1
DOC-GOV-02 · Erstellungshilfe
Governance – Rollen- und Verantwortungsmodell DORA/IKT-Risiko
Nachvollziehbare interne Zuordnung von Entscheidung, Verantwortung, Durchführung, Überwachung und unabhängiger Prüfung.
REGULATORISCHE BASIS
Warum steht das hier?
Die regulatorischen Quellen sind verbindliche Ausgangspunkte. Methoden und technische Hilfen darunter sind davon getrennt und keine zusätzlichen DORA-Pflichten.
KRITERIENKATALOG
Inhaltsverzeichnis mit Prüflogik
Jede Zeile kann zugleich als Kapitelvorschlag und als Prüfkriterium verwendet werden. Artikelangaben werden nur aus der verifizierten Mastermatrix übernommen; methodische Quellen sind als solche gekennzeichnet.
Rechtsquellen in den Kriterien stammen aus der verifizierten DORA-Mastermatrix. Wo eine Quelle mehrere Kapitel trägt, wird sie bewusst nicht künstlich auf einen einzelnen Absatz heruntergebrochen.
2
IKT-Risikokontrollfunktion
3
4
5
6
Drittparteiensteuerung
7
8
BSI-GEGENCHECK
Grundschutz++ als ergänzende BSI-Sicht
Die folgende Zuordnung ist keine zusätzliche DORA-Pflicht. Sie zeigt, welche Praktiken des neuen Grundschutz++ für dieses Dokument fachlich besonders relevant sind.
Methodischer Gegencheck:
Quellenregel: Die BSI-Sicht wird gegengeprüft. Sichtbar bleibt sie nur als zusätzliche Umsetzungshilfe oder Sicherheitskonkretisierung. Für die Fachmethode bleibt eine originärere Quelle – z. B. ITIL für Incident oder Change – vorrangig.
DIREKT NUTZBAR
Als Prüfprompt verwenden
Prüfe das bereitgestellte Dokument oder Produkt gegen den Kriterienkatalog DOC-GOV-02. Nenne je Kriterium Fundstelle bzw. Nachweis und bewerte: erfüllt, teilweise erfüllt, nicht nachgewiesen oder nicht erfüllt. Trenne regulatorische Lücken klar von methodischen Verbesserungsvorschlägen.
PRÜFLOGIK
Vom Inhaltsverzeichnis zum prüfbaren Kriterium
Die folgenden Prüfkriterien sind Evidence-Ableitungen. Sie helfen bei Dokument-, Produkt- und Dienstleisterprüfungen, sind aber keine zusätzlichen DORA-Pflichten.
01
Leitungsorgan
Für „Leitungsorgan“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
02
IKT-Risikokontrollfunktion
Für „IKT-Risikokontrollfunktion“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
03
IT
Für „IT“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
04
Informationssicherheit
Für „Informationssicherheit“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
05
Fachliche Owner
Für „Fachliche Owner“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
06
Drittparteiensteuerung
Für „Drittparteiensteuerung“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Vertrag/Anlage, Due-Diligence-Unterlagen, Leistungs-/Kontrollnachweise und Review.
07
Interne Revision
Für „Interne Revision“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
08
Eskalationswege
Für „Eskalationswege“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.