DORA Audit & Selbstprüfung
Personal, Awareness & Kommunikation
Sicherheitsanforderungen an Personal, Management-Schulung, Awareness und Krisenkommunikation.
DORA Art. 5(4), 13(6), 14 · RTS 2024/1774 Art. 19–2111 FragenFramework: Security Awareness & DORA-Kommunikation
Die Fragen sind als Gesprächs- und Stichprobenhilfe gedacht. Ein belastbarer Auditnachweis entsteht aus der Kombination von Dokumenten, tatsächlicher Umsetzung, Stichproben und Wirksamkeitsbelegen.
Auditfragen
Existenz · Frage 1
Sind IKT-Sicherheitsanforderungen im Personalprozess von Eintritt bis Austritt verankert?
Worauf achten?Rollen, Vertraulichkeit, Berechtigungen und Rückgabe berücksichtigen.
Mögliche NachweiseHR Policy; On-/Offboarding; IAM-Prozess
Regulatorischer BezugRTS 2024/1774 Art. 19–21
Passendes Framework-ThemaPersonalpolitik
Umsetzung · Frage 2
Erhalten alle Beschäftigten angemessene Programme zur IKT-Sicherheitsawareness und digitalen operationalen Resilienz?
Worauf achten?Rollen- und risikogerecht, nicht nur jährliches Standardtraining.
Mögliche NachweiseSchulungsplan; Inhalte; Teilnahme
Regulatorischer BezugDORA Art. 13(6)
Passendes Framework-ThemaSecurity Awareness
Umsetzung · Frage 3
Erhalten besonders exponierte Rollen vertiefte Schulungen?
Worauf achten?Admins, Incident-Rollen, Management und relevante Fachbereiche betrachten.
Mögliche NachweiseRollenspezifische Trainings; Nachweise
Regulatorischer BezugDORA Art. 13(6)
Passendes Framework-ThemaSecurity Awareness
Wirksamkeit · Frage 4
Wie wird geprüft, ob Awareness-Maßnahmen Verhalten und Erkennungsfähigkeit verbessern?
Worauf achten?Phishing-Simulationen, Übungen, Trends und Feedback nutzen.
Mögliche NachweiseAwareness KPI; Simulationen; Lessons Learned
Regulatorischer BezugDORA Art. 13(6)
Passendes Framework-ThemaKennzahlen
Existenz · Frage 5
Gibt es Kommunikationspläne für schwerwiegende IKT-Störungen und Krisen?
Worauf achten?Interne, externe und mediale Kommunikation sowie Zuständigkeiten berücksichtigen.
Mögliche NachweiseKrisenkommunikationsplan; Kontaktlisten
Regulatorischer BezugDORA Art. 14
Passendes Framework-ThemaDORA Kommunikation
Umsetzung · Frage 6
Sind Kommunikationsrollen mit Incident- und BC-Prozessen abgestimmt?
Worauf achten?Keine widersprüchlichen Eskalations- oder Freigabewege.
Mögliche NachweiseRACI; Incident Plan; BC Plan
Regulatorischer BezugDORA Art. 11, 14, 17
Passendes Framework-ThemaIncident Management
Wirksamkeit · Frage 7
Werden Kommunikationswege in Übungen praktisch getestet?
Worauf achten?Erreichbarkeit, Freigaben und alternative Kanäle prüfen.
Mögliche NachweiseÜbungsbericht; Alarmierungstest
Regulatorischer BezugDORA Art. 14, 24
Passendes Framework-ThemaResilience Testing
Umsetzung · Frage 8
Sind Beschäftigte über ihre konkreten Pflichten bei Sicherheitsereignissen und Vorfällen informiert?
Worauf achten?Meldewege müssen bekannt und einfach nutzbar sein.
Mögliche NachweiseAwareness Material; Meldekanal; Befragung
Regulatorischer BezugDORA Art. 13(6), 17
Passendes Framework-ThemaIncident Management
Existenz · Frage 9
Ist mindestens eine Person für die Umsetzung der Kommunikationsstrategie bei IKT-Vorfällen sowie die öffentliche und mediale Kommunikation benannt?
Worauf achten?Art. 14(3) verlangt eine konkrete Zuständigkeit.
Mögliche NachweiseRollenbeschreibung; Krisenkommunikationsplan
Regulatorischer BezugDORA Art. 14(3)
Passendes Framework-ThemaDORA Kommunikation
Umsetzung · Frage 10
Erfüllen Beschäftigte und eingesetzte IKT-Drittdienstleister mit Zugriff auf IKT-Assets die für sie geltenden Sicherheitsrichtlinien und kennen sie die vorgesehenen Meldekanäle für auffälliges Verhalten?
Worauf achten?Der HR-RTS erfasst auch relevantes Personal von IKT-Drittdienstleistern.
Mögliche NachweiseHR-/Supplier-Regelungen; Awareness; Vertragsklauseln
Regulatorischer BezugRTS 2024/1774 Art. 19
Passendes Framework-ThemaPersonalpolitik
Existenz · Frage 11
Ermöglichen Krisenkommunikationspläne eine verantwortungsvolle Information über mindestens schwerwiegende IKT-Vorfälle oder Schwachstellen an Kunden, Gegenparteien und gegebenenfalls die Öffentlichkeit?
Worauf achten?Art. 14 verlangt nicht nur interne Kommunikation, sondern eine vorbereitete externe Offenlegung, soweit angemessen.
Mögliche NachweiseKrisenkommunikationsplan; Vorlagen; Freigaberegel
Regulatorischer BezugDORA Art. 14(1)
Passendes Framework-ThemaDORA Kommunikation
← Zurück zur Übersicht DORA Audit & Selbstprüfung