ICT risk management should be implemented as an end-to-end system of governance, risk analysis, protective measures, monitoring, evidence, and management reporting.
Disclaimer: Diese Seite stellt eine originäre Zusammenstellung praktischer Umsetzungshinweise für DORA IKT-Risikomanagement dar. Sie dient ausschließlich der internen Strukturierung und Planung und erhebt keinen Anspruch auf Vollständigkeit oder Rechtsverbindlichkeit. Es wird keine Rechtsberatung angeboten.
IKT-Risikomanagement — Selbstcheck
10 Fragen zu Governance, Framework, Identifikation, Schutz, Erkennung, Reaktion und Wiederherstellung.
Score: /100
Operating Model
Das Leitungsorgan trägt die Gesamtverantwortung für das IKT-Risikomanagement und verankert Strategie, Risikoappetit und Ressourcenbudget.
Ein Three-Lines-Modell trennt operative Umsetzung (Fachbereiche/IT), Überwachung (Risikocontrolling/Informationssicherheit) und Prüfung (Revision).
IKT-Risiken werden in einem zentralen Inventar erfasst, bewertet und mit Kontrollen, Maßnahmen und Nachweisen verknüpft.
Berichtslinien, Eskalationsschwellen und Entscheidungswege sind dokumentiert und im Kontrollbetrieb nachweisbar.
Kontinuierliche Verbesserung wird durch regelmäßige Reifegradbewertung und Wirksamkeitsprüfungen gesteuert.
Sollzustand
Governance: Rahmenwerk, Rollen, Strategie und Risikoappetit sind dokumentiert, freigegeben und im Betrieb verankert.
Risikoidentifikation: IKT-Risikoinventar, Schutzbedarfsfeststellung und Risikoanalyse sind vollständig und aktuell.
Risikobehandlung: Behandlungsoptionen sind festgelegt, Maßnahmen umgesetzt, Restrisiken akzeptiert.
Kontrollsystem: Kontrollziele, Kontrollen, Wirksamkeitsprüfungen und Nachweise sind etabliert.
Monitoring: Frühwarnindikatoren, Reporting und Eskalationsprozesse sind institutionalisiert.
Integration: DORA, MaRisk und ISO 27001 Anforderungen sind konsistent gemappt und werden gemeinschaftlich bedient.
Umsetzungsschritte
IKT-Governance-Rahmenwerk erstellen und durch Leitungsorgan freigeben lassen.
Rollenmodell (RACI) für IKT-Risikomanagement institutsweit definieren und kommunizieren.
IKT-Risikoinventar aufbauen und mit Schutzbedarfsfeststellung verknüpfen.
Risikoanalyse und -bewertung für alle identifizierten IKT-Risiken durchführen.
Risikobehandlungsplan mit Maßnahmen, Fristen und Verantwortlichen erstellen.
Kontrollsystem mit Kontrollzielen, Kontrollen und Nachweisen aufbauen.
Frühwarnindikatoren und Management-Reporting etablieren.
Reifegradmodell einführen und erste Bewertung durchführen.
Integration mit MaRisk- und ISO 27001-Anforderungen herstellen.
Lückenanalyse
IKT-Risikomanagement Maßnahmenkatalog
18 priorisierte Sollmaßnahmen für das IKT-Risikomanagement nach DORA Kapitel II.
DORA-IRM-001revieweddefined
Governance-Rahmen für IKT-Risikomanagement etablieren
Das Institut verfügt über einen dokumentierten Governance-Rahmen, der IKT-Risikomanagement als integralen Bestandteil des gesamtinstitutischen Risikomanagements verankert.
Themenbereich
IKT-Risikomanagement
Sollzustand
Ein vom Leitungsorgan freigegebener Governance-Rahmen definiert Ziele, Prinzipien, Verantwortlichkeiten, Entscheidungswege, Eskalationsschwellen und Berichtslinien für das IKT-Risikomanagement. Der Rahmen wird mindestens jährlich überprüft und bei wesentlichen Änderungen aktualisiert.
DORA / MaRisk
DORA Art. 5 Abs. 1 (Governance), Art. 6 Abs. 1 (Rahmen für IKT-Risikomanagement) | MaRisk AT 4.3.1, AT 4.4.1
Umsetzungsschritte
IST-Governance für IKT-Risikomanagement aufnehmen und gegen DORA-Anforderungen mappen.
Governance-Rahmen mit Leitungsorgan-Verantwortung, Ausschüssen, Rollen und Entscheidungswegen entwerfen.
