Wie man einen DORA-IKT-Risikomanagementrahmen mit KI aufbaut

Übersicht

Sie erfahren, wie Sie einen umfassenden IKT-Risikomanagementrahmen aufbauen, der die DORA-Artikel 6-16 erfüllt und KI nutzt. Dieser Leitfaden behandelt die vollständige Rahmenstruktur, von Governance und Risikoidentifikation über Schutz, Erkennung, Reaktion, Wiederherstellung bis hin zur kontinuierlichen Verbesserung, mit spezifischen ISMS-Copilot-Prompts für die Erstellung jeder Komponente.

Zielgruppe

Dieser Leitfaden richtet sich an:

• CISOs und IT-Risikomanager, die IKT-Risikomanagementrahmen für die DORA-Konformität aufbauen oder verbessern
• Compliance-Beauftragte, die für die Dokumentation von IKT-Risikomanagementrichtlinien und -verfahren verantwortlich sind
• Berater, die DORA-konforme Rahmenwerke für Kunden aus dem Finanzsektor entwickeln
• Mitglieder von Risikoausschüssen und Leitungsorganen, die die IKT-Risikogovernance überwachen
• Interne Revisoren, die die Angemessenheit der IKT-Risikomanagementmaßnahmen bewerten

Vorbereitung

Sie benötigen:

• Ein ISMS-Copilot-Konto (kostenlose Testversion verfügbar)
• Abschluss der grundlegenden Schritte in Wie man mit der DORA-Umsetzung mithilfe von KI beginnt, einschließlich Scope-Bewertung und Gap-Analyse
• Ihre bestehende IKT-Risikomanagementdokumentation (Richtlinien, Risikoregister, Asset-Inventare) für den Gap-Vergleich
• Verständnis Ihrer IKT-Landschaft (Anwendungen, Infrastruktur, Cloud-Dienste, Netzwerktopologie)
• Zugang zu wichtigen Stakeholdern: CISO, CRO, IT-Betrieb, Business-Continuity-Manager

Verständnis der IKT-Risikomanagementanforderungen der DORA

Artikelweise Aufschlüsselung

DORA-Kapitel II (Artikel 5-16) legt die detailliertesten IKT-Risikomanagementanforderungen in der EU-Finanzdienstleistungsregulierung fest. Das Verständnis der spezifischen Anforderungen jedes Artikels ist essenziell, bevor Sie Ihren Rahmen aufbauen:

Article

Title

Key requirements

Key deliverables

Art 5

Governance und Organisation

Leitungsorgan definiert, genehmigt und überwacht den IKT-Risikorahmen

Board-Mandat, Governance-Charta, Schulungsprogramm

Art 6

IKT-Risikomanagementrahmen

Umfassender, dokumentierter Rahmen mit Strategien, Richtlinien, Verfahren

Rahmendokument, IKT-Risikostrategie, jährlicher Überprüfungsprozess

Art 7

IKT-Systeme, Protokolle, Tools

Zuverlässige und resiliente IKT-Systeme werden gewartet und aktualisiert

Systemstandards, Update-Richtlinien, Kapazitätsmanagement

Art 8

Identifikation

Identifizieren, klassifizieren und dokumentieren aller IKT-Assets, Risiken und Abhängigkeiten

IKT-Asset-Register, Risikoregister, Abhängigkeitskarten

Art 9

Schutz und Prävention

IKT-Sicherheitsrichtlinien, Zugriffskontrollen, Verschlüsselung, Patch-Management

Sicherheitsrichtlinien-Suite, Zugriffskontrollverfahren, Verschlüsselungsstandards

Art 10

Erkennung

Mechanismen zur Erkennung anomaler Aktivitäten und IKT-Vorfälle

Überwachungsstrategie, SIEM-Konfiguration, Alarmverfahren

Art 11

Reaktion und Wiederherstellung

IKT-Geschäftskontinuitätsrichtlinie, Notfallwiederherstellungspläne, Kommunikationspläne

BCP, DRP, Krisenkommunikationsplan, Backup-Strategie

Art 12

Backup-Richtlinien und -Verfahren

Backup- und Wiederherstellungsrichtlinien, Testen von Backups, separate Wiederherstellungsstandorte

