CYB-001
Fachlich geprüft
Identifikation & Schutz
Identifikation und Bewertung von Cyber-Risiken
Cyber-Risiken werden systematisch identifiziert, bewertet und im institutsweiten Risikomanagement verankert.
- Sollzustand
- Ein regelmäßiger Risikobewertungsprozess identifiziert Bedrohungen, Verwundbarkeiten und Auswirkungen auf kritische Geschäftsprozesse.
Umsetzungsschritte
-
Cyber-Risikoinventar mit Bezug zu Geschäftsprozessen und IKT-Werten erstellen.
-
Bedrohungs- und Verwundbarkeitsanalyse mindestens jährlich durchführen.
-
Risikobewertung nach einem definierten Schema (z.B. Ausmaß x Eintrittswahrscheinlichkeit) dokumentieren.
Nachweise
- Risikoinventar mit aktueller Bewertung
- Jährlicher Risikobericht an das Leitungsorgan
ISO:
A.5.1
A.5.7
A.5.8
DORA: DORA Art. 6 und 8 (IKT-Risikomanagementrahmen und Identifikation)
Level 2: Delegierte Verordnung (EU) 2024/1774, Art. 3
MaRisk, orientierend: MaRisk AT 7.2, BT 3.1
Fachreview: 11.08.2026
· Rolle: Plattformverantwortlicher
· Wiedervorlage: 11.08.2027
CYB-002
Fachlich geprüft
Identifikation & Schutz
Schutz kritischer Informationswerte
Vertraulichkeit, Integrität und Verfügbarkeit kritischer Informationen sind durch angemessene Schutzmaßnahmen gewährleistet.
- Sollzustand
- Informationswerte sind klassifiziert, mit Eigentümern versehen und durch risikoadäquate Schutzmaßnahmen gesichert.
Umsetzungsschritte
-
Informationsklassifizierungsrichtlinie nach Vertraulichkeit und Kritikalität einführen.
-
Schutzbedarfsfeststellung für alle kritischen IKT-Anwendungen durchführen.
-
Zugriffsrechte und Verschlüsselung nach Klassifizierungsstufe umsetzen.
Nachweise
- Klassifizierungsmatrix für Informationswerte
- Schutzbedarfsfeststellung für IKT-Anwendungen
ISO:
A.5.9
A.5.10
A.8.1
DORA: DORA Art. 8 und 9 (Identifikation, Schutz und Prävention)
Level 2: Delegierte Verordnung (EU) 2024/1774, Art. 11
MaRisk, orientierend: MaRisk AT 7.2, BT 2.1
Fachreview: 11.08.2026
· Rolle: Plattformverantwortlicher
· Wiedervorlage: 11.08.2027
CYB-003
Fachlich geprüft
Identifikation & Schutz
Netzwerksicherheitsarchitektur
Die Netzwerkinfrastruktur ist gegen unbefugte Zugriffe und laterale Bewegung segmentiert und geschützt.
- Sollzustand
- Eine mehrschichtige Netzwerksicherheitsarchitektur mit segmentierten Zonen, Firewalls und Intrusion-Detection ist implementiert.
Umsetzungsschritte
-
Netzwerksegmentierung nach Sicherheitszonen (untrusted, DMZ, intern, hochsensibel) umsetzen.
-
Firewall-Regelwerk mit Änderungsprozess und regelmäßigem Review betreiben.
-
Netzwerkverkehrsanalyse und Anomalieerkennung für kritische Segmente einführen.
Nachweise
- Netzwerkarchitekturdiagramm mit Sicherheitszonen
- Firewall-Regelwerksdokumentation und Änderungsnachweise
ISO:
A.8.20
A.8.21
A.8.22
DORA: DORA Art. 9 (Schutz und Prävention)
Level 2: Delegierte Verordnung (EU) 2024/1774, Art. 13
MaRisk, orientierend: MaRisk AT 7.2, BT 2.2
Fachreview: 11.08.2026
· Rolle: Plattformverantwortlicher
· Wiedervorlage: 11.08.2027
CYB-004
Fachlich geprüft
Identifikation & Schutz
Endgerätesicherheit und Mobile Device Management
Alle Endgeräte sind gegen Schadsoftware, Diebstahl und unbefugte Nutzung geschützt.