Eskalationsschwellen für IKT-Risiken in Zusammenarbeit mit Risikocontrolling festlegen.
Rahmen durch Leitungsorgan freigeben und in der Organisation kommunizieren.
Jährlichen Review-Prozess für den Governance-Rahmen institutionalisieren.
Beispielnachweise
Freigegebener Governance-Rahmen (aktuell)
Gremienbeschluss zur Verabschiedung
Eskalationsmatrix für IKT-Risiken
Review-Protokoll mit Änderungshistorie
ISO/IEC 27001 Anker
A.5.1A.5.2A.5.3A.5.36
ID: DORA-IRM-001
DORA-IRM-002reviewedmanaged
Rollen und Verantwortlichkeiten im IKT-Risikomanagement definieren
Rollen, Aufgaben, Kompetenzen und Verantwortlichkeiten für das IKT-Risikomanagement sind institutsweit eindeutig zugeordnet und dokumentiert.
Themenbereich
IKT-Risikomanagement
Sollzustand
Ein verbindliches Rollenmodell weist Verantwortlichkeiten für IKT-Risikoidentifikation, -bewertung, -behandlung, -überwachung und -berichterstattung zu. Dritte-Verteidigungslinie (Revision) prüft die Wirksamkeit des Gesamtsystems.
DORA / MaRisk
DORA Art. 5 Abs. 2 (Rollen), Art. 6 Abs. 3 (Personal) | MaRisk AT 4.4.1 (Aufbauorganisation), AT 7.1 (Personal)
Umsetzungsschritte
RACI-Matrix für IKT-Risikomanagement mit Fachbereichen, IT, Risikocontrolling, Informationssicherheit und Revision erstellen.
Stellvertretungsregelungen für jede Schlüsselrolle festlegen.
Rollen in Stellenbeschreibungen und Zielvereinbarungen integrieren.
Rollenverständnis durch Schulungen und Kommunikation sicherstellen.
Beispielnachweise
Rollen- und Verantwortungsmatrix (RACI)
Stellenbeschreibungen mit IKT-Risikobezug
Schulungsnachweise für Rolleninhaber
Review-Protokoll der Rollenverteilung
ISO/IEC 27001 Anker
A.5.2A.5.3A.5.37
ID: DORA-IRM-002
DORA-IRM-003revieweddefined
IKT-Risikostrategie und Risikoappetit festlegen
Das Institut verfügt über eine dokumentierte IKT-Risikostrategie, die den Risikoappetit, die Risikotragfähigkeit und strategische Ziele für IKT-Risiken definiert.
Themenbereich
IKT-Risikomanagement
Sollzustand
Die IKT-Risikostrategie ist mit der Geschäftsstrategie und dem gesamtinstitutischen Risikoappetit abgestimmt. Sie definiert quantitative und qualitative Risikoschwellen, Prioritäten und Maßnahmen bei Schwellwertverletzungen.
DORA / MaRisk
DORA Art. 6 Abs. 1 lit. a–b (Strategie), Art. 6 Abs. 4 (Dokumentation) | MaRisk AT 4.2.1 (Risikostrategie), AT 4.3.2 (Risikotragfähigkeit)
Umsetzungsschritte
IKT-Risikoappetit aus gesamtnstitutischem Risikoappetit ableiten und operationalisieren.
IKT-Risikostrategie mit Zielen, Schwellenwerten und Überwachungskennzahlen formulieren.
Strategie durch Leitungsorgan freigeben und jährlich überprüfen.
Abweichungen von der Strategie als Eskalationsereignis definieren.
Beispielnachweise
Freigegebene IKT-Risikostrategie (aktuell)
Risikoappetit-Erklärung mit Schwellenwerten
Jährlicher Strategie-Review mit Beschluss
Abweichungsbericht bei Strategieverletzung
ISO/IEC 27001 Anker
A.5.1A.5.4A.5.36
ID: DORA-IRM-003
DORA-IRM-004revieweddefined
IKT-Risikoinventar aufbauen und aktuell halten
Alle identifizierten IKT-Risiken werden in einem zentralen Risikoinventar erfasst, bewertet und aktuell gehalten.
Themenbereich
IKT-Risikomanagement
Sollzustand
Ein vollständiges IKT-Risikoinventar erfasst jede identifizierte Gefährdung mit Risikobeschreibung, Eintrittswahrscheinlichkeit, Schadenshöhe, Risikowert, Verantwortlichem, Behandlungsoption, Frist und Status. Das Inventar wird mindestens quartalsweise aktualisiert.
