1
DOC-REG-03 · Erstellungshilfe
Register / Inventar – IKT-Vorfalls- und Cyberbedrohungsaufzeichnungen
Nachvollziehbare Aufzeichnung aller IKT-Vorfälle und erheblicher Cyberbedrohungen.
REGULATORISCHE BASIS
Warum steht das hier?
Die regulatorischen Quellen sind verbindliche Ausgangspunkte. Methoden und technische Hilfen darunter sind davon getrennt und keine zusätzlichen DORA-Pflichten.
KRITERIENKATALOG
Inhaltsverzeichnis mit Prüflogik
Jede Zeile kann zugleich als Kapitelvorschlag und als Prüfkriterium verwendet werden. Artikelangaben werden nur aus der verifizierten Mastermatrix übernommen; methodische Quellen sind als solche gekennzeichnet.
Rechtsquellen in den Kriterien stammen aus der verifizierten DORA-Mastermatrix. Wo eine Quelle mehrere Kapitel trägt, wird sie bewusst nicht künstlich auf einen einzelnen Absatz heruntergebrochen.
2
3
4
5
6
BSI-GEGENCHECK
Grundschutz++ als ergänzende BSI-Sicht
Die folgende Zuordnung ist keine zusätzliche DORA-Pflicht. Sie zeigt, welche Praktiken des neuen Grundschutz++ für dieses Dokument fachlich besonders relevant sind.
GRUNDSCHUTZ++ · ASST · Informationen & AssetsGRUNDSCHUTZ++ · STM · StrukturmodellierungGRUNDSCHUTZ++ · REA · SicherheitsvorfallsbehandlungGRUNDSCHUTZ++ · DET · Detektion
Methodischer Gegencheck:
Quellenregel: Die BSI-Sicht wird gegengeprüft. Sichtbar bleibt sie nur als zusätzliche Umsetzungshilfe oder Sicherheitskonkretisierung. Für die Fachmethode bleibt eine originärere Quelle – z. B. ITIL für Incident oder Change – vorrangig.
DIREKT NUTZBAR
Als Prüfprompt verwenden
Prüfe das bereitgestellte Dokument oder Produkt gegen den Kriterienkatalog DOC-REG-03. Nenne je Kriterium Fundstelle bzw. Nachweis und bewerte: erfüllt, teilweise erfüllt, nicht nachgewiesen oder nicht erfüllt. Trenne regulatorische Lücken klar von methodischen Verbesserungsvorschlägen.
PRÜFLOGIK
Vom Inhaltsverzeichnis zum prüfbaren Kriterium
Die folgenden Prüfkriterien sind Evidence-Ableitungen. Sie helfen bei Dokument-, Produkt- und Dienstleisterprüfungen, sind aber keine zusätzlichen DORA-Pflichten.
01
Zeit
Für „Zeit“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
02
Klassifizierung
Für „Klassifizierung“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
03
Auswirkungen
Für „Auswirkungen“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
04
Maßnahmen
Für „Maßnahmen“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
05
Eskalationen
Für „Eskalationen“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
06
Abschluss
Für „Abschluss“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.