Backup-Richtlinie, Wiederherstellungsverfahren, Testprotokolle

Art 13

Lernen und Weiterentwickeln

Nach-Vorfall-Überprüfungen, verpflichtende Schulungen, Schwachstellenoffenlegung

Nach-Vorfall-Überprüfungsprozess, Schulungsprogramm, Register für Lessons Learned

Art 14

Kommunikation

Krisenkommunikationspläne, Richtlinien für verantwortungsvolle Offenlegung

Kommunikationsrichtlinie, Offenlegungsverfahren, Vorlagen für öffentliche Benachrichtigungen

Art 15

Weitere Harmonisierung der IKT-Risikomanagement-Tools

Regulatorische technische Standards, die Details des Rahmens spezifizieren

RTS-Konformitätszuordnung, technische Umsetzung

Art 16

Vereinfachter IKT-Risikomanagementrahmen

Verhältnismäßige Anforderungen für qualifizierte kleine Unternehmen

Vereinfachtes Rahmendokument (falls zutreffend)

Die Rahmenstruktur

DORA verlangt, dass Ihr IKT-Risikomanagementrahmen einem spezifischen Lebenszyklus folgt: Identifizieren, Schützen, Erkennen, Reagieren, Wiederherstellen, Lernen. Dies spiegelt etablierte Cybersicherheitsrahmen (wie NIST CSF) wider, fügt jedoch DORA-spezifische Anforderungen in Bezug auf Governance, Verhältnismäßigkeit und regulatorische Berichterstattung hinzu.

Verwenden Sie ISMS Copilot, um zu verstehen, wie Ihr bestehender Rahmen auf diesen Lebenszyklus abgebildet wird:

"Vergleichen Sie den IKT-Risikomanagement-Lebenszyklus der DORA (Identifizieren, Schützen, Erkennen, Reagieren, Wiederherstellen, Lernen) aus den Artikeln 6-16 mit unserem bestehenden [ISO 27001 / NIST CSF / EBA Guidelines]-Rahmen. Identifizieren Sie für jede Lebenszyklusphase: welche bestehenden Kontrollen bereits die DORA erfüllen, wo die DORA spezifische Anforderungen über unseren aktuellen Rahmen hinaus stellt und welche neuen Dokumentationen oder Prozesse wir erstellen müssen."

Schritt 1: Erstellen des IKT-Risikomanagement-Rahmendokuments

Rahmenstruktur und Governance

Artikel 6 verlangt einen umfassenden, dokumentierten IKT-Risikomanagementrahmen. Dies ist das Hauptdokument, das alle Richtlinien, Verfahren und Prozesse über den gesamten Lebenszyklus hinweg zusammenführt.

1. Öffnen Sie Ihren DORA-Arbeitsbereich in ISMS Copilot

2. Generieren Sie das Rahmendokument:

   "Erstellen Sie ein umfassendes IKT-Risikomanagement-Rahmendokument für einen [Entity-Typ], das DORA Artikel 6 erfüllt. Enthalten sein sollen: Zweck und Geltungsbereich, Governance-Struktur (Verknüpfung mit den Verantwortlichkeiten des Leitungsorgans nach Artikel 5), IKT-Risikomanagementstrategie und -ziele, Risikobereitschaft und -toleranzniveaus, Rahmenkomponenten (Identifikation, Schutz, Erkennung, Reaktion, Wiederherstellung, Lernen), Integration in das gesamte Enterprise-Risikomanagement, Rollen und Verantwortlichkeiten (CISO, CRO, IKT-Risikofunktion, erste/zweite/dritte Verteidigungslinie), Überprüfungs- und Aktualisierungsverfahren (mindestens jährlich und nach größeren Vorfällen gemäß Artikel 6(5)) sowie Metriken zur Wirksamkeit des Rahmens. Verweisen Sie in jedem Abschnitt auf die spezifischen DORA-Artikel."

3. Definieren Sie die IKT-Risikostrategie:

   "Entwerfen Sie eine IKT-Risikostrategie für unseren [Entity-Typ], wie von DORA Artikel 6(8) gefordert. Enthalten sein sollen: strategische IKT-Risikoziele, die mit der Geschäftsstrategie abgestimmt sind, vom Leitungsorgan genehmigte Risikotoleranzschwellen, Ansatz zur IKT-Risikobewertungsmethodik, Strategie zur Ressourcenallokation für IKT-Sicherheit, Key Risk Indicators (KRIs) und Berichterstattungsfrequenz sowie Integration in digitale Transformationsinitiativen. Gestalten Sie sie so, dass sie für die Genehmigung durch das Leitungsorgan geeignet ist."