DORA / MaRisk
DORA Art. 6 Abs. 1 lit. c (Risikoidentifikation), Art. 7 (Risikobewertung) | MaRisk AT 4.3.3 (Risikoinventar), BT 1 (IKT-Risiken)
Umsetzungsschritte
Risikokategorien für IKT-Risiken definieren (strategisch, operativ, Compliance, Reputation).
Risikoinventar-Vorlage mit Pflichtfeldern entwickeln.
Ersterfassung durch Fachbereiche, IT und Informationssicherheit durchführen.
Regelmässige Aktualisierung (quartalsweise) und Konsolidierung institutionalisieren.
Inventar mit Kontrollsystem und Maßnahmentracking verknüpfen.
Beispielnachweise
IKT-Risikoinventar (vollständig, aktuell)
Risikoklassifikation und -kategorien
Aktualisierungsprotokolle je Quartal
Abgleich mit Kontroll- und Maßnahmensystem
ISO/IEC 27001 Anker
A.5.7A.5.8A.5.9A.8.8
ID: DORA-IRM-004
DORA-IRM-005revieweddefined
Schutzbedarfsfeststellung für IKT-Assets durchführen
Der Schutzbedarf aller IKT-Assets wird hinsichtlich Vertraulichkeit, Integrität und Verfügbarkeit systematisch festgestellt und dokumentiert.
Themenbereich
IKT-Risikomanagement
Sollzustand
Eine vollständige Schutzbedarfsfeststellung liegt für alle IKT-Assets (Anwendungen, Systeme, Daten, Netzwerke, Infrastruktur) vor. Die Einstufung erfolgt einheitlich anhand definierter Kriterien und wird bei wesentlichen Änderungen aktualisiert.
Schutzbedarfskategorien (normal, hoch, sehr hoch) für Vertraulichkeit, Integrität und Verfügbarkeit definieren.
Bewertungsmatrix mit Kriterien je Kategorie entwickeln.
IKT-Assets identifizieren und Schutzbedarf je Asset bestimmen.
Ergebnisse dokumentieren und regelmässig (mindestens jährlich) aktualisieren.
Beispielnachweise
Schutzbedarfsfeststellung für alle IKT-Assets
Bewertungsmatrix und Kriterienkatalog
Aktualisierungsprotokoll
Abweichungsanalyse bei geändertem Schutzbedarf
ISO/IEC 27001 Anker
A.5.9A.5.10A.8.1A.8.2
ID: DORA-IRM-005
DORA-IRM-006reviewedmanaged
IKT-Risikoanalyse und -bewertung durchführen
IKT-Risiken werden systematisch analysiert, bewertet und priorisiert, um risikobasierte Entscheidungen zu ermöglichen.
Themenbereich
IKT-Risikomanagement
Sollzustand
Eine standardisierte Risikoanalyse bewertet identifizierte IKT-Risiken nach Eintrittswahrscheinlichkeit und Schadenshöhe. Die Ergebnisse werden in einer Risikomatrix visualisiert und priorisiert. Wesentliche Risiken werden mit Behandlungsoptionen und Fristen versehen.
DORA / MaRisk
DORA Art. 7 (Risikoanalyse und -bewertung) | MaRisk AT 4.3.3 (Risikoanalyse), BT 1.2
Risikomatrix mit Eintrittswahrscheinlichkeit, Schadenshöhe und Risikoklassen definieren.
Risikoanalyse für alle erfassten IKT-Risiken durchführen.
Ergebnisse priorisieren und in Risikobericht aufnehmen.
Beispielnachweise
Risikoanalysebericht (aktuell)
Risikomatrix mit Bewertung aller IKT-Risiken
Priorisierungsliste mit Behandlungskategorien
Risikobericht an Leitungsorgan
ISO/IEC 27001 Anker
A.5.7A.5.8A.8.8
ID: DORA-IRM-006
DORA-IRM-007reviewedmanaged
IKT-Risikobehandlung steuern und dokumentieren
Für jedes identifizierte und bewertete IKT-Risiko wird eine Behandlungsoption festgelegt und umgesetzt.
Themenbereich
IKT-Risikomanagement
Sollzustand
Ein Risikobehandlungsplan dokumentiert für jedes wesentliche IKT-Risiko die gewählte Option (Vermeiden, Reduzieren, Übertragen, Akzeptieren), zugehörige Maßnahmen, Verantwortliche, Fristen und den Status der Umsetzung. Risikoakzeptanz erfolgt auf der dafür vorgesehenen Management-Ebene.
