IKT-Risikomanagement
Steuerungsmodell im Überblick
Anforderungen in verantwortete Arbeitsobjekte, Entscheidungen und belastbare Nachweise überführen.
Regulatorischer Umfang
DORA Kapitel II · Art. 5–16
Steuerungsprinzip
Risiko → Kontrolle → Evidenz
Aussagegrenze
Arbeitsmodell, kein Wirksamkeitsnachweis
Management-Zusammenfassung
- DORA Kapitel II verbindet die Verantwortung des Leitungsorgans mit einem dokumentierten und regelmäßig überprüften IKT-Risikomanagementrahmen.
- Funktionen, Informations- und IKT-Assets, Abhängigkeiten, Risiken, Kontrollen, Tests, Vorfälle und Nachweise müssen in einer durchgängigen Arbeitslogik zusammengeführt werden.
- Maßnahmen und Restrisiken benötigen klare Eigentümer, Fristen, Entscheidungsrechte und Wiedervorlagen.
- MaRisk und ISO/IEC 27001 können Methoden und Nachweise ergänzen; die Erfüllung einer DORA-Anforderung ist stets separat und institutsspezifisch zu belegen.
Regulatorische Arbeitslandkarte
Sechs verbundene Steuerungsdomänen
Die Artikelstruktur ist kein Projektplan. Für die operative Umsetzung werden Anforderungen in verantwortete Arbeitsobjekte und prüfbare Ergebnisse übersetzt.
| DORA | Domäne | Arbeitsgegenstand | Erwartetes Arbeitsergebnis |
|---|---|---|---|
| Art. 5–6 | Governance und Rahmenwerk | Mandat, Rollen, Strategie, Risikoappetit, Ressourcen und unabhängige Kontrollfunktion | Freigegebenes Rahmenwerk mit Verantwortlichen und Review-Takt |
| Art. 7–8 | Systeme, Assets und Risiken | Funktionen, Informations- und IKT-Assets, Datenflüsse, Standorte, Abhängigkeiten und Szenarien | Verknüpftes Inventar mit Eigentümern und Risikobewertungen |
| Art. 9–10 | Schutz und Erkennung | Risikobasierte Schutzmaßnahmen, Konfigurationen, Überwachung, Schwellen und Alarmierung | Kontrollsatz mit Design, Betrieb, Nachweis und Eskalationsweg |
| Art. 11–12 | Reaktion und Wiederherstellung | Szenarien, Business Impact, Reaktion, Wiederanlauf, Backup und Wiederherstellung | Abgestimmte Pläne mit Zielen, Tests und festgehaltenen Abweichungen |
| Art. 13–14 | Lernen und Kommunikation | Ursachenanalysen, Erkenntnisse, Verbesserungsmaßnahmen und interne wie externe Kommunikation | Nachverfolgte Maßnahmen und adressatengerechte Kommunikationspläne |
| Art. 15–16 | Harmonisierung und Scope | Technische Standards berücksichtigen und Anwendbarkeit des vereinfachten Rahmens dokumentieren | Begründete Scope-Entscheidung mit Quellenstand und Wiedervorlage |
Leitungsentscheidungen
Vier Entscheidungspunkte mit Nachweiserwartung
Risikoappetit und Toleranzen
Welche IKT-Risiken und Unterbrechungen sind innerhalb welcher Grenzen tragbar?
Nachweis: Beschluss, Schwellenwerte, Eskalationsmatrix
Restrisiken und Ausnahmen
Wer darf Restrisiken akzeptieren, wie lange und unter welchen Kompensationsmaßnahmen?
Nachweis: Begründung, Befristung, Verantwortlicher, Wiedervorlage
Ressourcen und Prioritäten
Welche Maßnahmen erhalten Budget, Personal und verbindliche Fristen?
Nachweis: Priorisierter Maßnahmenplan und dokumentierte Zielkonflikte
Wirksamkeit und Verbesserung
Welche Tests, Vorfälle oder Kontrolldefizite erfordern eine Anpassung des Rahmenwerks?
Nachweis: Review-Protokoll, Ursachenanalyse, beschlossene Änderungen
DORA
Verbindlicher EU-Rechtsrahmen. Die Anforderungsabdeckung ist artikel- und absatzbezogen zu beurteilen und durch aktuelle institutsspezifische Evidenz zu stützen.
MaRisk
Bankaufsichtlicher Rahmen für die Gesamtorganisation des Risikomanagements. Überschneidungen können gemeinsame Governance- und Risikoprozesse ermöglichen, ersetzen aber keine DORA-Zuordnung.
ISO/IEC 27001
Freiwilliger ISMS-Standard. Methoden und Kontrollen können wiederverwendet werden; Zertifizierung allein belegt weder DORA-Abdeckung noch die Wirksamkeit einzelner Maßnahmen.
Vom Überblick in die Bearbeitung
Risiken und Anforderungen mit Eigentümern, Maßnahmen und Evidenzen verknüpfen.