IKT-Risikomanagement
Monitoring & Reporting
Frühwarnindikatoren, Management-Reporting und Eskalationsprozesse.
Management-Zusammenfassung
- DORA Art. 10 verlangt Mechanismen zur zeitnahen Erkennung anomaler Aktivitäten; Management-Reporting und Eskalation sind in Governance und Kommunikation einzubetten.
- Key Risk Indicators (KRI) müssen definiert, mit Schwellenwerten versehen und regelmäßig auf Aussagekraft geprüft werden.
- Management-Reporting ist quartalsweise zu erbringen; ad-hoc bei wesentlichen Risikoveränderungen oder Vorfällen.
- Eskalationsprozesse sind dokumentiert, getestet und an die Governance angebunden.
Frühwarnindikatoren (KRI)
KRIs können technische Erkennung nach Art. 10 mit der Risikosteuerung verbinden. Sie sollten quantitativ oder qualitativ definiert sein, Risikoveränderungen frühzeitig anzeigen und einen klaren Verantwortlichen haben.
Technische KRIs
Anzahl offener Schwachstellen (kritisch/high), Patch-Zeit, Ausfallzeiten, Backup-Erfolgsrate, SOC-Ticket-Alter.
Prozess-KRIs
Überfällige Kontrolltests, offene Audit-Findings, Change-Approval-Rate, Incident-Auflösungszeit.
Organisatorische KRIs
Schulungsquote, Fluktuation IT-Sicherheit, Auslastung Critical Roles, Vertragsabläufe Drittanbieter.
Eskalationsprozess
Eskalationsmechanismen müssen an die Governance nach Art. 5–6, die Erkennung nach Art. 10 und die Kommunikationspläne nach Art. 14 angebunden, dokumentiert und getestet sein.
Auslöser definieren
Schwellenwerte je KRI (Grün/Gelb/Rot), Vorfallkategorien, Audit-Findings, regulatorische Anfragen.
Eskalationsstufen
Stufe 1: Fachbereich / IT. Stufe 2: Risikocontrolling / CISO. Stufe 3: Leitungsorgan / Vorstand. Stufe 4: Regulator / Öffentlichkeit (bei Pflichtmelderung).
Dokumentation und Nachverfolgung
Jede Eskalation wird mit Auslöser, Entscheidung, Maßnahme und Abschluss dokumentiert. Regelmäßige Review der Eskalationsfälle.
Umsetzungsschritte Monitoring & Reporting
- Ein risikobasiertes KRI-Set aus Technik, Prozess und Organisation definieren; Anzahl und Schwellen institutsspezifisch begründen.
- Schwellenwerte (Grün/Gelb/Rot) je KRI festlegen und im Tool hinterlegen.
- Quartalsbericht-Vorlage mit Risikolage, Kontrollstatus, KRIs und Maßnahmenfortschritt erstellen.
- Ad-hoc-Berichtsprozess für wesentliche Risikoveränderungen oder Vorfälle etablieren.
- Eskalationsmatrix mit Stufen, Empfängern und Zeitvorgaben dokumentieren und jährlich testen.
- Trendanalysen und Vorjahresvergleiche in das Reporting integrieren.