DORA-Compliance-Promptbibliothek

Bewertung der DORA-Anwendbarkeit auf unsere Organisation:

Organisationstyp: [Kreditinstitut/Zahlungsinstitut/Wertpapierfirma/Anbieter von Krypto-Dienstleistungen/Versicherungsunternehmen/IKT-Drittanbieter]
EU-Präsenz: [in der EU ansässig/Niederlassung in der EU/Erbringung von Dienstleistungen für EU-Finanzinstitute]
Aktivitäten: [Beschreibung der erbrachten Finanzdienstleistungen]

Ermitteln Sie:
- Welche DORA-Kapitel auf uns anwendbar sind (IKT-Risikomanagement, Incident-Meldung, Resilienztests, Risiken durch Dritte, Informationsaustausch)
- Ob wir als kritischer IKT-Drittanbieter eingestuft werden
- Verhältnismäßigkeitserwägungen (Bestimmungen für kleine, nicht vernetzte Unternehmen)
- Wichtige Compliance-Fristen und schrittweise Umsetzungszeitpläne

Erstellen Sie eine DORA-Geltungsbereichserklärung und einen Compliance-Fahrplan.

Durchführung einer Gap-Analyse unseres aktuellen IKT-Risikomanagements im Vergleich zu den fünf DORA-Säulen:

Aktueller Stand:
- IKT-Risikomanagement: [Beschreibung der aktuellen Praktiken]
- Incident-Management: [aktuelle Incident-Reaktion und -Meldung]
- Resilienztests: [aktuelle Testaktivitäten]
- Risiken durch Dritte: [Praktiken des Lieferantenmanagements]
- Informationsaustausch: [Teilnahme an Bedrohungsinformationen]

Für jede DORA-Säule liefern Sie:
- Wichtige regulatorische Anforderungen
- Unser aktuelles Compliance-Niveau (konform/teilweise konform/nicht konform)
- Spezifische Lücken und fehlende Kontrollen
- Risikobewertung (kritisch/hoch/mittel/niedrig)
- Empfehlungen zur Behebung
- Geschätzter Aufwand und Zeitplan zur Erreichung der Compliance

Priorisieren Sie nach Frist: DORA ist seit dem 17. Januar 2025 in Kraft.

Erstellen Sie eine umfassende IKT-Risikomanagement-Richtlinie gemäß DORA Artikel 6:

Organisation: [Name und Typ]
IKT-Umgebung: [Systeme, Infrastruktur, kritische Dienstleistungen]

Richtlinienabschnitte:
- Governance-Struktur (Rollen des Leitungsorgans, CIO/CISO, Risikofunktionen)
- Identifizierung, Klassifizierung und Bewertung von IKT-Risiken
- Schutz- und Präventionsmaßnahmen
- Erkennungsfähigkeiten und Überwachung
- Reaktions- und Wiederherstellungsverfahren
- Lernen und Weiterentwicklung (Lessons Learned, kontinuierliche Verbesserung)
- Kommunikation und Berichterstattung (an das Leitungsorgan, Aufsichtsbehörde)
- Integration in das Gesamt-Risikomanagement
- Verhältnismäßigkeit und risikobasierter Ansatz

Stellen Sie die Ausrichtung auf DORA Artikel 5-16 und aufsichtsrechtliche Erwartungen sicher.

Entwickeln Sie ein IKT-Asset-Inventar und ein Klassifizierungsschema gemäß DORA Artikel 8:

Unsere IKT-Landschaft:
- Anwendungen: [Liste geschäftskritischer Anwendungen]
- Infrastruktur: [Rechenzentren, Cloud-Dienste, Netzwerke]
- Datenrepositorien: [Datenbanken, Data Warehouses]
- Dienstleistungen Dritter: [kritische IKT-Anbieter]

Für jede Asset-Kategorie liefern Sie:
- Inventarvorlage (Asset-ID, Beschreibung, Verantwortlicher, Standort)
- Klassifizierungskriterien (Kritikalität, Vertraulichkeitsanforderungen, Verfügbarkeitsanforderungen)
- Abhängigkeiten und Verbindungen
- Geschäftsauswirkungen bei Nichtverfügbarkeit
- Wiederherstellungszeitziele (RTO)
- Anforderungen an die unterstützende Dokumentation

Erstellen Sie ein Register-Template, das für die laufende Pflege und aufsichtsrechtliche Überprüfung geeignet ist.