DORA / MaRisk
DORA Art. 8 (Schutzmaßnahmen), Art. 9 (Risikobehandlung) | MaRisk AT 4.3.4 (Risikobehandlung), BT 2
Risikobehandlungsplan mit Maßnahmen, Verantwortlichen und Fristen erstellen.
Akzeptanzkriterien und Genehmigungsstufen für Risikoakzeptanz festlegen.
Umsetzung der Maßnahmen verfolgen und Wirksamkeit nachweisen.
Restrisiken dokumentieren und managementseitig freigeben.
Beispielnachweise
Risikobehandlungsplan (aktuell)
Maßnahmenübersicht mit Status und Fristen
Risikoakzeptanzdokumentation mit Genehmigung
Wirksamkeitsnachweise umgesetzter Maßnahmen
ISO/IEC 27001 Anker
A.5.7A.5.8A.5.29A.8.3
ID: DORA-IRM-007
DORA-IRM-008revieweddefined
Kontrollsystem für IKT-Risikomanagement aufbauen
Ein dokumentiertes Kontrollsystem stellt die Wirksamkeit der IKT-Risikomanagement-Maßnahmen sicher.
Themenbereich
IKT-Risikomanagement
Sollzustand
Das Kontrollsystem umfasst risikobasierte Kontrollziele, Kontrollen (präventiv, detektiv, korrektiv), Kontrollfrequenzen, Verantwortliche, Nachweise und Review-Zyklen. Kontrollergebnisse werden dokumentiert und bei Abweichungen eskalieren.
DORA / MaRisk
DORA Art. 8 (Kontrollsystem), Art. 10 (Wirksamkeit) | MaRisk AT 4.4.2 (Kontrollsystem), BT 2.1
Umsetzungsschritte
Kontrollziele aus IKT-Risikoinventar und Schutzbedarf ableiten.
Kontrolltypen (präventiv/detektiv/korrektiv) und -frequenzen festlegen.
Kontrollen in Verantwortung der Fachbereiche, IT und Informationssicherheit betreiben.
Kontrollergebnisse dokumentieren und bei Abweichungen Maßnahmen einleiten.
Beispielnachweise
Kontrollsystem-Dokumentation mit Kontrollmatrix
Durchgeführte Kontrollen mit Ergebnissen
Abweichungsberichte und Maßnahmen
Kontroll-Review-Protokoll
ISO/IEC 27001 Anker
A.5.7A.5.8A.8.8A.8.15
ID: DORA-IRM-008
DORA-IRM-009revieweddefined
Wirksamkeitsprüfung von IKT-Kontrollen institutionalisieren
Die Wirksamkeit der IKT-Kontrollen wird regelmässig geprüft, dokumentiert und bei Feststellungen nachgesteuert.
Themenbereich
IKT-Risikomanagement
Sollzustand
Ein standardisierter Prozess prüft die Wirksamkeit aller IKT-Kontrollen mindestens jährlich. Die Prüfung umfasst Design-Wirksamkeit und operative Wirksamkeit. Ergebnisse werden dokumentiert, mit Soll-Zustand abgeglichen und Maßnahmen bei Abweichungen eingeleitet.
DORA / MaRisk
DORA Art. 10 (Wirksamkeit und Überwachung) | MaRisk AT 4.4.2 Tz. 3 (Wirksamkeit), BT 2.2
Umsetzungsschritte
Prüfmethodik für Design-Wirksamkeit und operative Wirksamkeit festlegen.
Prüfplan mit Priorisierung (risikobasiert) und Frequenzen erstellen.
Wirksamkeitsprüfungen durchführen und Ergebnisse dokumentieren.
Maßnahmen bei nicht wirksamen Kontrollen ableiten und nachverfolgen.
Beispielnachweise
Prüfplan für Wirksamkeitsnachweise (jährlich)
Durchgeführte Wirksamkeitsprüfungen mit Ergebnissen
Maßnahmenplan bei nicht wirksamen Kontrollen
Management-Freigabe der Prüfergebnisse
ISO/IEC 27001 Anker
A.5.35A.5.36A.8.8A.9.1
ID: DORA-IRM-009
DORA-IRM-010revieweddefined
Kritische IKT-Dienstleistungen identifizieren und Schutzbedarf bestimmen
Kritische IKT-Dienstleistungen und deren Schutzbedarf werden identifiziert und in das IKT-Risikomanagement einbezogen.