Interne IKT-Revisionsfunktion

Artikel 6(6) verlangt, dass der IKT-Risikomanagementrahmen regelmäßig von IKT-Revisoren geprüft wird. Nutzen Sie ISMS Copilot, um diese Funktion einzurichten:

"Definieren Sie die Anforderungen an die interne IKT-Revisionsfunktion gemäß DORA Artikel 6(6). Enthalten sein sollen: IKT-Revisionscharta, Anforderungen an Unabhängigkeit und Objektivität, Revisionsuniversum, das alle Komponenten des IKT-Risikomanagementrahmens abdeckt, risikobasierte Revisionsplanungsmethodik, Revisionshäufigkeit (mindestens jährlich für Schlüsselbereiche), Berichterstattung an das Leitungsorgan und den Prüfungsausschuss sowie Follow-up-Verfahren für Revisionsfeststellungen. Stellen Sie einen Beispiel-Jahresplan für die IKT-Revision bereit."

Schritt 2: Identifikation und Klassifizierung von IKT-Assets (Artikel 8)

Aufbau Ihres IKT-Asset-Inventars

Artikel 8 verlangt, dass Sie alle IKT-Assets, Ressourcen und deren Verbindungen identifizieren, klassifizieren und dokumentieren. Dieses Inventar bildet die Grundlage für die Risikobewertung, Vorfallklassifizierung und das Management von Drittanbieterrisiken.

1. Generieren Sie die Struktur des Asset-Inventars:

   "Erstellen Sie eine Vorlage für ein IKT-Asset-Inventar, die die Anforderungen von DORA Artikel 8 erfüllt. Enthalten sein sollen Spalten für: Asset-ID, Asset-Name und -Beschreibung, Asset-Kategorie (Hardware, Software, Daten, Netzwerk, Cloud-Dienst, Drittanbieter-Dienst), Asset-Verantwortlicher, unterstützte Geschäftsprozesse, Kritikalitätsklassifizierung (kritisch, wichtig, standard), Anforderungen an Vertraulichkeit/Integrität/Verfügbarkeit, physischer und logischer Standort, Verbindungen und Abhängigkeiten zu anderen Assets, unterstützende IKT-Drittanbieter, Wiederherstellungszeitziel (RTO) und Wiederherstellungspunktziel (RPO), Datum der letzten Überprüfung. Geben Sie Klassifizierungskriterien für jedes Feld und Beispiel-Einträge für einen [Entity-Typ] an."

2. Kartieren Sie IKT-Asset-Abhängigkeiten:

   "Erstellen Sie eine Methodik zur Kartierung von IKT-Abhängigkeiten für DORA Artikel 8(1). Unsere kritischen Geschäftsprozesse umfassen [Liste der Prozesse]. Helfen Sie uns für jeden Prozess, Folgendes zu identifizieren: die IKT-Systeme und Anwendungen, die ihn unterstützen, Infrastrukturkomponenten (Server, Netzwerke, Speicher), Datenflüsse und Datenrepositorien, IKT-Drittanbieter-Dienste und -Anbieter, Single Points of Failure und Konzentrationsrisiken. Stellen Sie eine Vorlage zur Verfügung, um diese Abhängigkeiten visuell und in tabellarischer Form zu dokumentieren."

3. Klassifizieren Sie IKT-Assets nach Kritikalität:

   "Definieren Sie Kriterien für die Klassifizierung von IKT-Assets zur Einhaltung der DORA. Erstellen Sie ein Klassifizierungsschema mit Stufen (Kritisch, Wichtig, Standard) basierend auf: Auswirkungen auf die Erbringung von Finanzdienstleistungen bei Störungen, ausgelösten Meldepflichten gegenüber Aufsichtsbehörden, Anzahl der betroffenen Kunden/Gegenparteien, Datensensitivität, Wiederherstellungszeitanforderungen und Verbindungen zu anderen kritischen Assets. Stellen Sie Entscheidungsbäume und Beispiele für einen [Entity-Typ] bereit."

