DORA Audit & Selbstprüfung
Monitoring, Erkennung & Threat Intelligence
Anomalien, Ereignisse und Cyberbedrohungen rechtzeitig erkennen und bewerten.
DORA Art. 10, 13(1),(7), 17 · RTS 2024/1774 Art. 12, 22–2310 FragenFramework: Security Monitoring & Detection
Die Fragen sind als Gesprächs- und Stichprobenhilfe gedacht. Ein belastbarer Auditnachweis entsteht aus der Kombination von Dokumenten, tatsächlicher Umsetzung, Stichproben und Wirksamkeitsbelegen.
Auditfragen
Existenz · Frage 1
Sind Mechanismen zur Erkennung anomaler Aktivitäten und IKT-bezogener Vorfälle eingerichtet?
Worauf achten?Abdeckung kritischer Systeme, Netze und Benutzeraktivitäten prüfen.
Mögliche NachweiseSIEM-Konzept; Use-Case-Katalog; Monitoring
Regulatorischer BezugDORA Art. 10; RTS 2024/1774 Art. 23
Passendes Framework-ThemaSecurity Monitoring
Umsetzung · Frage 2
Werden relevante Logs zentral gesammelt, korreliert und ausgewertet?
Worauf achten?Qualität, Zeitbezug und Abdeckung wichtiger Quellen betrachten.
Mögliche NachweiseSIEM Sources; Logging Matrix; Dashboards
Regulatorischer BezugDORA Art. 10; RTS 2024/1774 Art. 12
Passendes Framework-ThemaLogging
Existenz · Frage 3
Sind Schwellenwerte und Eskalationswege für erkannte Anomalien definiert?
Worauf achten?Technische Alerts müssen in einen Incident-Prozess münden können.
Mögliche NachweiseRunbooks; Alarmregeln; Eskalationsmatrix
Regulatorischer BezugDORA Art. 10, 17; RTS 2024/1774 Art. 22–23
Passendes Framework-ThemaIncident Management
Umsetzung · Frage 4
Werden externe Cyberbedrohungsinformationen in Monitoring und Risikobewertung einbezogen?
Worauf achten?Threat Intelligence muss zu konkreten Bewertungen oder Use Cases führen können.
Mögliche NachweiseThreat Feeds; TI Reports; SIEM Changes
Regulatorischer BezugDORA Art. 13(1); RTS 2024/1774 Art. 23
Passendes Framework-ThemaThreat Intelligence
Wirksamkeit · Frage 5
Wie wird geprüft, ob Erkennungsregeln tatsächlich funktionieren?
Worauf achten?Simulationen, Purple Team, Testalarme oder Incident-Erfahrungen verwenden.
Mögliche NachweiseDetection Tests; Testalarme; Übungsberichte
Regulatorischer BezugDORA Art. 24–25
Passendes Framework-ThemaTesting & Assurance
Umsetzung · Frage 6
Werden technologische Entwicklungen und neue Angriffsmethoden regelmäßig bewertet?
Worauf achten?Bezug zu Art. 13(7) und Anpassung von Schutz/Detektion prüfen.
Mögliche NachweiseTechnologie-Reviews; Threat Reports; Roadmap
Regulatorischer BezugDORA Art. 13(7)
Passendes Framework-ThemaThreat Intelligence
Wirksamkeit · Frage 7
Werden wiederkehrende False Positives und blinde Flecken systematisch verbessert?
Worauf achten?Qualität des Monitorings und Lessons Learned betrachten.
Mögliche NachweiseSIEM Tuning; KPI; Problem Tickets
Regulatorischer BezugDORA Art. 13
Passendes Framework-ThemaSecurity Monitoring
Wirksamkeit · Frage 8
Kann aus einem Alarm zeitnah auf betroffene Assets, Funktionen und Dienstleister geschlossen werden?
Worauf achten?Verbindung Monitoring ↔ Asset/Service Mapping testen.
Mögliche NachweiseSIEM Enrichment; CMDB; Incident-Beispiel
Regulatorischer BezugDORA Art. 8, 10, 17
Passendes Framework-ThemaAsset Management
Existenz · Frage 9
Sind potenzielle wesentliche Single Points of Failure in den Erkennungsmechanismen und der technischen Überwachung berücksichtigt?
Worauf achten?DORA Art. 10 nennt die Identifikation potenziell wesentlicher Single Points of Failure ausdrücklich.
Mögliche NachweiseArchitektur-/Monitoringkonzept; SPOF-Analyse
Regulatorischer BezugDORA Art. 10(1)
Passendes Framework-ThemaSecurity Monitoring
Umsetzung · Frage 10
Nutzen die Erkennungsmechanismen mehrere Kontrollebenen, definierte Schwellenwerte und automatische Alarmierung relevanter Incident-Rollen?
Worauf achten?Die Erkennung soll nicht von einem einzigen Signal oder manueller Beobachtung abhängen.
Mögliche NachweiseSIEM-Regeln; Alerting; Eskalationskonzept
Regulatorischer BezugDORA Art. 10(2)
Passendes Framework-ThemaSecurity Monitoring
← Zurück zur Übersicht DORA Audit & Selbstprüfung