Erstellen Sie IKT-Business-Continuity- und Disaster-Recovery-Pläne, die DORA Artikel 11 erfüllen:

Kritische Funktionen: [Liste regulierter/geschäftskritischer Funktionen]
Abhängigkeiten: [IKT-Systeme, die jede Funktion unterstützen]
Risikoszenarien: [Cyberangriffe, Systemausfälle, Ausfälle von Anbietern]

Für jede kritische Funktion entwickeln Sie:
- Impact-Analyse (RTO, RPO, Kritikalität)
- Wiederherstellungsstrategien (Failover, Backup-Systeme, manuelle Workarounds)
- Aktivierungskriterien und Entscheidungsfindung
- Kommunikationsplan (intern, Kunden, Behörden)
- Testanforderungen (Häufigkeit, Umfang, Szenarien)
- Verfahren zur Pflege und Aktualisierung der Pläne

Berücksichtigen Sie DORA-spezifische Anforderungen: schwere IKT-bezogene Vorfälle, Ausfälle von Drittanbietern, Überprüfung der Business-Continuity-Richtlinie durch das Leitungsorgan.

Entwickeln Sie ein Verfahren zur Klassifizierung und Meldung von IKT-Vorfällen gemäß DORA Artikel 17-20:

Vorfallskategorien, denen wir begegnen könnten:
- Cyberangriffe: [Ransomware, DDoS, Datenpannen]
- Systemausfälle: [Anwendungsfehler, Infrastrukturausfälle]
- Datenintegritätsprobleme: [Datenkorruption, unbefugte Änderungen]
- Ausfälle Dritter: [Ausfälle kritischer Anbieter]

Erstellen Sie:
- Klassifizierungsschema für Vorfälle (schwere Vorfälle, die eine Meldung an die Aufsicht erfordern)
- Wesentlichkeitsschwellen, abgestimmt auf RTS (betroffene Kunden, Dauer, Datenauswirkung, Reputationsschaden, finanzielle Verluste)
- Frist für die Erstmeldung (4 Stunden für schwere Vorfälle in einigen Jurisdiktionen)
- Fristen für Zwischen- und Abschlussberichte
- Anforderungen an die Ursachenanalyse
- Integration in bestehende Incident-Response-Prozesse (CSIRT, SOC)

Vorlagen für Meldungen an die zuständigen Behörden in vorgeschriebenen Formaten.

Erstellen Sie IKT-Incident-Response-Verfahren gemäß DORA Artikel 17:

Struktur des Reaktionsteams:
- Incident Commander: [Rolle]
- Technisches Team: [Sicherheit, Betrieb, Anwendungen]
- Kommunikation: [intern, extern, regulatorisch]
- Recht und Compliance: [Datenschutzbeauftragter, Rechtsberatung, Compliance]

Verfahrensbestandteile:
- Erkennungs- und Alarmierungsmechanismen
- Ersteinschätzung und Klassifizierung
- Eindämmungs- und Beseitigungsschritte
- Wiederherstellung und Instandsetzung
- Beweissicherung (Forensik)
- Kommunikationsprotokolle (Aufsichtsbehörde, Kunden, Medien)
- Nachbereitung und Lessons Learned
- Integration in die GDPR-Meldepflicht bei Datenschutzverletzungen (falls zutreffend)

Berücksichtigen Sie DORA-spezifische Elemente: freiwillige Meldung von Vorfällen an das CSIRT-Netzwerk, grenzüberschreitende Zusammenarbeit mit anderen Behörden.

Gestalten Sie ein Programm zum Testen der digitalen operationellen Resilienz gemäß DORA Artikel 24-26:

Unser Risikoprofil:
- Organisationstyp: [ob bedeutendes/kritisches Finanzinstitut]
- IKT-Komplexität: [Systeme, Auslagerungsgrad]
- Bedrohungslandschaft: [relevante Cyberbedrohungen]

Komponenten des Testprogramms:

1. Grundlegende Tests (für alle Institute):
- Schwachstellenanalysen: [Häufigkeit, Umfang, Tools]
- Open-Source-Analysen: [Bedrohungsinformationen, Schwachstellendatenbanken]
- Netzwerksicherheitsbewertungen: [externe/interne Penetrationstests]
- Gap-Analysen: [Kontrollbewertungen]
- Physische Sicherheitsüberprüfungen: [Rechenzentren, Büros]
- Fragebögen und Scans: [Überprüfungen der Sicherheitslage]
- Quellcodeprüfung: [kritische Anwendungen]
- Szenariobasierte Tests: [Business Continuity, Disaster Recovery]
- Kompatibilitätstests: [Software-Upgrades, Patches]
- Leistungstests: [Kapazität, Stresstests]

2. Erweiterte Tests (für bedeutende Institute):
- Threat-Led Penetration Testing (TLPT): Red-Team-Übungen, die reale Angriffe simulieren
- TLPT-Umfang, Häufigkeit (alle 3 Jahre) und Methodik
- Verwendung des TIBER-EU- oder eines gleichwertigen Frameworks
- Interne vs. externe Tester
- Koordination und Schutzmaßnahmen des White Teams

Erstellen Sie einen Testplan, Umfangdefinitionen und Anforderungen an die Ergebnisse.