Identifikation und Bewertung von IKT-Risiken

Mit Ihrem vollständigen Asset-Inventar führen Sie eine systematische Risikobewertung der identifizierten IKT-Assets durch:

"Erstellen Sie eine Methodik und Vorlage für die IKT-Risikobewertung, die mit DORA Artikel 8 abgestimmt ist. Bewerten Sie für jedes kritische und wichtige IKT-Asset: Bedrohungsszenarien (Cyberangriffe, Systemausfälle, Naturkatastrophen, menschliches Versagen, Drittanbieterausfälle), Schwachstellen (technisch, prozedural, organisatorisch), bestehende Kontrollen und deren Wirksamkeit, Eintrittswahrscheinlichkeit (Skala 1-5 mit Kriterien), Auswirkungen auf Geschäftsprozesse, Kunden und regulatorische Compliance (Skala 1-5 mit Kriterien), Restrisikobewertung und Risikostufe, Risikoverantwortlicher und Behandlungsentscheidung (mindern, akzeptieren, übertragen, vermeiden), Behandlungsmaßnahmen und Zeitplan. Berücksichtigen Sie Integrationspunkte mit unserem Enterprise-Risikoregister."

Schritt 3: Schutz- und Präventionsmaßnahmen (Artikel 9)

Entwicklung von IKT-Sicherheitsrichtlinien

Artikel 9 schreibt vor, dass Finanzunternehmen umfassende IKT-Sicherheitsrichtlinien entwickeln und dokumentieren, die Zugriffsmanagement, Verschlüsselung, Netzwerksicherheit und Change-Management abdecken. Diese Richtlinien müssen Ihrem Risikoprofil angemessen sein.

1. Generieren Sie die IKT-Sicherheitsrichtlinien-Suite:

   "Erstellen Sie eine umfassende IKT-Sicherheitsrichtlinie für einen [Entity-Typ], die DORA Artikel 9 erfüllt. Strukturieren Sie die Richtlinie so, dass sie Folgendes abdeckt: Governance und Ziele der Informationssicherheit, Zugriffskontrolle und Identitätsmanagement (einschließlich privilegiertem Zugriff, Multi-Faktor-Authentifizierung und dem Prinzip der geringsten Privilegien), Netzwerksicherheit (Segmentierung, Perimeterschutz, Intrusion Prevention), Verschlüsselung und kryptografische Kontrollen (Daten im Ruhezustand, während der Übertragung, Schlüsselmanagement), IKT-Change-Management (Testen, Genehmigung, Rollback-Verfahren), Patch-Management und Zeitvorgaben für die Behebung von Schwachstellen, physische und umgebungsbezogene Sicherheit für IKT-Assets, Anforderungen an den sicheren Entwicklungslebenszyklus, Endpunktschutz und Mobile-Device-Management sowie Maßnahmen zur Verhinderung von Datenlecks. Verweisen Sie für jeden Bereich auf den spezifischen DORA-Artikel und geben Sie Implementierungsleitlinien an, die für eine Organisation der Größe [Entity-Größe] angemessen sind."

2. Erstellen Sie Zugriffskontrollverfahren:

   "Entwickeln Sie detaillierte Zugriffskontrollverfahren für DORA Artikel 9(4). Enthalten sein sollen: Workflows für die Bereitstellung und Deprovisionierung von Benutzern, Design der rollenbasierten Zugriffskontrolle (RBAC), Anforderungen an das Privileged Access Management (PAM), Verfahren zur Überprüfung von Zugriffen (Häufigkeit, Umfang, Dokumentation), Authentifizierungsstandards (MFA-Anforderungen, Passwortrichtlinien), Sicherheitskontrollen für den Fernzugriff, Verwaltung von Dienstkonten sowie Anforderungen an die Protokollierung und Überwachung von Zugriffen. Stellen Sie Vorlagen für Verfahren mit schrittweisen Anweisungen bereit."

3. Etablieren Sie Patch-Management-Verfahren:

   "Erstellen Sie eine IKT-Patch-Management-Richtlinie und ein Verfahren zur Einhaltung der DORA. Enthalten sein sollen: Häufigkeit der Schwachstellen-Scans, Patch-Klassifizierung (kritisch, hoch, mittel, niedrig) mit entsprechenden Behebungszeitvorgaben, Testverfahren vor der Bereitstellung, Notfall-Patch-Prozess für Zero-Day-Schwachstellen, Patch-Tracking und Compliance-Berichterstattung, Ausnahme-Management für Systeme, die nicht gepatcht werden können, sowie Integration in Ihren Change-Management-Prozess. Geben Sie KPIs für die Patch-Compliance-Berichterstattung an das Leitungsorgan an."

