DORA Audit & Selbstprüfung
IKT-Risikomanagement
Risiken identifizieren, bewerten, behandeln, überwachen und nach wesentlichen Änderungen neu betrachten.
DORA Art. 6, 8, 13 · RTS 2024/1774 Art. 38 FragenFramework: Risk Management
Die Fragen sind als Gesprächs- und Stichprobenhilfe gedacht. Ein belastbarer Auditnachweis entsteht aus der Kombination von Dokumenten, tatsächlicher Umsetzung, Stichproben und Wirksamkeitsbelegen.
Auditfragen
Existenz · Frage 1
Gibt es eine dokumentierte Methode zur Identifikation und Bewertung von IKT-Risiken?
Worauf achten?Bewertungskriterien, Risikoeigner, Eintritt/Auswirkung und Behandlung müssen nachvollziehbar sein.
Mögliche NachweiseRisikomethode; Risikoregister; Bewertungsmatrix
Regulatorischer BezugDORA Art. 6; Art. 8
Passendes Framework-ThemaRisk Management
Umsetzung · Frage 2
Werden IKT-Risiken für alle relevanten Informations- und IKT-Assets sowie Abhängigkeiten betrachtet?
Worauf achten?Risikoanalyse und Asset-/Abhängigkeitsmodell müssen zusammenpassen.
Mögliche NachweiseRisikoregister; Assetregister; Abhängigkeitsübersichten
Regulatorischer BezugDORA Art. 8
Passendes Framework-ThemaAsset Management
Umsetzung · Frage 3
Werden Risiken aus wesentlichen Änderungen vor und nach der Änderung bewertet?
Worauf achten?Große Änderungen an Systemen, Diensten, Prozessen und Verfahren einbeziehen.
Mögliche NachweiseChange Records; Projekt-Risikoanalysen; Freigaben
Regulatorischer BezugDORA Art. 8(3); RTS 2024/1774 Art. 3
Passendes Framework-ThemaSichere Projektgestaltung
Umsetzung · Frage 4
Werden Testergebnisse und schwerwiegende Vorfälle in die Risikobewertung zurückgeführt?
Worauf achten?Prüfen, ob neue Erkenntnisse tatsächlich Risikowerte oder Maßnahmen verändern.
Mögliche NachweiseTestberichte; Incident Reviews; Risikoregister-Historie
Regulatorischer BezugDORA Art. 13; RTS 2024/1774 Art. 3
Passendes Framework-ThemaProblem Management & RCA
Existenz · Frage 5
Sind Risikobehandlungsoptionen und Regeln zur Risikoakzeptanz definiert?
Worauf achten?Akzeptanz muss auf angemessener Entscheidungsebene erfolgen.
Mögliche NachweiseRisikomethode; Akzeptanzentscheidungen; Maßnahmenpläne
Regulatorischer BezugDORA Art. 6
Passendes Framework-ThemaRisk Management
Wirksamkeit · Frage 6
Wie wird die Wirksamkeit von Risikominderungsmaßnahmen überprüft?
Worauf achten?Nicht nur Maßnahmenabschluss, sondern verbleibendes Risiko und Kontrollwirkung prüfen.
Mögliche NachweiseKontrolltests; Kennzahlen; Re-Assessments
Regulatorischer BezugDORA Art. 6; RTS 2024/1774 Art. 3
Passendes Framework-ThemaTesting & Assurance
Umsetzung · Frage 7
Werden Cyberbedrohungen und technologische Entwicklungen als Risikoquellen berücksichtigt?
Worauf achten?Threat Intelligence und Technologiebeobachtung sollten Eingang in Bewertungen finden.
Mögliche NachweiseThreat Reports; Risikoworkshops; Technologie-Reviews
Regulatorischer BezugDORA Art. 8(2); Art. 13(7)
Passendes Framework-ThemaBedrohungsinformationen
Wirksamkeit · Frage 8
Sind überfällige oder wiederholt akzeptierte hohe IKT-Risiken für das Management sichtbar?
Worauf achten?Prüfen, ob Eskalation und bewusste Entscheidung funktionieren.
Mögliche NachweiseRisikoberichte; Eskalationen; Managementbeschlüsse
Regulatorischer BezugDORA Art. 5–6
Passendes Framework-ThemaGovernance
← Zurück zur Übersicht DORA Audit & Selbstprüfung