DORA · IKT-Drittparteienrisiko
Provider-Schwachstellen vom betroffenen IKT-Service über Kritikalität und Behebungsfrist bis zu Ausnahme, Eskalation und unabhängiger Reviewentscheidung steuern.
Arbeits- und Assurance-Grenze
Die Seite strukturiert eine lokale Arbeitssitzung. Provider-Tickets, Asset-Inventar, Scanbefunde, Vertragsdaten und Freigaben bleiben in den führenden Systemen. Ein hier gewählter Status belegt weder Umsetzung noch Kontrollwirksamkeit.
Mandat und Scope
Keine Bewertung ohne betroffenen Service, Kritikalitätsbezug, führende Referenz und benannte Entscheidungsrolle.
Entscheidungslogik
Service, kwF-Bezug und führende Referenz bestätigt
Schwachstelle, Ausnutzbarkeit und Geschäftsfolgen eingeordnet
Risikobasierte Frist, Owner und Provider-Zusage festgelegt
Kompensation, Restlaufzeit und Eskalation dokumentiert
Evidence durch unabhängige Rolle geprüft; Entscheidung protokolliert
Steuerungscockpit
Lokale Selbsteinschätzung des Arbeitsstands. Die Prozentzahl misst nur bearbeitete Bausteine, nicht Reifegrad oder Wirksamkeit.
Arbeitsliste
PVG-SCOPE-001 · Phase 1
In Full-Scope-Outsourcing fehlt eine klare Abgrenzung der vom Provider zu verantwortenden Schwachstellen. Ohne Scope-Definition werden kritische Lücken übersehen.
DORA Art. 28 und 30 (IKT-Drittparteienrisiko und Vertragssteuerung), MaRisk AT 7.3 und AT 9
4 Inputs · 3 Outputs · 4 Rollen
Modul öffnen →PVG-ARCH-001 · Phase 1
Fehlende Zonenarchitektur zwischen Provider-Umgebung und Finanzinstitut führt zu unklaren Verantwortlichkeiten für Schwachstellenbehebung.
DORA Artikel 9 (IKT-Sicherheit), MaRisk AT 7.3
3 Inputs · 3 Outputs · 3 Rollen
PVG-SYNC-001 · Phase 1
Provider-Assets werden nicht systematisch in das institutseigene Schwachstellenmanagement synchronisiert, sodass Shadow-IT und unentdeckte Risiken entstehen.
DORA Art. 8 und 28 (Asset-Identifikation und Drittparteiensteuerung), MaRisk AT 7.3
3 Inputs · 3 Outputs · 3 Rollen
PVG-SCAN-001 · Phase 1
Die Scan-Abdeckung des Providers ist oft unzureichend dokumentiert, sodass Lücken in der Schwachstellenerkennung unentdeckt bleiben.
DORA Art. 9 und Delegierte Verordnung (EU) 2024/1774 (Schutz und Schwachstellenmanagement), MaRisk AT 7.3
3 Inputs · 3 Outputs · 3 Rollen
PVG-RISK-001 · Phase 1
Standard-CVSS-Scores berücksichtigen nicht die spezifischen Risikofaktoren von Full-Scope-Outsourcing, was zu Fehlpriorisierung führt.
DORA Art. 6, 8 und 9 (IKT-Risikomanagement, Identifikation und Schutz), MaRisk AT 7.3
4 Inputs · 3 Outputs · 3 Rollen
Modul öffnen →PVG-SLA-001 · Phase 2
Patch-SLAs im Full-Scope-Outsourcing sind oft nicht an die DORA-Kritikalität angepasst, sodass kritische Schwachstellen zu spät behoben werden.
DORA Art. 28 und 30 (Drittparteien- und Vertragssteuerung), MaRisk AT 7.3
3 Inputs · 3 Outputs · 3 Rollen
Modul öffnen →PVG-CASE-001 · Phase 2
Schwachstellen-Tickets des Providers sind nicht in das institutseigene Case-Management eingebunden, sodass der Nachverfolgungsprozess intransparent ist.
DORA Artikel 9 (Nachweispflicht), MaRisk AT 7.3
3 Inputs · 3 Outputs · 3 Rollen
PVG-BRCH-001 · Phase 2
SLA-Verstösse beim Provider werden oft zu spät erkannt, sodass Eskalationen nicht rechtzeitig eingeleitet werden.
DORA Artikel 28 (Drittparteienüberwachung), MaRisk AT 7.3
3 Inputs · 3 Outputs · 3 Rollen
PVG-EXCP-001 · Phase 2
Ausnahmen von Patch-Vorgaben beim Provider werden nicht systematisch dokumentiert, was zu unkontrollierten Risiken und Prüffeststellungen führt.
DORA Artikel 6, 7 (Risikomanagement), MaRisk AT 7.3
3 Inputs · 3 Outputs · 4 Rollen
Modul öffnen →PVG-RTT-001 · Phase 3
Das aufsichtliche Recht auf eigene Prüfung (Right-to-Test) wird in Full-Scope-Outsourcing-Verträgen oft nicht systematisch ausgeübt.
DORA Art. 30 Abs. 3 Buchst. d und e (Testteilnahme, Zugang, Inspektion und Audit), MaRisk AT 9
3 Inputs · 4 Outputs · 4 Rollen
Modul öffnen →PVG-EVD-001 · Phase 3
Gegenüber Aufsicht und Prüfung muss die ordnungsgemässe Überwachung von Provider-Schwachstellen jederzeit nachgewiesen werden können.
DORA Art. 5, 6, 28 und 30 (Governance, Risikomanagement und vertragliche Kontrollrechte), MaRisk AT 4.3.3
3 Inputs · 3 Outputs · 4 Rollen
PVG-MGMT-001 · Phase 3
Das Management erhält keine strukturierten Berichte über den Schwachstellenstatus beim Provider, sodass strategische Entscheidungen auf unvollständiger Basis getroffen werden.
DORA Artikel 5 (Governance), MaRisk AT 4.3.1
4 Inputs · 3 Outputs · 4 Rollen
PVG-AUDIT-001 · Phase 3
Prüfungen des Provider-Schwachstellenmanagements erfordern eine strukturierte Vorbereitung, sonst drohen Prüffeststellungen.
DORA Art. 6 Abs. 6, Art. 28 und Art. 30 Abs. 3 Buchst. e, MaRisk AT 4.3.3
3 Inputs · 3 Outputs · 4 Rollen
Keine Module entsprechen den gewählten Filtern.
IKT-Risikomanagement
DORA Art. 6, 8 und 9: Framework, Identifikation, Schutz und Schwachstellensteuerung.
Drittparteiensteuerung
DORA Art. 28 und 29: laufende Steuerung sowie Konzentrationsrisiken.
Vertrag und Prüfungsrecht
DORA Art. 30 Abs. 3: Sicherheitsanforderungen, Kooperation, Zugang, Inspektion und Audit.