IKT-Systemstandards und Resilienz (Artikel 7)

Artikel 7 verlangt, dass IKT-Systeme resilient, zuverlässig und mit ausreichender Kapazität ausgestattet sind. Nutzen Sie ISMS Copilot, um die unterstützenden Standards zu entwickeln:

"Erstellen Sie IKT-Systemstandards und -anforderungen für DORA Artikel 7. Enthalten sein sollen: Zuverlässigkeits- und Verfügbarkeitsziele für kritische Funktionen, Verfahren zum Kapazitätsmanagement (Überwachung, Planung, Skalierung), Richtlinien für Systemaktualisierungen und -wartung, Management von Technologieveralterung, Konfigurationsmanagement-Standards, Trennung von Umgebungen (Produktion, Test, Entwicklung) sowie Anforderungen an Systeme, die kritische oder wichtige Funktionen unterstützen. Stellen Sie eine Compliance-Checkliste bereit."

Schritt 4: Erkennungsfähigkeiten (Artikel 10)

Aufbau Ihrer Erkennungs- und Überwachungsstrategie

Artikel 10 verlangt Mechanismen zur schnellen Erkennung anomaler Aktivitäten, einschließlich IKT-Netzwerkleistungsproblemen und IKT-bezogenen Vorfällen. Ihre Erkennungsfähigkeiten müssen der Bedeutung der überwachten IKT-Assets angemessen sein.

1. Entwerfen Sie die Erkennungsstrategie:

   "Erstellen Sie eine umfassende IKT-Erkennungs- und Überwachungsstrategie für einen [Entity-Typ], die DORA Artikel 10 erfüllt. Enthalten sein sollen: Überwachungsarchitektur (SIEM-, EDR-, NDR-, UEBA-Komponenten), zu überwachende Datenquellen (Netzwerkverkehr, Systemprotokolle, Anwendungsprotokolle, Authentifizierungsereignisse, Datenbankaktivitäten, Cloud-Dienst-Protokolle), nach Risiko priorisierte Erkennungsanwendungsfälle (unbefugter Zugriff, Datenexfiltration, Malware, DDoS, Insider-Bedrohungen, Anomalien bei Drittanbietern), Alarmklassifizierung und Schweregradstufen, Korrelationsregeln und Verhaltensgrundlinien, Anforderungen an die 24/7-Überwachung sowie Integration in die Vorfallklassifizierung gemäß DORA Artikel 17. Geben Sie Implementierungsprioritäten für eine Organisation der Größe [Größe] an."

2. Definieren Sie Anomalieerkennungsverfahren:

   "Entwickeln Sie operative Verfahren für die IKT-Anomalieerkennung gemäß DORA Artikel 10. Enthalten sein sollen: wie Anomalien identifiziert werden (automatisierte Alarme, manuelle Überprüfung, Threat-Intelligence-Feeds), initialer Triage-Prozess (wer überprüft, Zielvorgaben für Reaktionszeiten, Eskalationskriterien), Management von Fehlalarmen, Dokumentationsanforderungen für erkannte Anomalien, Übergabeprozeduren an das Incident-Response-Team sowie kontinuierliche Anpassung der Erkennungsregeln basierend auf Änderungen der Bedrohungslandschaft. Stellen Sie eine Verfahrensvorlage mit Rollen und Verantwortlichkeiten bereit."

Schritt 5: Reaktions- und Wiederherstellungsverfahren (Artikel 11-12)

IKT-Geschäftskontinuitätsmanagement

Die Artikel 11 und 12 legen detaillierte Anforderungen an die Geschäftskontinuität, Notfallwiederherstellung und Backup-Management fest. Diese müssen Szenarien abdecken, einschließlich schwerwiegender IKT-Störungen, Cyberangriffe und Ausfälle von Drittanbieter-Dienstleistern.