- Sollzustand
- Einheitliche Sicherheitskonfiguration, Verschlüsselung und Fernlöschfunktion für alle dienstlichen Endgeräte sind etabliert.
Umsetzungsschritte
-
Mobile-Device-Management-Loesung für zentrale Konfiguration und Überwachung einführen.
-
Festplattenverschlüsselung und Bildschirmsperre für alle Endgeräte vorschreiben.
-
Regelmäßige Inventarisierung und Compliance-Prüfung der Endgeräte durchführen.
Nachweise
- MDM-Konfigurationsrichtlinie und Durchsetzungsnachweis
- Inventarliste mit Compliance-Status aller Endgeräte
ISO:
A.7.1
A.7.6
A.8.1
DORA: DORA Art. 9 (Schutz und Prävention)
Level 2: Delegierte Verordnung (EU) 2024/1774, Art. 11
MaRisk, orientierend: MaRisk BT 2.2
Fachreview: 11.08.2026
· Rolle: Plattformverantwortlicher
· Wiedervorlage: 11.08.2027
CYB-005
Fachlich geprüft
Identifikation & Schutz
Zugriffssteuerung und Identity Management
Nur berechtigte Nutzer erhalten Zugriff auf Systeme und Daten, nach dem Prinzip der minimalen Rechtevergabe.
- Sollzustand
- Ein zentrales Identity- und Access-Management mit rollenbasierten Berechtigungen und regelmäßigen Berechtigungsreviews ist etabliert.
Umsetzungsschritte
-
IAM-System mit Lifecycle-Management für Identitäten einführen.
-
Rollenbasierte Zugriffssteuerung (RBAC) für alle IKT-Systeme umsetzen.
-
Berechtigungsreviews mindestens vierteljährlich durchführen und dokumentieren.
Nachweise
- IAM-Richtlinie mit Berechtigungsmatrix
- Durchgeführte Berechtigungsreviews der letzten vier Quartale
ISO:
A.5.15
A.5.16
A.5.18
DORA: DORA Art. 9 (Schutz und Prävention)
Level 2: Delegierte Verordnung (EU) 2024/1774, Art. 20 und 21
MaRisk, orientierend: MaRisk AT 7.2, BT 2.1
Fachreview: 11.08.2026
· Rolle: Plattformverantwortlicher
· Wiedervorlage: 11.08.2027
CYB-006
Fachlich geprüft
Erkennung & Reaktion
Schwachstellenmanagement und Patch-Management
Sicherheitslücken in IKT-Systemen werden systematisch erkannt, bewertet und zeitnah geschlossen.
- Sollzustand
- Ein automatisierter Patch-Prozess mit Risikoklassifizierung und definierten Umsetzungsfristen ist implementiert.
Umsetzungsschritte
-
Schwachstellenscanner für alle relevanten Systeme einschließlich Betriebssysteme und Anwendungen betreiben.
-
Patch-Richtlinie mit kritischen, hohen, mittleren und niedrigen Prioritäten und zugehörigen Fristen definieren.
-
Notfall-Patch-Prozess für kritische Schwachstellen (zero-day) etablieren.
Nachweise
- Schwachstellen-Scanberichte mit Trendanalyse
- Patch-Statusbericht mit Einhaltung der Umsetzungsfristen
ISO:
A.8.8
A.8.34
DORA: DORA Art. 9 (Schutz und Prävention)
Level 2: Delegierte Verordnung (EU) 2024/1774, Art. 10
MaRisk, orientierend: MaRisk BT 2.2
Fachreview: 11.08.2026
· Rolle: Plattformverantwortlicher
· Wiedervorlage: 11.08.2027
CYB-007
Fachlich geprüft
Erkennung & Reaktion
Erkennung von Cyber-Vorfällen (SIEM/SOC)
Cyber-Vorfälle werden frühzeitig durch zentralisierte Überwachung und Analyse erkannt.
