habt ihr euch schon gefragt, wo unser liebgewonnener Sollmaßnahmenkatalog in der DORA-Verordnung geblieben ist?

Liebe DORA-Community, habt ihr euch schon gefragt, wo unser liebgewonnener Sollmaßnahmenkatalog in der DORA-Verordnung geblieben ist? In den letzten Jahren war der Sollmaßnahmenkatalog ein zentrales Konzept, um Sicherheitsanforderungen zur Erreichung der Schutzziele festzulegen, Gap-Analysen durchzuführen und IT-Risiken aus bestehenden Lücken abzuleiten.

Liebe DORA-Community,

habt ihr euch schon gefragt, wo unser liebgewonnener Sollmaßnahmenkatalog in der DORA-Verordnung geblieben ist?

In den letzten Jahren war der Sollmaßnahmenkatalog ein zentrales Konzept, um Sicherheitsanforderungen zur Erreichung der Schutzziele festzulegen, Gap-Analysen durchzuführen und IT-Risiken aus bestehenden Lücken abzuleiten. Laut BAIT sollte er dokumentiert werden und „Anforderungen enthalten, die zur Erreichung des jeweiligen Schutzbedarfs angemessen sind“.

Ziel war es, ein Mindestschutzniveau für alle IKT-Assets sicherzustellen – unabhängig von der konkreten Bedrohungslage. Damit sollte gewährleistet werden, dass wir gut für den Ernstfall aufgestellt sind.

Mit der DORA-Verordnung verschiebt sich jedoch der Fokus von der Informationssicherheit hin zu einem risikoorientierten Ansatz. Es überrascht daher nicht, dass es keine direkte Fortschreibung des Konzepts gibt. Stattdessen liegt der Schwerpunkt auf einem angemessenen IKT-Risikomanagement, das wir eigenverantwortlich sicherstellen müssen.

⁉️ Aber was passiert mit dem Katalog, wenn die xAIT für viele Finanzunternehmen ausläuft und dieses Konzept in DORA nicht mehr zu finden ist?

💚 Keine Sorge, ich kann Entwarnung geben! Der Katalog verschwindet nicht einfach – er wird nur subtiler eingefordert, als wir es gewohnt sind!

Kürzlich erhielt ich einen Tipp, wo sich dieses Konzept wiederfinden lässt. Also habe ich die DORA-Verordnung durchforstet – und bin tatsächlich an zwei entscheidenden Stellen fündig geworden!

1. 🔎 Ein erster Hinweis findet sich in Artikel 3 (c) des RTS zum IKT-Risikomanagement. Hier wird verlangt, dass wir Verfahren zur Behandlung von IKT-Risiken entwickeln, einschließlich der Festlegung von Maßnahmen, um Risiken unter die Risikotoleranzschwelle zu senken. Diese Formulierung deutet auf eine Art Sollmaßnahmenskatalog hin, da es um die systematische Festlegung von Risikominderungsmaßnahmen geht.
2. 🔎 Ein zweiter, klarerer Hinweis findet sich in Artikel 11 (2k) des RTS zum Risikomanagement. Hier wird verlangt, dass wir Anforderungen zur Aufrechterhaltung der digitalen Resilienz definieren, die auf die Klassifizierung der verarbeiteten Daten und der Kritikalität der IKT-Assets abgestimmt sind. Diese Formulierung ähnelt sehr den Anforderungen in den BAIT, wonach wir im Sollmaßnahmenkatalog „Maßnahmen zur Erreichung des jeweiligen Schutzbedarfs“ festlegen sollten.

Ihr seht also: Der Sollmaßnahmenkatalog bleibt bestehen und sollte auch unter DORA weiterentwickelt und genutzt werden. 🙂

Einen schönen Abend und bis bald!