Regulatory

DORA – Rollen & Verantwortung

DORA trennt Verantwortung, operative Durchführung, Kontrolle und unabhängige Prüfung. Das Framework bildet diese Rollen bewusst getrennt ab, damit keine Aufgabe pauschal „der IT“ zugeschoben wird.

Rollen sauber voneinander trennen

Entscheidet

Entscheidungskompetenz nur dort zuordnen, wo Rechtsquelle oder Organisationsmodell sie trägt.

Verantwortet

Fachliche oder übergeordnete Verantwortung von operativer Durchführung trennen.

Führt aus

Operative Aufgaben den tatsächlich zuständigen Funktionen zuordnen – nicht pauschal der IT.

Berät / überwacht

Informationssicherheit und weitere Kontrollfunktionen entsprechend Mandat einordnen.

Prüft unabhängig

Unabhängige Prüfung und Revision nicht mit operativer Steuerung vermischen.

Praxisregel: Entscheidung, Verantwortung, Ausführung, Beratung/Überwachung und unabhängige Prüfung dürfen in Nachweisen nicht miteinander vermischt werden.