Acht Kernfragen & zehn Prüffelder | DORA-Kompass (Arbeitsprobe)

❓ Die acht wichtigsten Fragen

Erst die Frage verstehen, dann bei Bedarf die Antwort aufklappen. Keine unbekannten Unternehmensdaten als Tatsachen darstellen.

1 Welche IT ist für das Geschäft unverzichtbar?

Beispiel: Portfolioverwaltung, Orderabläufe, Kundenkommunikation. Nachfragen: Wer kennt die kritischen Abläufe und deren technische Abhängigkeiten?

Vertiefen: DORA Art. 8 & Inventar

2 Wer betreibt welche Systeme?

Interne Zuständigkeiten und externe IT-Partner unterscheiden. Nachfragen: Gibt es einen zentralen Vertrags- und Dienstleisterüberblick?

Vertiefen: DORA Art. 28–30

3 Wer bekommt welche Zugriffsrechte?

Wie werden Konten eingerichtet, geändert und gelöscht? Wer prüft privilegierte Rechte und MFA?

Vertiefen: Schutz und Zugänge

4 Funktioniert die Wiederherstellung?

Ein Backup ist nur hilfreich, wenn sich wichtige Systeme damit zuverlässig wiederherstellen lassen. Frage: Wann wurde das zuletzt getestet?

Vertiefen: DORA Art. 11–12

5 Was passiert bei einer IT-Störung?

Wer erkennt sie, wer entscheidet über die Dringlichkeit und wer informiert wen? Das gilt auch für mögliche Meldungen an Aufsichtsstellen.

Vertiefen: DORA Art. 17–19

6 Welche IT-Tests sind dokumentiert?

Regelmäßige Tests, Prüfergebnisse und offene Maßnahmen. TLPT ist nur für entsprechend ausgewählte Unternehmen vorgeschrieben.

Vertiefen: DORA Art. 24–27

7 Wie werden Kundendaten geschützt?

Wer ist zuständig für Datenschutz, technische Schutzmaßnahmen und Auftragsverarbeitung mit Dienstleistern?

Vertiefen: DSGVO

8 Was sollte zuerst verbessert werden?

Zwei bis drei Maßnahmen mit hohem Nutzen und vertretbarem Aufwand priorisieren. Zuständige Person, Termin und Erfolgskriterium festlegen.

Vertiefen: 30/60/90 Tage

10 Prüffelder für den IT-Koordinator

Pragmatische Reihenfolge für Bestandsaufnahme und Gespräch. Jeder Punkt führt zu einem passenden Gesetzesartikel in der Themenmatrix weiter.

01 · Sofort – Kritische Funktionen & IT-Abhängigkeiten

Welche Abläufe dürfen nicht ausfallen (Portfolioverwaltung, Orderprozesse, Kundenkommunikation)? Wer besitzt die Prozess-/Systemlandkarte?

Nachweis: BIA, Inventar, Datenflüsse, Owner, RTO/RPO. DORA Art. 8

02 · Sofort – Externe Dienstleister

Wer betreibt welche Systeme? Welche SLAs, Subdienstleister, Audit-Rechte und Exit-Szenarien gibt es?

Nachweis: Dienstleisterregister, IKT-Vertragsübersicht, Verantwortungsmatrix. DORA Art. 28–30

03 · Sofort – Benutzer & Berechtigungen

Wie laufen Eintritt, Wechsel, Austritt und regelmäßige Rezertifizierung? Wer gibt administrative Rechte frei?

Nachweis: IAM-Prozess, MFA, privilegierte Konten, Rezertifizierungen. DORA Art. 9

04 · Sofort – Betriebsstabilität & Backup

Wann wurden Wiederherstellungen tatsächlich getestet? Wie wird Ausfallzeit eines geschäftskritischen Systems überbrückt?

Nachweis: Restore-Protokolle, Notfallplan, BIA, Testkalender. DORA Art. 11–12

05 – Meldewege und Eskalation

Wer entscheidet, ob ein IKT-Vorfall schwerwiegend ist und welche Meldung ausgelöst wird?

Nachweis: Incident-Runbook, Eskalationsmatrix, Klassifizierung. DORA Art. 17–19

06 – DORA-Testprogramm

Welche Tests sind jährlich geplant, welche durch Dienstleister erledigt? Sind Befunde und Nachtests dokumentiert?

Nachweis: Testkalender, Penetrations- und Wiederherstellungstests. DORA Art. 24–25

07 – TLPT-Abgrenzung

Gibt es eine offizielle Auswahl für TLPT, oder nur das allgemeine IKT-Testprogramm? Wer koordiniert eine eventuelle TIBER-EU-Übung?

Nachweis: Aufsichtskommunikation; kein TLPT ohne Bestätigung behaupten. DORA Art. 26–27

08 – Datenschutz & Kundeninformationen

Wie greifen IT, Compliance und Datenschutzbeauftragter ineinander? Welche Verarbeitungen und Drittlandtransfers sind relevant?

Nachweis: TOM, AV-Verträge, VVT, Löschkonzept. DSGVO Art. 28–35

09 – Governance & Kommunikation

Wer priorisiert IT-Risiken und Budgets, wer nimmt Restrisiken ab und wie wird an den Vorstand berichtet?

Nachweis: RACI, Risiko- und Maßnahmenregister, Managementreporting. DORA Art. 5–6

10 – 30/60/90 Tage

30: Systeme, Verträge und offene Risiken verstehen. 60: Verantwortlichkeiten, Backups und Rechte prüfen. 90: priorisierte Quick Wins und DORA-Nachweisplan mit Compliance vereinbaren.

Ergebnis: Transparenz, klarer Maßnahmenplan und ein belastbares Reporting – ohne einen unbelegten Reifegrad vorauszusetzen.