1
DOC-REP-01 · Erstellungshilfe
Nachweis / Bericht – Die Überprüfung des IKT-Risikomanagementrahmens
Nachweis der regelmäßigen RMF-Überprüfung.
REGULATORISCHE BASIS
Warum steht das hier?
Die regulatorischen Quellen sind verbindliche Ausgangspunkte. Methoden und technische Hilfen darunter sind davon getrennt und keine zusätzlichen DORA-Pflichten.
KRITERIENKATALOG
Inhaltsverzeichnis mit Prüflogik
Jede Zeile kann zugleich als Kapitelvorschlag und als Prüfkriterium verwendet werden. Artikelangaben werden nur aus der verifizierten Mastermatrix übernommen; methodische Quellen sind als solche gekennzeichnet.
Rechtsquellen in den Kriterien stammen aus der verifizierten DORA-Mastermatrix. Wo eine Quelle mehrere Kapitel trägt, wird sie bewusst nicht künstlich auf einen einzelnen Absatz heruntergebrochen.
2
3
4
5
BSI-GEGENCHECK
Grundschutz++ als ergänzende BSI-Sicht
Die folgende Zuordnung ist keine zusätzliche DORA-Pflicht. Sie zeigt, welche Praktiken des neuen Grundschutz++ für dieses Dokument fachlich besonders relevant sind.
Methodischer Gegencheck:
BSI-Standard 200-1 – Managementsysteme für InformationssicherheitBSI-Standard 200-3 – Risikomanagement
Quellenregel: Die BSI-Sicht wird gegengeprüft. Sichtbar bleibt sie nur als zusätzliche Umsetzungshilfe oder Sicherheitskonkretisierung. Für die Fachmethode bleibt eine originärere Quelle – z. B. ITIL für Incident oder Change – vorrangig.
DIREKT NUTZBAR
Als Prüfprompt verwenden
Prüfe das bereitgestellte Dokument oder Produkt gegen den Kriterienkatalog DOC-REP-01. Nenne je Kriterium Fundstelle bzw. Nachweis und bewerte: erfüllt, teilweise erfüllt, nicht nachgewiesen oder nicht erfüllt. Trenne regulatorische Lücken klar von methodischen Verbesserungsvorschlägen.
PRÜFLOGIK
Vom Inhaltsverzeichnis zum prüfbaren Kriterium
Die folgenden Prüfkriterien sind Evidence-Ableitungen. Sie helfen bei Dokument-, Produkt- und Dienstleisterprüfungen, sind aber keine zusätzlichen DORA-Pflichten.
01
Änderungen
Für „Änderungen“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
02
Feststellungen
Für „Feststellungen“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
03
Verbesserungen
Für „Verbesserungen“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
04
Maßnahmen
Für „Maßnahmen“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.
05
Genehmigung
Für „Genehmigung“ sind konkrete Vorgaben, Zuständigkeiten und die tatsächliche Anwendung nachvollziehbar. Geeignete Nachweise zeigen, wie der Aspekt umgesetzt und – soweit erforderlich – überprüft oder aktualisiert wird.
Möglicher Nachweis: Freigegebene Dokumentation plus nachvollziehbarer operativer Nachweis der tatsächlichen Anwendung.