- Sollzustand
- Ein Security-Information-and-Event-Management (SIEM) mit dediziertem Security-Operations-Center (SOC) ist betriebsbereit.
Umsetzungsschritte
-
SIEM-Plattform mit zentraler Log-Aggregation und Korrelationsregeln einführen.
-
Use-Case-Katalog für Erkennungsregeln definieren und regelmäßig aktualisieren.
-
SOC-Betriebsmodell mit Eskalationsstufen und Reaktionszeiten festlegen.
Nachweise
- SIEM-Architektur und Regelkatalog
- SOC-Betriebsdokumentation mit gemeldeten Vorfällen
ISO:
A.8.15
A.8.16
DORA: DORA Art. 10 (Erkennung)
Level 2: Delegierte Verordnung (EU) 2024/1774, Art. 12 und 24
MaRisk, orientierend: MaRisk AT 7.2, BT 3.2
Fachreview: 11.08.2026
· Rolle: Plattformverantwortlicher
· Wiedervorlage: 11.08.2027
CYB-008
Fachlich geprüft
Erkennung & Reaktion
Reaktion auf Cyber-Vorfälle (Incident Response)
Cyber-Vorfälle werden nach einem strukturierten Prozess analysiert, eingedämmt, beseitigt und dokumentiert.
- Sollzustand
- Ein Incident-Response-Plan mit definierten Rollen, Kommunikationswegen und Wiederherstellungsverfahren ist erprobt.
Umsetzungsschritte
-
Incident-Response-Plan mit Phasen (Vorbereitung, Identifikation, Eindämmung, Beseitigung, Wiederherstellung, Nachbereitung) erstellen.
-
IR-Team mit benannten Rollen und Stellvertretern einsetzen.
-
Regelmäßige Tabletop-Übungen und Simulationen durchführen.
Nachweise
- Incident-Response-Plan in aktueller Version
- Durchgeführte Übungen mit Erkenntnissen und Verbesserungsmaßnahmen
ISO:
A.5.24
A.5.25
A.5.26
DORA: DORA Art. 11 und 17 (Reaktion, Wiederherstellung und Vorfallmanagement)
Level 2: Delegierte Verordnung (EU) 2024/1774, Art. 23
MaRisk, orientierend: MaRisk BT 3.2
Fachreview: 11.08.2026
· Rolle: Plattformverantwortlicher
· Wiedervorlage: 11.08.2027
CYB-009
Fachlich geprüft
Wiederherstellung
Wiederherstellung und Business Continuity
Nach einem Cyber-Vorfall werden kritische Geschäftsprozesse innerhalb definierter Zeitziele wiederhergestellt.
- Sollzustand
- Business-Continuity-Management (BCM) und Disaster-Recovery-Planung sind auf Cyber-Risiken ausgelegt und regelmäßig getestet.
Umsetzungsschritte
-
BCM-Richtlinie mit RTO/RPO für kritische Geschäftsprozesse definieren.
-
Disaster-Recovery-Pläne für IKT-Systeme inklusive Cyber-Szenarien (Ransomware, Datenverlust) erstellen.
-
Wiederherstellungsübungen mindestens jährlich durchführen und Ergebnisse dokumentieren.
Nachweise
- BCM-Richtlinie mit RTO/RPO-Tabelle
- DR-Übungsberichte mit gemessenen Wiederherstellungszeiten
ISO:
A.5.29
A.5.30
DORA: DORA Art. 11 und 12 (Reaktion, Wiederherstellung, Backup)
Level 2: Delegierte Verordnung (EU) 2024/1774, Art. 25 und 26
MaRisk, orientierend: MaRisk AT 7.3, BT 3.3
Fachreview: 11.08.2026
· Rolle: Plattformverantwortlicher
· Wiedervorlage: 11.08.2027
CYB-010
Fachlich geprüft
Drittparteien & Lieferkette
Lieferketten-Cyber-Sicherheit
Cyber-Risiken durch Drittanbieter und Dienstleister werden identifiziert, bewertet und gesteuert.