Themenbereich
IKT-Risikomanagement
Sollzustand
Eine institutsspezifische Definition und Identifikation kritischer IKT-Dienstleistungen ist etabliert. Der Schutzbedarf dieser Dienstleistungen hinsichtlich Vertraulichkeit, Integrität und Verfügbarkeit ist dokumentiert und wird bei Änderungen aktualisiert.
DORA / MaRisk
DORA Art. 7 Abs. 3 (Kritische Dienstleistungen), Art. 8 Abs. 2 | MaRisk AT 9 (Auslagerungen), BT 3 (Notfallmanagement)
Umsetzungsschritte
Kriterien für kritische IKT-Dienstleistungen definieren.
IKT-Dienstleistungen identifizieren und Kritikalität bewerten.
Schutzbedarf je kritischer Dienstleistung feststellen.
Ergebnisse mit IKT-Risikoinventar und Kontrollsystem verknüpfen.
Beispielnachweise
Kriterienkatalog für kritische IKT-Dienstleistungen
Bewertung der Kritikalität je Dienstleistung
Schutzbedarfsfeststellung für kritische Dienstleistungen
Verknüpfung mit Risikoinventar und Kontrollen
ISO/IEC 27001 Anker
A.5.9A.5.10A.5.19A.8.1
ID: DORA-IRM-010
DORA-IRM-011revieweddefined
IKT-Risikoüberwachung mit Frühwarnindikatoren betreiben
IKT-Risiken werden kontinuierlich überwacht und Frühwarnindikatoren zeigen Risikoveränderungen zeitnah an.
Themenbereich
IKT-Risikomanagement
Sollzustand
Ein Kennzahlensystem mit Frühwarnindikatoren (KRI) für IKT-Risiken ist definiert und in Betrieb. Die Kennzahlen werden regelmässig erhoben, überwacht und bei Schwellwertverletzungen wird eskaliert. Trends und Veränderungen werden analysiert und berichtet.
DORA / MaRisk
DORA Art. 10 (Überwachung), Art. 11 (Frühwarnung) | MaRisk AT 4.3.5 (Frühwarnung), BT 1.3
Umsetzungsschritte
Frühwarnindikatoren für IKT-Risiken identifizieren und definieren.
Schwellenwerte (Grün/Gelb/Rot) für jeden Indikator festlegen.
Automatisierte Datenerhebung und Berichterstattung aufbauen.
Regelmässige Überprüfung der Indikatoren auf Aussagekraft und Aktualität.
Beispielnachweise
Frühwarnindikatoren-Übersicht mit aktuellen Werten
Schwellwert-Definition und Eskalationsregeln
Monitoring-Bericht mit Trendanalyse
Eskalationsnachweise bei Schwellwertverletzung
ISO/IEC 27001 Anker
A.5.7A.5.8A.5.35A.8.16
ID: DORA-IRM-011
DORA-IRM-012reviewedmanaged
Management-Reporting zu IKT-Risiken etablieren
Das Management erhält regelmässig entscheidungsrelevante Informationen über die IKT-Risikolage, Kontrollstatus, Vorfälle und Maßnahmenfortschritt.
Themenbereich
IKT-Risikomanagement
Sollzustand
Ein standardisiertes Reporting informiert das Management quartalsweise über die IKT-Risikolage: Risikoinventar-Entwicklung, Kontrollergebnisse, Frühwarnindikatoren, wesentliche Vorfälle, Maßnahmenstatus und Reifegradentwicklung.
DORA / MaRisk
DORA Art. 5 Abs. 3 (Berichtspflichten), Art. 11 (Risikoberichterstattung) | MaRisk AT 4.3.1 (Reporting), BT 1.4
Umsetzungsschritte
Reporting-Kennzahlen und Berichtsvorlage für IKT-Risiken definieren.
Berichtsrhythmus (quartalsweise) und Ad-hoc-Berichtsanlässe festlegen.
Reporting in das gesamtinstitutische Risikoberichtswesen integrieren.
Reporting regelmässig auf Aussagekraft und Entscheidungsrelevanz prüfen.
IKT-Risikobericht an das Leitungsorgan sicherstellen
Das Leitungsorgan erhält regelmässig einen umfassenden Bericht über die IKT-Risikolage und die Wirksamkeit des IKT-Risikomanagements.
Themenbereich
IKT-Risikomanagement
Sollzustand
Ein jährlicher IKT-Risikobericht informiert das Leitungsorgan über die Risikolage, wesentliche Risikoveränderungen, Kontrollergebnisse, Wirksamkeitsprüfungen, Reifegradentwicklung, Ressourcen- und Budgetbedarf sowie strategische Empfehlungen.
