1
DOC-REG-04 · Erstellungshilfe
Register / Inventar – Funktions-, Asset- und Abhängigkeitsinventar
Nachweisbare Identifikation und Abbildung von Funktionen, Informations-/IKT-Assets und Abhängigkeiten.
REGULATORISCHE BASIS
Warum steht das hier?
Die regulatorischen Quellen sind verbindliche Ausgangspunkte. Methoden und technische Hilfen darunter sind davon getrennt und keine zusätzlichen DORA-Pflichten.
KRITERIENKATALOG
Inhaltsverzeichnis mit Prüflogik
Jede Zeile kann zugleich als Kapitelvorschlag und als Prüfkriterium verwendet werden. Artikelangaben werden nur aus der verifizierten Mastermatrix übernommen; methodische Quellen sind als solche gekennzeichnet.
Rechtsquellen in den Kriterien stammen aus der verifizierten DORA-Mastermatrix. Wo eine Quelle mehrere Kapitel trägt, wird sie bewusst nicht künstlich auf einen einzelnen Absatz heruntergebrochen.
2
3
4
5
6
Drittdienstleisterabhängigkeiten
7
BSI-GEGENCHECK
Grundschutz++ als ergänzende BSI-Sicht
Die folgende Zuordnung ist keine zusätzliche DORA-Pflicht. Sie zeigt, welche Praktiken des neuen Grundschutz++ für dieses Dokument fachlich besonders relevant sind.
Methodischer Gegencheck:
Quellenregel: Die BSI-Sicht wird gegengeprüft. Sichtbar bleibt sie nur als zusätzliche Umsetzungshilfe oder Sicherheitskonkretisierung. Für die Fachmethode bleibt eine originärere Quelle – z. B. ITIL für Incident oder Change – vorrangig.
DIREKT NUTZBAR
Als Prüfprompt verwenden
Prüfe das bereitgestellte Dokument oder Produkt gegen den Kriterienkatalog DOC-REG-04. Nenne je Kriterium Fundstelle bzw. Nachweis und bewerte: erfüllt, teilweise erfüllt, nicht nachgewiesen oder nicht erfüllt. Trenne regulatorische Lücken klar von methodischen Verbesserungsvorschlägen.
PRÜFLOGIK
Vom Inhaltsverzeichnis zum prüfbaren Kriterium
Die folgenden Prüfkriterien sind Evidence-Ableitungen. Sie helfen bei Dokument-, Produkt- und Dienstleisterprüfungen, sind aber keine zusätzlichen DORA-Pflichten.
01
Geschäftsfunktionen
Für „Geschäftsfunktionen“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
02
Assets
Für „Assets“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
03
Owner/Rollen
Für „Owner/Rollen“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
04
Kritikalität
Für „Kritikalität“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
05
Interdependenzen
Für „Interdependenzen“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
06
Drittdienstleisterabhängigkeiten
Für „Drittdienstleisterabhängigkeiten“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Vertrag/Anlage, Due-Diligence-Unterlagen, Leistungs-/Kontrollnachweise und Review.
07
jährlicher Review
Für „jährlicher Review“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Test-/Prüfplan, Durchführung, Ergebnis, Findings, Maßnahmen und Nachverfolgung.