1
DOC-CON-02 · Erstellungshilfe
Vertragsstandard – Zusatzstandard für IKT-Dienstleistungen kritischer/wichtiger Funktionen
Zusätzliche Anforderungen für kritische/wichtige Funktionen.
REGULATORISCHE BASIS
Warum steht das hier?
Die regulatorischen Quellen sind verbindliche Ausgangspunkte. Methoden und technische Hilfen darunter sind davon getrennt und keine zusätzlichen DORA-Pflichten.
KRITERIENKATALOG
Inhaltsverzeichnis mit Prüflogik
Jede Zeile kann zugleich als Kapitelvorschlag und als Prüfkriterium verwendet werden. Artikelangaben werden nur aus der verifizierten Mastermatrix übernommen; methodische Quellen sind als solche gekennzeichnet.
Rechtsquellen in den Kriterien stammen aus der verifizierten DORA-Mastermatrix. Wo eine Quelle mehrere Kapitel trägt, wird sie bewusst nicht künstlich auf einen einzelnen Absatz heruntergebrochen.
2
Monitoring
3
Audit-/Zugangsrechte
4
BC/Security
5
Subcontracting
6
7
Transition
BSI-GEGENCHECK
Grundschutz++ als ergänzende BSI-Sicht
Die folgende Zuordnung ist keine zusätzliche DORA-Pflicht. Sie zeigt, welche Praktiken des neuen Grundschutz++ für dieses Dokument fachlich besonders relevant sind.
Quellenregel: Die BSI-Sicht wird gegengeprüft. Sichtbar bleibt sie nur als zusätzliche Umsetzungshilfe oder Sicherheitskonkretisierung. Für die Fachmethode bleibt eine originärere Quelle – z. B. ITIL für Incident oder Change – vorrangig.
DIREKT NUTZBAR
Als Prüfprompt verwenden
Prüfe das bereitgestellte Dokument oder Produkt gegen den Kriterienkatalog DOC-CON-02. Nenne je Kriterium Fundstelle bzw. Nachweis und bewerte: erfüllt, teilweise erfüllt, nicht nachgewiesen oder nicht erfüllt. Trenne regulatorische Lücken klar von methodischen Verbesserungsvorschlägen.
PRÜFLOGIK
Vom Inhaltsverzeichnis zum prüfbaren Kriterium
Die folgenden Prüfkriterien sind Evidence-Ableitungen. Sie helfen bei Dokument-, Produkt- und Dienstleisterprüfungen, sind aber keine zusätzlichen DORA-Pflichten.
01
SLA
Für „SLA“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
02
Monitoring
Für „Monitoring“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Konfiguration, Logbeispiele, Alarm-/Review-Nachweise und Aufbewahrungsregel.
03
Audit-/Zugangsrechte
Für „Audit-/Zugangsrechte“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Test-/Prüfplan, Durchführung, Ergebnis, Findings, Maßnahmen und Nachverfolgung.
04
BC/Security
Für „BC/Security“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
05
Subcontracting
Für „Subcontracting“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
06
Exit
Für „Exit“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
07
Transition
Für „Transition“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.