- Sollzustand
- Ein Lieferketten-Risikomanagement bewertet die Cyber-Sicherheit kritischer Lieferanten und Dienstleister vor Vertragsabschluss und fortlaufend.
Umsetzungsschritte
-
Lieferantenklassifizierung nach Kritikalität für Cyber-Sicherheit durchführen.
-
Sicherheitsanforderungen in Verträgen und SLAs verankern (z.B. Meldepflichten, Audits).
-
Regelmäßige Überprüfung der Lieferanten-Sicherheitslage mittels Fragebögen oder Audits.
Nachweise
- Lieferantenklassifizierungsmatrix mit Cyber-Risikobewertung
- Vertragsklauseln zu Sicherheitsanforderungen und Audits
ISO:
A.5.19
A.5.20
A.5.21
DORA: DORA Art. 28 bis 30 (IKT-Drittparteienrisiko und Vertragsanforderungen)
Level 2: Delegierte Verordnung (EU) 2024/1773
MaRisk, orientierend: MaRisk AT 9, BT 4
Fachreview: 11.08.2026
· Rolle: Plattformverantwortlicher
· Wiedervorlage: 11.08.2027
CYB-011
Fachlich geprüft
Governance & Kultur
Sicherheitsbewusstsein und Schulung
Mitarbeiter sind für Cyber-Risiken sensibilisiert und verhalten sich sicherheitsbewusst.
- Sollzustand
- Ein rollenbasiertes Schulungsprogramm vermittelt Cyber-Sicherheitskompetenz und wird regelmäßig auf Wirksamkeit geprüft.
Umsetzungsschritte
-
Sicherheitsschulungsprogramm für alle Mitarbeiter mindestens jährlich durchführen.
-
Risikogruppen (Führungskräfte, IT-Administratoren, Entwickler) mit spezifischen Modulen adressieren.
-
Wirksamkeitsmessung mittels Phishing-Simulationen und Wissenschecks etablieren.
Nachweise
- Schulungsplan und Teilnahmebescheinigungen
- Phishing-Simulationsergebnisse mit Trendentwicklung
ISO:
A.5.6
A.6.3
DORA: DORA Art. 5 Abs. 4 und Art. 13 Abs. 6 (Kenntnisse und Schulungen)
Level 2: Delegierte Verordnung (EU) 2024/1774, Art. 2
MaRisk, orientierend: MaRisk AT 7.2
Fachreview: 11.08.2026
· Rolle: Plattformverantwortlicher
· Wiedervorlage: 11.08.2027
CYB-012
Fachlich geprüft
Governance & Kultur
Governance und Reporting von Cyber-Risiken
Die Führungsebene steuert Cyber-Risiken strategisch und erhält entscheidungsrelevante Informationen.
- Sollzustand
- Ein Cyber-Governance-Rahmen mit festgelegten Verantwortlichkeiten, Berichtslinien und Eskalationsprozessen ist implementiert.
Umsetzungsschritte
-
Cyber-Sicherheitsbeirat oder -Lenkungskreis mit Geschäftsführungsbeteiligung einrichten.
-
Regelmäßiges Cyber-Reporting mit Kennzahlen (Bedrohungslage, Incidents, Maßnahmenstatus) für das Leitungsorgan etablieren.
-
Cyber-Risikobericht mindestens vierteljährlich mit Priorisierung und Handlungsempfehlungen vorlegen.
Nachweise
- Sitzungsprotokolle des Cyber-Lenkungskreises
- Cyber-Reporting-Dashboard mit aktuellen Kennzahlen
ISO:
A.5.1
A.5.2
A.5.4
DORA: DORA Art. 5 und 6 (Governance und IKT-Risikomanagementrahmen)
Level 2: Delegierte Verordnung (EU) 2024/1774, Art. 2 und 27
MaRisk, orientierend: MaRisk AT 4.3.1, AT 7.2
Fachreview: 11.08.2026
· Rolle: Plattformverantwortlicher
· Wiedervorlage: 11.08.2027