DORA / MaRisk
DORA Art. 5 Abs. 1 (Leitungsorgan), Art. 11 Abs. 2 | MaRisk AT 4.3.1 (Leitungsorgan), AT 4.4.1
Umsetzungsschritte
Berichtsanforderungen des Leitungsorgans für IKT-Risiken erheben.
Jährlichen IKT-Risikobericht mit Standardvorlage erstellen.
Berichtstermin mit Jahresplanung des Leitungsorgans abstimmen.
Berichtsergebnisse in strategische Planung und Budgetierung einsteuern.
Beispielnachweise
IKT-Risikobericht an Leitungsorgan (jährlich)
Sitzungsprotokoll mit Behandlung des Berichts
Beschlussvorlage mit Maßnahmen
Nachverfolgung der Beschlüsse
ISO/IEC 27001 Anker
A.5.1A.5.4A.5.36A.5.37
ID: DORA-IRM-013
DORA-IRM-014revieweddefined
Eskalationsprozess für IKT-Risiken definieren und betreiben
Wesentliche IKT-Risiken, Kontrollabweichungen und Vorfälle werden zeitnah und auf der richtigen Management-Ebene eskaliert.
Themenbereich
IKT-Risikomanagement
Sollzustand
Ein dokumentierter Eskalationsprozess definiert Eskalationsauslöser, -stufen, -empfänger, -fristen und Kommunikationswege für IKT-Risiken. Eskalationen werden dokumentiert, nachverfolgt und auf Wirksamkeit geprüft.
DORA / MaRisk
DORA Art. 5 Abs. 2 (Eskalation), Art. 6 Abs. 2 | MaRisk AT 4.4.1 (Entscheidungswege), BT 3.2
Eskalationsstufen und Entscheidungsbefugnisse je Stufe festlegen.
Kommunikationswege und -formate für Eskalationen standardisieren.
Eskalationsprozess regelmässig testen und schulen.
Beispielnachweise
Eskalationsmatrix mit Auslösern und Stufen
Dokumentierte Eskalationsfälle mit Verlauf
Eskalationstest-Protokoll
Schulungsnachweise für Eskalationsprozess
ISO/IEC 27001 Anker
A.5.2A.5.3A.5.24A.5.35
ID: DORA-IRM-014
DORA-IRM-015revieweddefined
Nachweis- und Evidenzmodell für IKT-Risikomanagement aufbauen
Alle IKT-Risikomanagement-Aktivitäten sind revisionssicher nachweisbar und mit dem Evidenzmodell der Plattform verknüpft.
Themenbereich
IKT-Risikomanagement
Sollzustand
Ein standardisiertes Evidenzmodell ordnet jeder IKT-Risikomanagement-Anforderung konkrete Nachweise zu. Nachweise sind mit Verantwortlichen, Review-Zyklen und Aufbewahrungsfristen versehen. Das Modell wird regelmässig auf Vollständigkeit und Aktualität geprüft.
DORA / MaRisk
DORA Art. 6 Abs. 4 (Dokumentation), Art. 10 Abs. 3 | MaRisk AT 4.4.2 (Dokumentation), BT 2.3
Umsetzungsschritte
Evidenzkategorien für IKT-Risikomanagement definieren.
Nachweiszuordnung zu jeder DORA-IRM-Anforderung herstellen.
Review-Zyklen und Verantwortliche je Nachweis festlegen.
Evidenzmodell mit Kontrollsystem und Maßnahmentracking verknüpfen.
Beispielnachweise
Evidenzmodell IKT-Risikomanagement (vollständig)
Nachweisverzeichnis mit Zuordnung zu Anforderungen
Review-Protokoll der Evidenzen
Verknüpfung mit Kontroll- und Maßnahmensystem
ISO/IEC 27001 Anker
A.5.33A.5.34A.5.35A.5.36
ID: DORA-IRM-015
DORA-IRM-016revieweddefined
Integration von DORA, MaRisk und ISO 27001 im IKT-Risikomanagement
Die Anforderungen aus DORA, MaRisk und ISO/IEC 27001:2022 werden im IKT-Risikomanagement konsistent und aufwandsminimierend integriert.
Themenbereich
IKT-Risikomanagement
Sollzustand
Ein integriertes Anforderungsmapping zeigt die Korrespondenz zwischen DORA-IRM-Artikeln, MaRisk-AT/BT-Ziffern und ISO/IEC 27001:2022-Kontrollen. Gemeinsame Nachweise, Kontrollen und Berichtsformate werden genutzt, um Doppelarbeiten zu vermeiden.
