prozess einbeziehen.
Mögliche NachweisePost Implementation Review; RCA; Lessons Learned
Regulatorischer BezugDORA Art. 13
Passendes Framework-ThemaProblem Management & RCA
Umsetzung · Frage 6
Sind Entwicklungs-, Test- und Produktionsumgebungen angemessen getrennt?
Worauf achten?Zugriffe und produktive Daten in Nicht-Produktivumgebungen prüfen.
Mögliche NachweiseArchitektur; IAM; Deployment Pipeline
Regulatorischer BezugDORA Art. 9; RTS 2024/1774 Art. 16
Passendes Framework-ThemaSecure Development
Wirksamkeit · Frage 7
Kann nachvollzogen werden, welche Änderung eine sicherheitsrelevante Konfiguration verändert hat?
Worauf achten?Traceability zwischen Change, Konfiguration und Asset prüfen.
Mögliche NachweiseCMDB-Historie; Git/Config Repo; Tickets
Regulatorischer BezugDORA Art. 8(4); RTS 2024/1774 Art. 17
Passendes Framework-ThemaChange & Configuration
Umsetzung · Frage 8
Werden externe Entwickler oder Dienstleister in dieselben Sicherheits- und Change-Anforderungen einbezogen?
Worauf achten?Vertrag, Zugriffe, Entwicklungsprozess und Abnahme betrachten.
Mögliche NachweiseVerträge; Supplier Controls; Projektunterlagen
Regulatorischer BezugDORA Art. 28–30; RTS 2024/1774 Art. 16
Passendes Framework-ThemaLieferantensteuerung
← Zurück zur Übersicht DORA Audit & Selbstprüfung