Erstellen Sie ein Rahmenwerk für das IKT-Risikomanagement Dritter gemäß DORA Artikel 28-30:

Unsere Landschaft der Drittanbieter:
- Kritische IKT-Anbieter: [Cloud, Rechenzentren, Zahlungsabwickler, Softwareanbieter]
- Unterstützende Anbieter: [weniger kritische Dienstleistungen]
- Vertragliche Vereinbarungen: [Beschreibung der aktuellen Verträge]

Elemente des Rahmenwerks:

1. Strategie für das Risikomanagement Dritter (Artikel 28):
- Kriterien und Methodik für die Risikobewertung
- Due-Diligence-Anforderungen (vor Vertragsabschluss, laufend)
- Management von Konzentrationsrisiken (übermäßige Abhängigkeit von einzelnen Anbietern)
- Risiken durch Subunternehmer und vierte Parteien
- Exit-Strategien und Übergangsplanung

2. Wichtige vertragliche Bestimmungen (Artikel 30):
- Service-Level-Agreements (Verfügbarkeit, Leistung)
- Zugangs-, Audit- und Inspektionsrechte
- Anforderungen an Datensicherheit und -standort
- Meldepflichten bei Vorfällen
- Kündigungsrechte und Unterstützung
- Einschränkungen und Meldungen bei Subunternehmern

3. Register der Informationen (Artikel 28):
- Inventar der IKT-Drittvereinbarungen
- Kritikalitätsklassifizierung (kritisch/wichtig vs. unterstützend)
- Verarbeitete Daten und Standorte
- Zusammenfassung der vertraglichen Bedingungen
- Risikobewertungen und Kontrollen

Stellen Sie die Einhaltung der EBA/ESMA/EIOPA-Leitlinien zur Auslagerung sicher.

Bewerten Sie, ob unsere IKT-Dienstleister gemäß DORA als „kritisch“ einzustufen sind, und die damit verbundenen Auswirkungen:

Unsere wichtigsten Anbieter:
[Liste der wichtigsten IKT-Anbieter und die von ihnen erbrachten Dienstleistungen]

Analysieren Sie für jeden Anbieter:
- Kritikalität für unsere Abläufe (wesentliche Funktion, systemische Bedeutung)
- Ersetzbarkeit (Verfügbarkeit von Alternativen, Wechselkosten)
- Anzahl der bedienten Finanzinstitute
- Ob sie die Schwellenwerte für kritische Drittanbieter erfüllen

Falls der Anbieter als kritisch eingestuft wird:
- Zusätzliche Aufsicht durch den Lead Overseer
- Verpflichtende Zusammenarbeit bei Aufsichtstätigkeiten
- Erweiterte vertragliche Bestimmungen
- Meldepflichten bei Vorfällen
- Anforderungen an Resilienz und Tests

Entwickeln Sie eine Strategie für das Management von Beziehungen zu kritischen Anbietern unter dem verstärkten Aufsichtsregime.

Einrichtung der Teilnahme an Informationsaustauschvereinbarungen gemäß DORA Artikel 45:

Möglichkeiten zum Informationsaustausch:
- ISACs des Finanzsektors (Information Sharing and Analysis Centers)
- Nationale Cybersicherheitsbehörden und CSIRTs
- Branchen-Peergroups
- Plattformen für Bedrohungsinformationen

Teilnahme-Rahmenwerk:
- Arten von Informationen, die geteilt werden (Indikatoren für Bedrohungen, Schwachstellen, Vorfälle, Abwehrmaßnahmen)
- Arten von Informationen, die empfangen werden (Bedrohungsinformationen, Angriffsmuster, Empfehlungen zur Abwehr)
- Anforderungen an Vertraulichkeit und Anonymisierung
- Rechtliche Schutzmaßnahmen für den Austausch (DSGVO-Compliance, Haftungsschutz)
- Operative Verfahren (wie, mit wem, wann geteilt wird)
- Interne Genehmigungsprozesse
- Feedback-Schleifen und Lessons Learned

Berücksichtigen Sie DORA-Bestimmungen: freiwillige Teilnahme, Haftungsschutz, Vertraulichkeit, DSGVO-Ausnahmen für Cybersicherheitszwecke.

