DORA – Einordnung im Framework
DORA stellt Anforderungen an die digitale operationale Resilienz von Finanzunternehmen. Das Framework bildet diese Anforderungen über neutrale Sicherheits- und Governance-Bausteine ab.
Worum geht es?
DORA verlangt unter anderem Governance und ICT-Risikomanagement, Schutz und Prävention, Erkennung, Reaktion und Wiederherstellung, Incident-Management und Meldung, Resilienztests sowie ICT-Drittrisikomanagement. Die fachlichen Onepager bleiben davon unabhängig formuliert.
Einordnen
Welche Pflichten und Ziele enthält die Vorgabe?
Mappen
Welche neutralen Framework-Bausteine tragen zur Umsetzung bei?
Nachweisen
Welche Evidenz zeigt die tatsächliche Umsetzung?
Wie DORA auf bestehende Sicherheitsstrukturen abgebildet wird
Was bleibt bewusst auf der DORA-Ebene?
Das neutrale Framework bildet die fachlichen Fähigkeiten ab. DORA-spezifische Register-, Kommunikations- und Dokumentationsformen werden als regulatorische Sichten darauf geführt.
Informationsregister
Regulatorische Sicht auf IKT-Drittparteiverträge, Services, unterstützte Funktionen und Lieferketten.
Einordnen →Vorfallkommunikation
Besondere regulatorische Kommunikations- und Eskalationsanforderungen neben dem fachlichen Incident- und Krisenmanagement.
Einordnen →Personalpolitik
DORA-Anforderungen werden auf IAM, Awareness, Ownership und Personal-Lifecycle gemappt.
Einordnen →Kann aus dem Framework die geforderte Dokumentation entstehen?
DORA und die BaFin-Dokumentationsübersicht werden hier als Negativtest verwendet: Für jede wesentliche Dokumentationsanforderung muss eine fachliche Grundlage aus Themen, Methoden und Capabilities des Frameworks vorhanden sein. Die regulatorische Dokumentform bleibt davon getrennt.
Risikomanagement & Governance
Risk Management, Asset Management, Rollen, Audit & Assurance sowie Bewerten & Verbessern liefern die fachlichen Grundlagen für Rahmenwerk, Inventare, Reviews und Follow-up.
Betrieb & Schutz
IKT-Betrieb, Capacity & Performance, Kryptographie, Netzwerk, IAM/PAM, Vulnerability/Patch, Logging, sichere Entwicklung und Change bilden die operativen Richtlinien- und Verfahrensgrundlagen.
Resilienz & Vorfälle
BIA, Business Continuity, Backup/Recovery, Resilienztests, Incident Management, Threat Intelligence und Kommunikation tragen Geschäftsfortführung, Reaktion, Wiederherstellung und Nachweis.
Drittparteien & Exit
Supplier Management, Asset-/Service-Abhängigkeiten, Exit & Portability und regulatorische Sichten wie Informationsregister bilden die Grundlage für Drittparteiensteuerung und Ausstiegspläne.
Im Framework weiterarbeiten
DORA – Einordnung im Framework
Compliance wird belastbarer, wenn externe Anforderungen auf ein fachlich funktionierendes Sicherheits- und Governance-System treffen.
DORA vollständig im Regulatory prüfen
Die regulatorische Detailansicht verbindet DORA-Artikel, RTS/ITS, Dokumentation, Nachweise und die thematischen Auditfragen mit dem ISMS-Framework.