Anforderungen · DORA · Audit & Selbstprüfung
Ebene 3 · Evidence · DORA prüfen
DORA Audit & Selbstprüfung
Vom regulatorischen Kriterium zur prüfbaren Frage: thematisch, praxisnah und mit möglichen Nachweisen.
So ist der Katalog zu verwenden: Die Fragen übersetzen regulatorische Anforderungen in prüfbare Gespräche. Sie sind bewusst nicht als Ja/Nein-Checkliste formuliert. Zu jeder Frage werden Prüffokus, mögliche Nachweise, Rechtsbezug und das passende Framework-Thema angegeben.
Prüflogik
1
Existenz
Ist die geforderte Regelung, Methode oder Verantwortung überhaupt vorhanden?
2
Umsetzung
Wird sie im Alltag tatsächlich angewendet und lässt sich das nachvollziehen?
3
Wirksamkeit
Funktioniert die Maßnahme und führt sie bei Abweichungen zu Verbesserung?
Themenbezogene Auditfragen
20 Themenkomplexe mit insgesamt 198 Fragen. Bedingte Anforderungen – insbesondere TLPT, freiwillige Meldung erheblicher Cyberbedrohungen und Cyber-Informationsaustausch – sind ausdrücklich als solche gekennzeichnet.
| Nr. | Themenkomplex | Was wird geprüft? | Umfang | Regulatorischer Bezug | |
|---|---|---|---|---|---|
| 01 | Governance & Leitungsorgan | Verantwortung, Steuerung, IKT-Risikotoleranz und regelmäßige Überwachung durch das Leitungsorgan. | 8 Fragen | DORA Art. 4–6 · RTS 2024/1774 Art. 1–3, 27 | Auditfragen öffnen → |
| 02 | IKT-Risikomanagement | Risiken identifizieren, bewerten, behandeln, überwachen und nach wesentlichen Änderungen neu betrachten. | 8 Fragen | DORA Art. 6, 8, 13 · RTS 2024/1774 Art. 3 | Auditfragen öffnen → |
| 03 | Assets, Abhängigkeiten & Klassifikation | Informations- und IKT-Assets, Eigentümer, Kritikalität, Abhängigkeiten und Konfigurationen beherrschen. | 8 Fragen | DORA Art. 8 · RTS 2024/1774 Art. 4–5 | Auditfragen öffnen → |
| 04 | Schutz, Prävention & Kryptographie | Technische und organisatorische Schutzmaßnahmen, sichere Konfiguration, Kryptographie und Datenübertragung. | 8 Fragen | DORA Art. 9 · RTS 2024/1774 Art. 6–8, 11, 14 | Auditfragen öffnen → |
| 05 | Identitäten, Berechtigungen & PAM | Identitätslebenszyklus, Least Privilege, starke Authentisierung und privilegierte Zugriffe. | 8 Fragen | DORA Art. 9(4)(c)–(d) · RTS 2024/1774 Art. 20–21 | Auditfragen öffnen → |
| 06 | IKT-Betrieb, Netzwerk & Schwachstellen | Betriebssicherheit, Kapazität, Logging, Netzwerk, Schwachstellen und Patches. | 8 Fragen | DORA Art. 7, 9–10 · RTS 2024/1774 Art. 8–14 | Auditfragen öffnen → |
| 07 | Projekte, Entwicklung & Change | Sicherheitsanforderungen in Projekten, Beschaffung, Entwicklung, Wartung und Änderungen. | 8 Fragen | DORA Art. 8(3), 9 · RTS 2024/1774 Art. 15–17 | Auditfragen öffnen → |
| 08 | Monitoring, Erkennung & Threat Intelligence | Anomalien, Ereignisse und Cyberbedrohungen rechtzeitig erkennen und bewerten. | 8 Fragen | DORA Art. 10, 13(1),(7), 17 · RTS 2024/1774 Art. 12, 22–23 | Auditfragen öffnen → |
| 09 | Incident Management & Root Cause | Vorfälle behandeln, eskalieren, Ursachen analysieren und aus ihnen lernen. | 8 Fragen | DORA Art. 17 · RTS 2024/1774 Art. 22–23 | Auditfragen öffnen → |
| 10 | Major Incident Reporting | Schwerwiegende IKT-Vorfälle klassifizieren und fristgerecht mit den vorgesehenen Formularen melden. | 8 Fragen | DORA Art. 18–19 · RTS 2024/1772 · RTS 2025/301 · ITS 2025/302 | Auditfragen öffnen → |
| 11 | Business Continuity, BIA & Krisenmanagement | Kritische Funktionen, Auswirkungen, Kontinuitätspläne und Krisenorganisation beherrschen. | 8 Fragen | DORA Art. 11 · RTS 2024/1774 Art. 24 | Auditfragen öffnen → |
| 12 | Backup, Restore & Recovery | Sicherungen, Wiederherstellung, RTO/RPO und Integrität praktisch beherrschen. | 8 Fragen | DORA Art. 11–12 · RTS 2024/1774 Art. 25–26 | Auditfragen öffnen → |
| 13 | Resilienz- & Sicherheitstests | Risikobasiertes Testprogramm, Findings, Wiederholungstests und bedingte TLPT-Anforderungen. | 8 Fragen | DORA Art. 24–27 · RTS 2025/1190 (TLPT bedingt) | Auditfragen öffnen → |
| 14 | IKT-Drittdienstleister & Konzentrationsrisiko | Due Diligence, Kritikalität, Konzentration, laufende Überwachung und Exit. | 8 Fragen | DORA Art. 28–29 · RTS 2024/1773 | Auditfragen öffnen → |
| 15 | Verträge, Untervergabe & Exit | DORA-Vertragsinhalte, Unterauftragnehmer, Änderungsrechte und geordneter Ausstieg. | 8 Fragen | DORA Art. 30 · RTS 2025/532 | Auditfragen öffnen → |
| 16 | Informationsregister | Vollständiges, konsistentes und meldefähiges Register der IKT-Drittdienstleisterbeziehungen. | 8 Fragen | DORA Art. 28(3) · ITS 2024/2956 | Auditfragen öffnen → |
| 17 | Personal, Awareness & Kommunikation | Sicherheitsanforderungen an Personal, Management-Schulung, Awareness und Krisenkommunikation. | 8 Fragen | DORA Art. 5(4), 13(6), 14 · RTS 2024/1774 Art. 19–21 | Auditfragen öffnen → |
| 18 | Lernen, Kennzahlen & Verbesserung | Erkenntnisse aus Vorfällen, Tests und Kontrollen in messbare Verbesserungen überführen. | 8 Fragen | DORA Art. 6(5)–(8), 11(10), 13 | Auditfragen öffnen → |
| 19 | Cyber-Informationsaustausch | Freiwilligen Austausch von Cyberbedrohungsinformationen kontrolliert und regulatorisch sauber gestalten. | 6 Fragen | DORA Art. 45 | Auditfragen öffnen → |
| 20 | Physische & umgebungsbezogene Sicherheit | Standorte, Technikbereiche und IKT-Assets vor unbefugtem Zutritt, Unfällen und Umweltgefahren schützen. | 6 Fragen | RTS 2024/1774 Art. 18 | Auditfragen öffnen → |
Was der Katalog nicht ist
Er ersetzt weder eine Rechtsprüfung noch verlangt DORA, dass jede hier formulierte Frage wortgleich beantwortet wird. Die Fragen helfen dabei, Existenz, Umsetzung und Wirksamkeit der im Regulatory bereits zugeordneten Anforderungen nachvollziehbar zu prüfen.