Definieren Sie die Verantwortlichkeiten des Leitungsorgans für IKT-Risiken gemäß DORA Artikel 5:

Unsere Governance-Struktur:
- Zusammensetzung des Leitungsorgans: [Vorstand, Geschäftsführung]
- IKT-Risikofunktion: [CIO, CISO, IT-Risikoteam]
- Berichtswege: [wie IKT-Risiken an das Leitungsorgan kommuniziert werden]

Verantwortlichkeiten des Leitungsorgans:
- Genehmigung des IKT-Risikomanagement-Rahmenwerks
- Genehmigung der Strategie für digitale operationelle Resilienz
- Aufsicht über IKT-Risikoexposition und Risikoappetit
- Zuweisung von Ressourcen und Budget für IKT-Risiken
- Genehmigung von IKT-Business-Continuity- und Disaster-Recovery-Plänen
- Überprüfung der Ergebnisse und Erkenntnisse aus Resilienztests
- Aufsicht über IKT-Risiken durch Dritte
- Genehmigung größerer IKT-Änderungen und -Projekte

Erstellen Sie:
- Aufgabenbeschreibung für die IKT-Risikoaufsicht (Ausschuss des Leitungsorgans oder Gesamtgremium)
- Berichtsvorlagen (IKT-Risiko-Dashboard, Incident-Zusammenfassungen, Testergebnisse)
- Häufigkeit und Tagesordnungspunkte von Sitzungen
- Schulungsanforderungen für nicht geschäftsführende Mitglieder zu IKT-Risiken

Stellen Sie sicher, dass das Leitungsorgan IKT-Risiken versteht und aktiv beaufsichtigt, anstatt nur formal zu genehmigen.

Entwickeln Sie eine umfassende DORA-Compliance-Dokumentation für die aufsichtsrechtliche Überprüfung:

Dokumentationsanforderungen nach DORA-Kapiteln:

Kapitel II (IKT-Risikomanagement):
- IKT-Risikomanagement-Rahmenwerk und -Richtlinie
- IKT-Asset-Inventar und -Klassifizierung
- Business-Impact-Analysen
- IKT-Business-Continuity- und Disaster-Recovery-Pläne
- Backup- und Wiederherstellungsverfahren
- Change-Management-Verfahren
- Patch-Management-Verfahren

Kapitel III (Incident-Management):
- Incident-Response-Verfahren
- Methodik zur Vorfallsklassifizierung
- Incident-Register und Meldeunterlagen
- Ursachenanalysen und Lessons Learned

Kapitel IV (Tests):
- Resilienztestprogramm und -plan
- Testergebnisse und Erkenntnisse
- Maßnahmenpläne und Nachweise
- TLPT-Berichte (falls zutreffend)

Kapitel V (Risiken durch Dritte):
- Richtlinie für das Risikomanagement Dritter
- Register der IKT-Drittvereinbarungen
- Due-Diligence-Bewertungen
- Verträge mit wichtigen Bestimmungen
- Exit-Pläne

Governance:
- Protokolle des Leitungsorgans (Diskussionen und Genehmigungen zu IKT-Risiken)
- IKT-Risikoberichte an das Leitungsorgan
- Schulungsunterlagen für das Leitungsorgan

Erstellen Sie eine Struktur für ein DORA-Compliance-Repository und einen Plan zur Sammlung von Nachweisen für laufende aufsichtsrechtliche Prüfungen.

Abgleich der DORA-Anforderungen mit unseren bestehenden Compliance-Rahmenwerken, um Dopplungen zu vermeiden:

Bestehende Rahmenwerke:
- ISO 27001: [falls zertifiziert oder implementiert]
- NIS2: [falls als wesentliche/wichtige Einrichtung im Geltungsbereich]
- DSGVO: [Datenschutz und Meldepflicht bei Datenschutzverletzungen]
- SOC 2: [falls Dienstleistungen für US-Kunden erbracht werden]
- PCI DSS: [falls Kartendaten verarbeitet werden]

Für jede DORA-Anforderung identifizieren Sie:
- Überschneidungen mit bestehenden Kontrollen
- Lücken, die neue Kontrollen erfordern
- Möglichkeiten für integrierte Compliance (z. B. einheitliches Testprogramm)
- Widersprüchliche Anforderungen, die einer Abstimmung bedürfen
- Gemeinsame Nachweise und Dokumentation

Erstellen Sie ein integriertes Compliance-Rahmenwerk, das bestehende Investitionen nutzt und gleichzeitig DORA-spezifische Anforderungen erfüllt (z. B. Aufsicht durch das Leitungsorgan, Fristen für die Meldung von Vorfällen, TLPT).