1. Erstellen Sie die IKT-Geschäftskontinuitätsrichtlinie:

   "Entwickeln Sie eine IKT-Geschäftskontinuitätsrichtlinie für einen [Entity-Typ], die DORA Artikel 11 erfüllt. Enthalten sein sollen: Richtlinienziele und -umfang, Governance (Genehmigungserfordernis durch das Leitungsorgan), Methodik der Business-Impact-Analyse (BIA) für IKT-Dienste, Kontinuitätsstrategien für jede kritische Geschäftsfunktion, Wiederherstellungszeitziele (RTO) und Wiederherstellungspunktziele (RPO) nach Funktion, Kontinuitätspläne für Szenarien: Cyberangriff, Systemausfall, Rechenzentrumsausfall, Ausfall eines kritischen Drittanbieters, Naturkatastrophe, Pandemie, Kommunikationspläne (intern, Kunden, zuständige Behörden, Öffentlichkeit), Rollen und Verantwortlichkeiten während eines Kontinuitätsereignisses, Kriterien für die Planaktivierung und Eskalationsverfahren, Testanforderungen (Häufigkeit, Umfang, Testarten), Planwartungs- und Überprüfungszyklus (mindestens jährlich). Verweisen Sie durchgehend auf die Anforderungen von DORA Artikel 11."

2. Entwickeln Sie Notfallwiederherstellungsverfahren:

   "Erstellen Sie IKT-Notfallwiederherstellungspläne für unseren [Entity-Typ], die [Liste kritischer Systeme] abdecken. Dokumentieren Sie für jedes kritische System: Systembeschreibung und unterstützte Geschäftsfunktionen, Wiederherstellungsteam und Kontaktdaten, Wiederherstellungsverfahren (Schritt für Schritt), Failover-Mechanismen und alternative Verarbeitungsstandorte, Datenwiederherstellungsverfahren aus Backups, Integritätsprüfung nach der Wiederherstellung, Kommunikationsanforderungen während der Wiederherstellung, Kriterien für die Erklärung der Wiederherstellung als abgeschlossen sowie Verfahren zur Nachbereitung. Richten Sie RTOs und RPOs an unserer Geschäftskontinuitätsrichtlinie aus."

3. Etablieren Sie Backup-Richtlinien und -Verfahren (Artikel 12):

   "Erstellen Sie umfassende Backup- und Wiederherstellungsrichtlinien und -verfahren für DORA Artikel 12. Enthalten sein sollen: Backup-Umfang (alle Daten, Konfigurationen, Software, die zur Wiederherstellung des Betriebs erforderlich sind), Backup-Häufigkeit nach Datenklassifizierung und RPO, Backup-Methoden (vollständig, inkrementell, differenziell), Anforderungen an die sichere Speicherung (geografisch getrennter sekundärer Standort gemäß Artikel 12(1)), Verschlüsselung von Backup-Daten, Verfahren und Häufigkeit zur Überprüfung der Backup-Integrität, Wiederherstellungstestverfahren (mindestens jährlich gemäß Artikel 12(2)), Backup-Überwachung und -Alarmierung, Dokumentations- und Protokollierungsanforderungen sowie Verfahren für Backups von Systemen, die von Drittanbietern gehostet werden. Geben Sie Anforderungen für den physisch und logisch getrennten Backup-Standort an."

Krisenkommunikation (Artikel 14)

Artikel 14 verlangt dedizierte Krisenkommunikationspläne. Generieren Sie diese mit ISMS Copilot:

"Entwickeln Sie einen IKT-Krisenkommunikationsplan für DORA Artikel 14. Enthalten sein sollen: Kommunikationsgovernance (wer externe Kommunikationen autorisiert), Stakeholder-Kommunikationsmatrix (Leitungsorgan, Mitarbeiter, Kunden, Gegenparteien, zuständige Behörden, Medien, Öffentlichkeit), Kommunikationsvorlagen für verschiedene Vorfallschweregrade, Richtlinie für verantwortungsvolle Offenlegung von IKT-Schwachstellen, Verfahren zur Koordinierung mit zuständigen Behörden während Vorfällen, Protokolle für soziale Medien und Öffentlichkeitsarbeit, designierter Sprecher und Stellvertreter sowie Protokollierung und Aufzeichnung der Kommunikation. Stellen Sie Vorlagen für Nachrichten bei schweren IKT-Vorfällen bereit."

