DORA Audit & Selbstprüfung
Lernen, Kennzahlen & Verbesserung
Erkenntnisse aus Vorfällen, Tests und Kontrollen in messbare Verbesserungen überführen.
DORA Art. 6(5)–(8), 11(10), 1310 FragenFramework: Transparenz, Nachweis & Verbesserung
Die Fragen sind als Gesprächs- und Stichprobenhilfe gedacht. Ein belastbarer Auditnachweis entsteht aus der Kombination von Dokumenten, tatsächlicher Umsetzung, Stichproben und Wirksamkeitsbelegen.
Auditfragen
Existenz · Frage 1
Gibt es einen geregelten Prozess, um Lessons Learned aus Vorfällen und Tests in Verbesserungen zu überführen?
Worauf achten?Verantwortung, Priorisierung und Nachverfolgung festlegen.
Mögliche NachweiseLessons-Learned-Prozess; Maßnahmenregister
Regulatorischer BezugDORA Art. 13
Passendes Framework-ThemaProblem Management & RCA
Umsetzung · Frage 2
Werden wiederkehrende IKT-Vorfälle und Muster analysiert?
Worauf achten?Trend- und Ursachenanalyse statt Einzelfallbetrachtung.
Mögliche NachweiseIncident Trends; Problem Records
Regulatorischer BezugDORA Art. 13(2)–(5)
Passendes Framework-ThemaProblem Management & RCA
Existenz · Frage 3
Sind Kennzahlen definiert, die Zustand und Wirksamkeit der digitalen operationalen Resilienz zeigen?
Worauf achten?Nicht nur Aktivitätszahlen, sondern Wirkung und Risiko abbilden.
Mögliche NachweiseKPI/KRI-Katalog; Managementreport
Regulatorischer BezugDORA Art. 6(8), 13
Passendes Framework-ThemaKennzahlen
Umsetzung · Frage 4
Werden aggregierte jährliche Kosten und Verluste schwerwiegender IKT-Vorfälle nachvollziehbar ermittelt?
Worauf achten?Methodik und Datenquellen dokumentieren; Bericht auf Verlangen ermöglichen.
Mögliche NachweiseJahresaggregation; Finance-Abgleich
Regulatorischer BezugDORA Art. 11(10)
Passendes Framework-ThemaKennzahlen
Wirksamkeit · Frage 5
Führen negative Trends oder Grenzwertüberschreitungen zu Entscheidungen und Maßnahmen?
Worauf achten?Steuerungswirkung der Kennzahlen prüfen.
Mögliche NachweiseManagementberichte; Maßnahmen; Beschlüsse
Regulatorischer BezugDORA Art. 5–6
Passendes Framework-ThemaGovernance
Umsetzung · Frage 6
Werden Erkenntnisse aus Audits, Kontrollen, Tests und Vorfällen in einer gemeinsamen Maßnahmensteuerung zusammengeführt?
Worauf achten?Doppelarbeiten und widersprüchliche Prioritäten vermeiden.
Mögliche NachweiseFinding Register; GRC-Tool; Maßnahmenboard
Regulatorischer BezugDORA Art. 6(6)–(7), 13
Passendes Framework-ThemaTesting & Assurance
Wirksamkeit · Frage 7
Wird nach Maßnahmenabschluss geprüft, ob die zugrunde liegende Schwäche tatsächlich behoben ist?
Worauf achten?Wirksamkeitskontrolle statt administrativem Schließen.
Mögliche NachweiseRe-Test; Kontrollnachweis; Re-Assessment
Regulatorischer BezugDORA Art. 6, 13
Passendes Framework-ThemaTesting & Assurance
Wirksamkeit · Frage 8
Kann das Management erkennen, welche Resilienzrisiken trotz abgeschlossener Maßnahmen verbleiben?
Worauf achten?Restrisiko und offene Abhängigkeiten transparent machen.
Mögliche NachweiseRisiko-/Maßnahmenbericht; KRI
Regulatorischer BezugDORA Art. 6
Passendes Framework-ThemaRisk Management
Umsetzung · Frage 9
Berichtet das verantwortliche Senior-IKT-Personal dem Leitungsorgan mindestens jährlich über relevante Erkenntnisse und spricht Empfehlungen aus?
Worauf achten?DORA verlangt diese jährliche Managementinformation ausdrücklich.
Mögliche NachweiseJahresbericht; Gremienunterlage; Empfehlungen
Regulatorischer BezugDORA Art. 13(5)
Passendes Framework-ThemaGovernance
Wirksamkeit · Frage 10
Werden Post-Incident-Reviews nach schwerwiegenden Vorfällen genutzt, um Reaktionszeiten, Prozesse und Kontrollen gezielt zu verbessern?
Worauf achten?Nicht nur Root Cause, sondern Qualität und Geschwindigkeit der Reaktion sowie Kontrollverbesserungen betrachten.
Mögliche NachweisePost-Incident Review; KPI; Maßnahmen
Regulatorischer BezugDORA Art. 13(2)–(4)
Passendes Framework-ThemaProblem Management & RCA
← Zurück zur Übersicht DORA Audit & Selbstprüfung