Der DORA-Tempel – eine Übersicht über die schriftlich fixierte Ordnung gemäß DORA
Einige Beiträge habe ich nun schon zu den Anforderungen an die Strategien, Policies und Procedures gemäß DORA verfasst und noch immer fehlt mir irgendwie eine klare Vorstellung, welche Dokumente in der schriftlich fixierten Ordnung (SfO) zu überarbeiten oder gänzlich neu zu erstellen sind. Zuletzt hatte ich Stecknadeln im DORA-Puzzle gesetzt, um zu verdeutlichen, innerhalb welcher fachlichen Do…
Einige Beiträge habe ich nun schon zu den Anforderungen an die Strategien, Policies und Procedures gemäß DORA verfasst und noch immer fehlt mir irgendwie eine klare Vorstellung, welche Dokumente in der schriftlich fixierten Ordnung (SfO) zu überarbeiten oder gänzlich neu zu erstellen sind.
Zuletzt hatte ich Stecknadeln im DORA-Puzzle gesetzt, um zu verdeutlichen, innerhalb welcher fachlichen Domänen überhaupt Handlungsbedarf besteht. Die Formulierungen im Regelwerk sind aber dennoch interpretationsbedürftig und wir müssen uns eine eigene Meinung zur Dokumentenlandschaft bilden.
Dazu möchte ich heute den „Tempel des DORA“ vorstellen. Die Übersicht enthält alle wesentlichen Dokumente, die meiner Meinung nach als Mindestdokumentation anzusehen sind und die in einem gut gepflegten Zustand vorgehalten werden sollten. Wir reden insgesamt über drei Strategien, 18 Policies und 23 Procedures.
Da die meisten dieser Dokumente bereits durch die bestehende BAIT-Regulierung vorhanden sein sollten, ist hauptsächlich eine Überprüfung erforderlich, welche zusätzlichen Anforderungen aus DORA hervorgehen und welche Anpassungen in der SfO vorgenommen werden müssen.
Besonders wichtig: Gemäß Art. 2 des RTS zum IKT-Risikomanagement müssen alle Richtliniendokumente das Datum der förmlichen Genehmigung durch das Leitungsorgan enthalten – eine Anforderung, die es meines Wissens nach bisher so nicht gab und die auf eine aktive Einbindung des Leitungsorgans in das IKT-Risikomanagement einzahlt.