Schritt 6: Lernen und Weiterentwickeln (Artikel 13)

Nach-Vorfall-Überprüfungsprozess

Artikel 13 verlangt von Finanzunternehmen, aus IKT-Vorfällen, Testergebnissen und Schwachstellen zu lernen. Dies schafft einen kontinuierlichen Verbesserungszyklus, der Ihren Rahmen im Laufe der Zeit stärkt.

1. Etablieren Sie den Nach-Vorfall-Überprüfungsprozess:

   "Erstellen Sie ein Verfahren zur Nach-Vorfall-Überprüfung für DORA Artikel 13. Enthalten sein sollen: Auslösekriterien (welche Vorfälle eine formelle Überprüfung erfordern), Zeitrahmen für die Überprüfung (innerhalb von [X] Wochen nach Vorfallabschluss), Teilnehmer der Überprüfung (Vorfallreaktionsteam, Risikomanagement, betroffene Geschäftsbereiche, Management), Überprüfungsvorlage mit: Vorfallzeitplan, Ursachenanalyse (technisch und organisatorisch), Bewertung der Kontrollwirksamkeit, Lücken in der Erkennung oder Reaktion, Auswirkungen auf Kunden und Geschäftsprozesse, Genauigkeit der regulatorischen Berichterstattung, Lessons Learned und Verbesserungsmaßnahmen, Maßnahmenverfolgung (Verantwortlicher, Frist, Priorität), Berichterstattungsanforderungen an das Leitungsorgan sowie Integration der Lessons Learned in Aktualisierungen des IKT-Risikomanagementrahmens. Stellen Sie eine Vorlage für den Nach-Vorfall-Überprüfungsbericht bereit."

2. Aufbau des Programms zur kontinuierlichen Verbesserung:

   "Gestalten Sie ein Programm zur kontinuierlichen Verbesserung des IKT-Risikomanagementrahmens gemäß DORA Artikel 13. Enthalten sein sollen: Eingaben in den Verbesserungszyklus (Nach-Vorfall-Überprüfungen, Testergebnisse, Prüfungsfeststellungen, regulatorische Leitlinien, Threat Intelligence, technologische Veränderungen), Governance der Verbesserungsmaßnahmen (wie Maßnahmen priorisiert, genehmigt und verfolgt werden), Metriken zur Wirksamkeit des Rahmens (Vorfalltrends, Erkennungszeiten, Wiederherstellungszeiten, Kontrollreife), jährlicher Überprüfungsprozess des Rahmens für das Leitungsorgan sowie Integration in Schulungs- und Sensibilisierungsprogramme gemäß Artikel 13(6). Stellen Sie eine Vorlage für den jährlichen Rahmenüberprüfungsbericht bereit."

IKT-Sicherheitsbewusstsein und Schulungen

Artikel 13(6) verlangt verpflichtende Programme zur IKT-Sicherheitsbewusstseinsbildung und Schulungen zur digitalen operationellen Resilienz. Entwickeln Sie diese mit ISMS Copilot:

"Erstellen Sie ein Programm zur IKT-Sicherheitsbewusstseinsbildung und Schulung für DORA Artikel 13(6). Enthalten sein sollen: Schulungsbedarfsanalyse nach Rolle (Leitungsorgan, IKT-Mitarbeiter, alle Mitarbeiter, Drittanbieter-Auftragnehmer), Schulungsthemen (IKT-Risikobewusstsein, Meldepflichten bei Vorfällen, Sicherheitsrichtlinien, Social Engineering, DORA-spezifische Anforderungen), Durchführungsmethoden und Häufigkeit, Schulungslehrplan für das Leitungsorgan zu IKT-Risiken (gemäß Artikel 5(4)), Bewertung der Schulungseffektivität, Aufzeichnungs- und Compliance-Nachverfolgung sowie jährlicher Schulungsplan. Unterscheiden Sie zwischen allgemeiner Sensibilisierung und rollenspezifischer technischer Schulung."

