DORA Audit & Selbstprüfung
IKT-Betrieb, Netzwerk & Schwachstellen
Betriebssicherheit, Kapazität, Logging, Netzwerk, Schwachstellen und Patches.
DORA Art. 7, 9–10 · RTS 2024/1774 Art. 8–1414 FragenFramework: IT-Betrieb & Infrastruktur
Die Fragen sind als Gesprächs- und Stichprobenhilfe gedacht. Ein belastbarer Auditnachweis entsteht aus der Kombination von Dokumenten, tatsächlicher Umsetzung, Stichproben und Wirksamkeitsbelegen.
Auditfragen
Existenz · Frage 1
Sind betriebliche IKT-Verfahren, Verantwortlichkeiten und Mindeststandards dokumentiert?
Worauf achten?Betrieb muss reproduzierbar und kontrolliert sein.
Mögliche NachweiseBetriebshandbuch; SOPs; Rollen
Regulatorischer BezugDORA Art. 7, 9; RTS 2024/1774 Art. 8
Passendes Framework-ThemaIT-Betrieb
Umsetzung · Frage 2
Wie werden Kapazität und Performance kritischer Systeme überwacht und Engpässe vermieden?
Worauf achten?Schwellenwerte, Trends und Eskalation prüfen.
Mögliche NachweiseMonitoring; Capacity Reports; Alerts
Regulatorischer BezugDORA Art. 7; RTS 2024/1774 Art. 9
Passendes Framework-ThemaCapacity & Performance
Existenz · Frage 3
Gibt es ein risikobasiertes Schwachstellen- und Patchmanagement?
Worauf achten?Erkennung, Priorisierung, Fristen, Ausnahmen und Legacy-Systeme einbeziehen.
Mögliche NachweiseVulnerability Policy; Scanberichte; Patch Reports
Regulatorischer BezugDORA Art. 8, 9; RTS 2024/1774 Art. 10
Passendes Framework-ThemaVulnerability & Patch
Umsetzung · Frage 4
Werden kritische Schwachstellen zeitnah bewertet und behandelt?
Worauf achten?Nicht nur CVSS: Exposition, Assetkritikalität und Threat Intelligence berücksichtigen.
Mögliche NachweiseTickets; Scan-Historie; Risikobewertung
Regulatorischer BezugDORA Art. 8(2), 9; RTS 2024/1774 Art. 10
Passendes Framework-ThemaVulnerability & Patch
Existenz · Frage 5
Sind Logging, Aufbewahrung und Zeitsynchronisation für relevante Systeme geregelt?
Worauf achten?Logs müssen für Detektion, Untersuchung und Nachweis nutzbar sein.
Mögliche NachweiseLogging Policy; SIEM-Konfiguration; NTP-Konzept
Regulatorischer BezugDORA Art. 9–10; RTS 2024/1774 Art. 12
Passendes Framework-ThemaLogging
Umsetzung · Frage 6
Sind Netzwerke angemessen segmentiert und Verbindungen kontrolliert?
Worauf achten?Kritische Zonen, administrative Netze und externe Verbindungen betrachten.
Mögliche NachweiseNetzplan; Firewallregeln; Segmentierungskonzept
Regulatorischer BezugDORA Art. 9(4)(b); RTS 2024/1774 Art. 13
Passendes Framework-ThemaNetzwerksicherheit
Wirksamkeit · Frage 7
Werden Firewall-/Netzwerkregeln regelmäßig auf Notwendigkeit und Angemessenheit geprüft?
Worauf achten?Veraltete Regeln und breite Freigaben sind typische Findings.
Mögliche NachweiseFirewall Reviews; Rezertifizierungen; Tickets
Regulatorischer BezugRTS 2024/1774 Art. 13
Passendes Framework-ThemaNetzwerksicherheit
Wirksamkeit · Frage 8
Wie wird erkannt, dass betriebliche Sicherheitskontrollen ausfallen oder umgangen werden?
Worauf achten?Monitoring der Kontrollen selbst und Alarmierung prüfen.
Mögliche NachweiseMonitoring; SIEM; Health Checks; Incident Tickets
Regulatorischer BezugDORA Art. 10
Passendes Framework-ThemaSecurity Monitoring
Umsetzung · Frage 9
Werden Schwachstelleninformationen aus vertrauenswürdigen Quellen sowie Schwachstellen in verwendeten Drittkomponenten und Bibliotheken systematisch berücksichtigt?
Worauf achten?Nicht nur interne Scans; externe Veröffentlichungen und Softwareabhängigkeiten einbeziehen.
Mögliche NachweiseVulnerability Feeds; SBOM/Dependency Reports; Tickets
Regulatorischer BezugRTS 2024/1774 Art. 10
Passendes Framework-ThemaVulnerability & Patch
Wirksamkeit · Frage 10
Werden Umfang und Frequenz von Schwachstellenscans anhand Kritikalität und Risiko festgelegt und die Abdeckung regelmäßig überprüft?
Worauf achten?Kritische/wichtige Funktionen und internetexponierte Systeme besonders betrachten.
Mögliche NachweiseScanplan; Coverage Report; Asset-Abgleich
Regulatorischer BezugRTS 2024/1774 Art. 10
Passendes Framework-ThemaVulnerability & Patch
Umsetzung · Frage 11
Sind Logdaten gegen Manipulation und unbefugten Zugriff geschützt und werden Aufbewahrungsfristen risikogerecht festgelegt?
Worauf achten?Sichere Aufbewahrung, Zugriffsschutz und Zweckbindung prüfen.
Mögliche NachweiseLogging Policy; SIEM Storage; Retention Settings
Regulatorischer BezugRTS 2024/1774 Art. 12
Passendes Framework-ThemaLogging
Umsetzung · Frage 12
Werden die für Zugriff, Kapazität, Changes, IKT-Betrieb und Netzwerkverkehr erforderlichen Ereignisse protokolliert?
Worauf achten?RTS Art. 12 benennt diese Ereigniskategorien ausdrücklich.
Mögliche NachweiseLogging Matrix; SIEM Source List; Stichprobe
Regulatorischer BezugRTS 2024/1774 Art. 12(2)(c)
Passendes Framework-ThemaLogging
Existenz · Frage 13
Sind eingesetzte IKT-Systeme, Protokolle und Tools aktuell, zuverlässig, ausreichend dimensioniert und technologisch resilient?
Worauf achten?Art. 7 verlangt nicht nur Capacity Monitoring, sondern einen belastbaren technischen Zustand der eingesetzten IKT.
Mögliche NachweiseLifecycle-Status; Architekturstandard; Capacity-/Availability Reports
Regulatorischer BezugDORA Art. 7
Passendes Framework-ThemaIT-Betrieb
Umsetzung · Frage 14
Kann die Netzarchitektur betroffene Bereiche bei Cyberangriffen erforderlichenfalls schnell isolieren oder segmentieren?
Worauf achten?Die Fähigkeit zur schnellen Eindämmung sollte technisch vorbereitet sein.
Mögliche NachweiseNetzsegmentierung; Firewall-/NAC-Konzept; Incident Runbook
Regulatorischer BezugDORA Art. 9(4)(b)
Passendes Framework-ThemaNetzwerksicherheit
← Zurück zur Übersicht DORA Audit & Selbstprüfung