DORA / MaRisk
DORA Art. 6 Abs. 1, Art. 15 (Konsistenz) | MaRisk AT 1 (Anwendungsbereich), AT 4.1 (Gesamtverantwortung)
Umsetzungsschritte
Anforderungsmapping zwischen DORA IRM, MaRisk und ISO 27001 durchführen.
Gemeinsame Kontrollziele und Nachweise identifizieren.
Integrierte Berichts- und Nachweisstruktur aufbauen.
Abweichungen und Zusatzanforderungen je Regulation dokumentieren.
Beispielnachweise
Anforderungsmapping DORA–MaRisk–ISO 27001
Gemeinsame Kontrollzielmatrix
Integrierte Nachweisstruktur
Abweichungsanalyse je Regulation
ISO/IEC 27001 Anker
A.5.1A.5.36A.5.37A.6.1
ID: DORA-IRM-016
DORA-IRM-017reviewedinitial
Reifegradmodell für IKT-Risikomanagement etablieren
Der Reifegrad des IKT-Risikomanagements wird regelmässig gemessen, berichtet und als Grundlage für Verbesserungsmaßnahmen genutzt.
Themenbereich
IKT-Risikomanagement
Sollzustand
Ein institutsspezifisches Reifegradmodell bewertet alle Dimensionen des IKT-Risikomanagements (Governance, Risikoidentifikation, -analyse, -behandlung, Kontrollen, Überwachung, Reporting, Kultur) auf einer definierten Skala. Die Bewertung wird jährlich durchgeführt und mit Maßnahmenplänen verbunden.
DORA / MaRisk
DORA Art. 6 Abs. 5 (Kontinuierliche Verbesserung), Art. 15 | MaRisk AT 4.4.2 (Verbesserung), BT 2.4
Umsetzungsschritte
Reifegrad-Dimensionen und Bewertungsstufen für IKT-Risikomanagement definieren.
Bewertungskriterien je Dimension und Stufe festlegen.
Jährliche Reifegradbewertung durchführen und dokumentieren.
Ergebnisse mit Maßnahmen- und Verbesserungsplan verknüpfen.
Beispielnachweise
Reifegradmodell IKT-Risikomanagement
Jährliche Reifegradbewertung mit Ergebnissen
Maßnahmenplan aus Reifegradbewertung
Entwicklungsreport mit Vorjahresvergleich
ISO/IEC 27001 Anker
A.5.35A.5.36A.10.1A.10.2
ID: DORA-IRM-017
DORA-IRM-018revieweddefined
Schulungs- und Sensibilisierungsprogramm für IKT-Risiken aufbauen
Mitarbeitende und Führungskräfte werden regelmässig zu IKT-Risiken geschult und für ihre Verantwortung im IKT-Risikomanagement sensibilisiert.
Themenbereich
IKT-Risikomanagement
Sollzustand
Ein rollenbasiertes Schulungsprogramm vermittelt IKT-Risikowissen an alle relevanten Mitarbeitenden. Führungskräfte erhalten vertiefende Schulungen zu IKT-Risikosteuerung, Eskalation und Reporting. Schulungsteilnahme und -erfolg werden dokumentiert.
DORA / MaRisk
DORA Art. 5 Abs. 2 (Personal), Art. 6 Abs. 3 (Sensibilisierung) | MaRisk AT 7.1 (Personal), AT 7.2 (Schulung)
Umsetzungsschritte
Schulungsbedarf für IKT-Risikomanagement rollenbasiert erheben.
Schulungsprogramm mit Basisschulung (alle) und Vertiefung (Rolleninhaber) entwickeln.
Jährlichen Schulungsplan erstellen und durchführen.
Schulungserfolg messen und Programm kontinuierlich verbessern.
Beispielnachweise
Schulungskonzept IKT-Risikomanagement
Rollenbasierte Schulungsmatrix
Teilnehmernachweise und Testergebnisse
Jährlicher Schulungsplan mit Durchführung
ISO/IEC 27001 Anker
A.5.2A.5.3A.6.3A.7.2
ID: DORA-IRM-018
Evidenzen
Nachweise und Evidenzen IKT-Risikomanagement
15 Nachweiskategorien decken die vollständige IRM-Evidenzlogik ab.
EVD-IRM-001reviewed
IKT-Risikostrategie
Vom Leitungsorgan freigegebene IKT-Risikostrategie mit Risikoappetit, Zielen, Schwellenwerten und Überwachungskennzahlen.