Schritt 7: Integration und Validierung des vollständigen Rahmens

Querverweise der Rahmenkomponenten

Sobald Sie alle Rahmenkomponenten entwickelt haben, nutzen Sie ISMS Copilot, um Vollständigkeit und Konsistenz zu validieren:

"Überprüfen Sie die folgenden Komponenten des IKT-Risikomanagementrahmens auf Vollständigkeit der DORA-Konformität: [Liste oder Hochladen Ihres Rahmendokuments, Richtlinien, Verfahren, Vorlagen]. Bestätigen Sie für jeden DORA-Artikel 5-16: ob die Anforderung adressiert ist, welches Dokument sie adressiert, ob die Behandlung für einen [Entity-Typ] unserer Größe angemessen ist, etwaige Lücken oder Inkonsistenzen zwischen den Dokumenten sowie Anforderungen aus Regulatorischen Technischen Standards (RTS) gemäß Artikel 15, die noch nicht adressiert sind. Stellen Sie eine Compliance-Matrix bereit."

Vorbereitung auf die aufsichtsrechtliche Prüfung

Die zuständigen Behörden werden Ihren IKT-Risikomanagementrahmen als primären Prüfungsschwerpunkt untersuchen. Bereiten Sie Ihr Nachweispaket vor:

"Erstellen Sie eine Checkliste zur Vorbereitung auf die Prüfung des IKT-Risikomanagements der DORA für einen [Entity-Typ]. Listen Sie für jeden Artikel 5-16 auf: die erwarteten regulatorischen Fragen, bereitzuhaltende Nachweisdokumente, vorzulegende Schlüsselmetriken und KPIs, häufige Mängelbefunde und wie diese vermieden werden können sowie Anforderungen an die Darstellung durch das Leitungsorgan (Schulungsunterlagen, Sitzungsprotokolle, Genehmigungsnachweise). Priorisieren Sie nach Wahrscheinlichkeit des Prüfungsschwerpunkts."

Nächste Schritte

Sie haben nun einen umfassenden IKT-Risikomanagementrahmen, der alle Anforderungen der DORA-Artikel 6-16 abdeckt:

• Rahmendokument mit Governance-Struktur und IKT-Risikostrategie
• IKT-Asset-Inventar mit Klassifizierung und Abhängigkeitskartierung
• Schutz- und Präventionsmaßnahmen mit Sicherheitsrichtlinien-Suite
• Erkennungsfähigkeiten mit Überwachungsstrategie und -verfahren
• Reaktions- und Wiederherstellungsverfahren mit BCP, DRP und Backup-Richtlinien
• Programm zur kontinuierlichen Verbesserung mit Nach-Vorfall-Überprüfung und Schulungen

Fahren Sie mit den nächsten Leitfäden dieser DORA-Reihe fort:

• Wie man DORA-Vorfallmeldung mit KI umsetzt -- Bauen Sie auf Ihren Erkennungs- und Reaktionsfähigkeiten auf und setzen Sie die spezifischen Vorfallklassifizierungs- und Meldeanforderungen der DORA um
• Wie man DORA-Resilienztests mit KI plant -- Gestalten Sie Ihr Testprogramm, um die Kontrollen und Verfahren zu validieren, die Sie in diesem Rahmen etabliert haben
• Wie man DORA-Drittanbieter-IKT-Risiken mit KI managt -- Erweitern Sie Ihren Risikomanagementrahmen, um die in Ihrem Asset-Inventar identifizierten IKT-Drittanbieter abzudecken

Für gebrauchsfertige Prompts zu jedem Aspekt des IKT-Risikomanagements siehe die DORA-Compliance-Prompt-Bibliothek. Für den vollständigen regulatorischen Überblick verweisen Sie auf den DORA-Compliance-Leitfaden für Finanzunternehmen.

Hilfe erhalten

Für zusätzliche Unterstützung beim Aufbau Ihres IKT-Risikomanagementrahmens:

• Fragen Sie ISMS Copilot: Nutzen Sie Ihren DORA-Arbeitsbereich für die iterative Entwicklung und Überprüfung von Richtlinien
• Laden Sie bestehende Richtlinien hoch: Erhalten Sie gezielte Gap-Analysen, indem Sie aktuelle IKT-Risikodokumentationen hochladen und mit den DORA-Anforderungen vergleichen
• Querverweise von Rahmenwerken: Ordnen Sie bestehende ISO 27001- oder EBA-Guidelines-Kontrollen den DORA-Artikeln 6-16 zu, um frühere Arbeiten zu nutzen
• Validieren Sie Ausgaben: Überprüfen Sie von KI generierte Rahmendokumente vor der Genehmigung durch das Leitungsorgan anhand des DORA-Regulierungstextes und relevanter Regulatorischer Technischer Standards