DORA Audit & Selbstprüfung
Schutz, Prävention & Kryptographie
Technische und organisatorische Schutzmaßnahmen, sichere Konfiguration, Kryptographie und Datenübertragung.
DORA Art. 9 · RTS 2024/1774 Art. 6–8, 11, 148 FragenFramework: Daten & Informationsschutz
Die Fragen sind als Gesprächs- und Stichprobenhilfe gedacht. Ein belastbarer Auditnachweis entsteht aus der Kombination von Dokumenten, tatsächlicher Umsetzung, Stichproben und Wirksamkeitsbelegen.
Auditfragen
Existenz · Frage 1
Sind Informationssicherheitsrichtlinien und technische Schutzmaßnahmen aus Risiken und Klassifikation abgeleitet?
Worauf achten?Zusammenhang zwischen Risiko, Schutzbedarf und Kontrolle muss erkennbar sein.
Mögliche NachweiseSecurity Policies; Baselines; Risikobehandlung
Regulatorischer BezugDORA Art. 9
Passendes Framework-ThemaInformationsschutz
Umsetzung · Frage 2
Sind sichere Konfigurationsstandards für relevante Systeme definiert und umgesetzt?
Worauf achten?Abweichungen, Ausnahmen und regelmäßige Reviews betrachten.
Mögliche NachweiseHardening Baselines; Compliance Reports; Ausnahmen
Regulatorischer BezugDORA Art. 9; RTS 2024/1774 Art. 8, 11
Passendes Framework-ThemaSichere Konfiguration
Existenz · Frage 3
Gibt es Regeln für Verschlüsselung und kryptographische Kontrollen entsprechend Datenklassifikation und Risiko?
Worauf achten?At rest, in transit und Schlüssel-/Zertifikatsmanagement einbeziehen.
Mögliche NachweiseKryptorichtlinie; Architektur; Klassifikation
Regulatorischer BezugDORA Art. 9(4)(d); RTS 2024/1774 Art. 6–7
Passendes Framework-ThemaKryptographie
Umsetzung · Frage 4
Wie werden kryptographische Schlüssel und Zertifikate über ihren Lebenszyklus verwaltet?
Worauf achten?Erzeugung, Speicherung, Rotation, Ablauf, Sperrung und Wiederherstellung betrachten.
Mögliche NachweiseKey Inventory; Zertifikatsregister; Verfahren
Regulatorischer BezugRTS 2024/1774 Art. 7
Passendes Framework-ThemaKryptographie
Umsetzung · Frage 5
Werden Daten bei Übertragung angemessen geschützt?
Worauf achten?Externe und interne Netze, APIs, administrative Verbindungen berücksichtigen.
Mögliche NachweiseNetzdesign; TLS-Konfiguration; Transferverfahren
Regulatorischer BezugDORA Art. 9; RTS 2024/1774 Art. 14
Passendes Framework-ThemaNetzwerksicherheit
Wirksamkeit · Frage 6
Wie wird überprüft, ob Schutzmaßnahmen technisch noch wirksam sind?
Worauf achten?Vulnerability Scans, Konfigurationsprüfungen und Tests als Nachweis nutzen.
Mögliche NachweiseScanberichte; Penetrationstests; Compliance Checks
Regulatorischer BezugDORA Art. 9; Art. 24–25
Passendes Framework-ThemaTesting & Assurance
Umsetzung · Frage 7
Sind Regeln für Wechselmedien, Datenexporte und sonstige Datenübertragungen vorhanden?
Worauf achten?Schutz gegen unkontrollierte Offenlegung und Verlust prüfen.
Mögliche NachweiseDLP-Regeln; Transferfreigaben; Richtlinien
Regulatorischer BezugDORA Art. 9
Passendes Framework-ThemaInformationsschutz
Wirksamkeit · Frage 8
Werden Ausnahmen von Sicherheitsstandards zeitlich befristet, risikobewertet und nachverfolgt?
Worauf achten?Dauerhafte Ausnahmen ohne Risikosteuerung sind Warnsignal.
Mögliche NachweiseException Register; Risikoakzeptanzen; Maßnahmen
Regulatorischer BezugDORA Art. 6; Art. 9
Passendes Framework-ThemaRisk Management
← Zurück zur Übersicht DORA Audit & Selbstprüfung