DORA Audit & Selbstprüfung
Governance & Leitungsorgan
Verantwortung, Steuerung, IKT-Risikotoleranz und regelmäßige Überwachung durch das Leitungsorgan.
DORA Art. 4–6 · RTS 2024/1774 Art. 1–3, 2712 FragenFramework: Governance & Sicherheitssteuerung
Die Fragen sind als Gesprächs- und Stichprobenhilfe gedacht. Ein belastbarer Auditnachweis entsteht aus der Kombination von Dokumenten, tatsächlicher Umsetzung, Stichproben und Wirksamkeitsbelegen.
Auditfragen
Existenz · Frage 1
Sind Aufgaben, Verantwortlichkeiten und Entscheidungsbefugnisse für das IKT-Risikomanagement eindeutig festgelegt?
Worauf achten?Auf klare Zuordnung zum Leitungsorgan, zu Kontrollfunktionen und operativen Rollen achten.
Mögliche NachweiseGovernance-Richtlinie; Organigramm; Rollenbeschreibungen; Geschäftsordnung
Regulatorischer BezugDORA Art. 5; Art. 6
Passendes Framework-ThemaGovernance
Umsetzung · Frage 2
Wie überwacht das Leitungsorgan die Umsetzung des IKT-Risikomanagementrahmens?
Worauf achten?Nicht nur formale Genehmigung: regelmäßige Berichte, Entscheidungen und Nachverfolgung müssen erkennbar sein.
Mögliche NachweiseVorstands-/Gremienunterlagen; IKT-Risikoberichte; Maßnahmenlisten
Regulatorischer BezugDORA Art. 5; Art. 6
Passendes Framework-ThemaGovernance
Existenz · Frage 3
Ist eine IKT-Risikotoleranz festgelegt und mit der allgemeinen Risikobereitschaft abgestimmt?
Worauf achten?Die Toleranz sollte Entscheidungen ermöglichen und nicht nur allgemein formuliert sein.
Mögliche NachweiseRisikostrategie; IKT-Risikostrategie; Schwellenwerte; Beschlüsse
Regulatorischer BezugDORA Art. 6(8)
Passendes Framework-ThemaRisk Management
Umsetzung · Frage 4
Wie wird die Verhältnismäßigkeit bei der Ausgestaltung der DORA-Maßnahmen begründet?
Worauf achten?Größe, Risikoprofil sowie Art, Umfang und Komplexität der Tätigkeit müssen nachvollziehbar berücksichtigt sein.
Mögliche NachweiseProportionalitätsbewertung; Risikoanalyse; Managemententscheidung
Regulatorischer BezugDORA Art. 4; RTS 2024/1774 Art. 1
Passendes Framework-ThemaGovernance
Wirksamkeit · Frage 5
Wie wird festgestellt, ob der IKT-Risikomanagementrahmen noch wirksam und angemessen ist?
Worauf achten?Jährliche und anlassbezogene Überprüfung sowie unabhängige Prüfung und Finding-Tracking betrachten.
Mögliche NachweiseJahresreview; interne Audits; Prüfberichte; Maßnahmenverfolgung
Regulatorischer BezugDORA Art. 6(5)–(7); RTS 2024/1774 Art. 27
Passendes Framework-ThemaTesting & Assurance
Existenz · Frage 6
Ist eine verantwortliche Rolle für die Überwachung von IKT-Drittdienstleister-Vereinbarungen festgelegt?
Worauf achten?Die Verantwortung darf nicht zwischen Einkauf, IT und Fachbereich verschwimmen.
Mögliche NachweiseRollenmodell; Stellenbeschreibung; Governance-Dokumentation
Regulatorischer BezugDORA Art. 5(3)
Passendes Framework-ThemaLieferantensteuerung
Umsetzung · Frage 7
Erhalten Mitglieder des Leitungsorgans regelmäßig spezifische Schulungen zu IKT-Risiken?
Worauf achten?Inhalt und Turnus sollten zur Verantwortung des Leitungsorgans passen.
Mögliche NachweiseSchulungsplan; Teilnehmerlisten; Inhalte; Nachweise
Regulatorischer BezugDORA Art. 5(4)
Passendes Framework-ThemaSecurity Awareness
Wirksamkeit · Frage 8
Lassen sich aus Managementberichten konkrete Entscheidungen oder Maßnahmen zu IKT-Risiken nachvollziehen?
Worauf achten?Prüfen, ob Kennzahlen tatsächlich Steuerungswirkung entfalten.
Mögliche NachweiseManagementberichte; Beschlussprotokolle; Maßnahmenstatus
Regulatorischer BezugDORA Art. 5–6
Passendes Framework-ThemaKennzahlen
Existenz · Frage 9
Ist der Bericht über die Überprüfung des IKT-Risikomanagementrahmens inhaltlich und organisatorisch vorbereitet und auf Verlangen der zuständigen Behörde bereitstellbar?
Worauf achten?Die Überprüfung muss dokumentiert sein; die Berichtsstruktur nach RTS 2024/1774 Art. 27 und die Bereitstellung auf Verlangen berücksichtigen.
Mögliche NachweiseRMF-Review-Bericht; Freigabe; Behördenprozess
Regulatorischer BezugDORA Art. 6(5); RTS 2024/1774 Art. 27
Passendes Framework-ThemaGovernance & Testing Assurance
Umsetzung · Frage 10
Überprüft und genehmigt das Leitungsorgan regelmäßig die IKT-BC-Policy, Response-/Recovery-Pläne, IKT-Auditpläne sowie die Policy zu IKT-Drittdienstleistern?
Worauf achten?Die in Art. 5 ausdrücklich genannten Management-Body-Aufgaben sollten in Gremienunterlagen nachvollziehbar sein.
Mögliche NachweiseGremienkalender; Beschlüsse; Policies; Auditplan
Regulatorischer BezugDORA Art. 5(2)
Passendes Framework-ThemaGovernance
Umsetzung · Frage 11
Werden ausreichende finanzielle, personelle und fachliche Ressourcen für die digitale operationale Resilienz geplant und regelmäßig überprüft?
Worauf achten?Das Leitungsorgan muss auch Budget und Fähigkeiten zur Erfüllung der Resilienzanforderungen steuern.
Mögliche NachweiseBudgetplanung; Ressourcenplan; Skill-Matrix; Gremienbeschluss
Regulatorischer BezugDORA Art. 5(2)
Passendes Framework-ThemaGovernance
Existenz · Frage 12
Ist die IKT-Risikomanagement- und Kontrollfunktion angemessen unabhängig von operativen IKT-Funktionen organisiert und sind Interessenkonflikte vermieden?
Worauf achten?Trennung und Unabhängigkeit müssen zur Organisationsgröße passen und nachvollziehbar begründet sein.
Mögliche NachweiseOrganigramm; Rollenmodell; Three-Lines-Modell; Interessenkonfliktregel
Regulatorischer BezugDORA Art. 6(4)
Passendes Framework-ThemaGovernance
← Zurück zur Übersicht DORA Audit & Selbstprüfung