VerantwortlichLeitungsorgan / Risikocontrolling
Review-ZyklusJährlich
ISO-AnkerA.5.1, A.5.4, A.5.36
Beispiele
IKT-Risikostrategie (freigegeben)
Risikoappetit-Erklärung
Jährlicher Strategie-Review
EVD-IRM-002reviewed
Rollen- und Verantwortungsmatrix
Verbindliche RACI-Matrix für IKT-Risikomanagement mit Zuordnung zu Fachbereichen, IT, Risikocontrolling, Informationssicherheit und Revision.
VerantwortlichOrganisation / Personalentwicklung
Review-ZyklusJährlich
ISO-AnkerA.5.2, A.5.3, A.5.37
Beispiele
RACI-Matrix
Stellenbeschreibungen mit IKT-Risikobezug
Schulungsnachweise
EVD-IRM-003reviewed
IKT-Risikoinventar
Vollständiges, aktuelles Verzeichnis aller identifizierten IKT-Risiken mit Risikobeschreibung, Bewertung, Verantwortlichem und Behandlungsstatus.
VerantwortlichRisikocontrolling / IT-Sicherheit
Review-ZyklusQuartalsweise
ISO-AnkerA.5.7, A.5.8, A.8.8
Beispiele
IKT-Risikoinventar (aktuell)
Risikoklassifikation
Aktualisierungsprotokoll
EVD-IRM-004reviewed
Schutzbedarfsfeststellung
Dokumentierte Schutzbedarfsfeststellung für alle IKT-Assets hinsichtlich Vertraulichkeit, Integrität und Verfügbarkeit.
ISO/IEC 27001:2022 bietet den Kontrollrahmen, um die IKT-Risikomanagement-Anforderungen aus DORA Kapitel II in ein bestehendes ISMS zu integrieren.
A.5.1 bis A.5.4 Führung, Strategie, Rollen und Richtlinien für Informationssicherheit und IKT-Risikomanagement
A.5.7 bis A.5.10 Bedrohungsanalyse, Risikobewertung, Schutzbedarf und Behandlung
A.5.19 bis A.5.23 Lieferantenbeziehungen als Bestandteil des IKT-Risikomanagements
A.5.24 bis A.5.27 Incident- und Continuity-Prozesse als Teil der Risikobehandlung
A.5.29 bis A.5.37 Überwachung, Reporting, Dokumentation und kontinuierliche Verbesserung
A.8.1 bis A.8.16 Technologische Kontrollen für Schutz, Erkennung und Wiederherstellung
ISO/IEC 27001:2022 dient als Kontrollanker und Management-System-Referenz.
Die Verbindung zu ISO 27001 unterstützt integrierte Resilienz- und Sicherheitsprogramme.
MaRisk
MaRisk Bezug im IKT-Risikomanagement
Die MaRisk-Anforderungen an das Risikomanagement bilden die nationale Basis für die Umsetzung von DORA Kapitel II im deutschen Finanzsektor.
Formale Prozesse definiert, aber nicht durchgängig umgesetzt
3
Implemented
Prozesse vollständig umgesetzt und dokumentiert
4
Monitored
Prozesse werden überwacht und gemessen
5
Optimized
Kontinuierliche Verbesserung und Anpassung
ISO 27001 Verbindung
ISO/IEC 27001:2022 bietet den Steuerungsrahmen, um DORA-Anforderungen aus Kapitel II in ein wirksames ISMS zu integrieren.
A.5.1 bis A.5.4 Führung und Strategie
A.5.7 bis A.5.10 Risikoanalyse und Behandlung
A.5.35 bis A.5.37 Monitoring und Reporting
A.8.1 bis A.8.16 Technologische Kontrollen
ISO/IEC 27001:2022 dient als Kontrollanker und Management-System-Referenz.
Die Verbindung zu ISO 27001 unterstützt integrierte Resilienz- und Sicherheitsprogramme.
Reifegrad
1
Initial
Ad-hoc-Ansätze, keine formalen Prozesse
2
Defined
Formale Prozesse definiert, aber nicht durchgängig umgesetzt
3
Implemented
Prozesse vollständig umgesetzt und dokumentiert
4
Monitored
Prozesse werden überwacht und gemessen
5
Optimized
Kontinuierliche Verbesserung und Anpassung
📝
Diese Website verwendet ausschließlich technisch notwendige Cookies (Session, CSRF-Schutz). Mehr erfahren
