Die DORA-Verordnung führt neue Anforderungen für das Management von IKT-Drittparteirisiken ein. In der „alten“ BAIT-Welt umfasste dies sämtliche Aktivitäten rund um das Management von IT-Auslagerungen und IT-Fremdbezügen.
Weiterlesen: Deep Dive: Management des IKT-Drittparteirisikos
Die DORA-Anforderungen im Bereich Drittparteienrisikomanagement, Subcontracting Management und operative Dienstleistersteuerung sind keine leichte Kost, aber endlich sehe ich Licht am Ende des Tunnels. Heute nehmen wir das Puzzlestück „ICT Provider Management und Service Level Management“ unter die Lupe.
Die Zeit bis zur Anwendung der DORA-Verordnung wird zunehmend kürzer. Daher arbeiten wir in der DORA-Werkstatt mit Hochdruck an der Extraktion der Anforderungen aus dem Regelwerk und präsentieren heute den nächsten Deep Dive zum Thema Logging.
Die DORA-Werkstatt läuft weiterhin auf Hochtouren und extrahiert aus dem Regelwerk kontinuierlich die Anforderungen für jede fachliche Domäne aus dem DORA-Puzzle. Bereits verfügbar sind der initiale DORA Deep Dive (Stand Mai 2024) der Deep Dive zur Domäne „Threat-led pentetration testing“ sowie der Deep Dive zur Domäne „Subcontracting management„.
Vor genau vier Wochen haben die drei Europäischen Aufsichtsbehörden EBA, EIOPA und ESMA (die ESAs) den letzten der noch fehlenden RTS zum Thema „Subcontracting“ unter DORA veröffentlicht – ein idealer Zeitpunkt, um den ursprünglichen DORA Deep Dive zu überarbeiten und die Anforderungen aus dem finalen Regelwerk systematisch abzuleiten.
Vor kurzem wurde im Kontext der DORA-Verordnung der finale Entwurf zum RTS „Threat Led Penetration Testing“ (TLPT) veröffentlich. Ein perfekter Moment, um die TLPT-Anforderungen aus dem ersten DORA Deep Dive zu überprüfen und um auf das nächst tiefere Anforderungslevel zu wechseln.
Einige Beiträge habe ich nun schon zu den Anforderungen an die Strategien, Policies und Procedures gemäß DORA verfasst und noch immer fehlt mir irgendwie eine klare Vorstellung, welche Dokumente in der schriftlich fixierten Ordnung (SfO) zu überarbeiten oder gänzlich neu zu erstellen sind.
Weiterlesen: Der DORA-Tempel – eine Übersicht über die schriftlich fixierte Ordnung gemäß DORA
Diese Frage beschäftigt derzeit viele von uns und mit jeder Woche, die verstreicht, steigt die Nervosität, nicht alles bis zum 17.01.2025 schaffen zu können. Aber müssen wir das überhaupt?
Hat noch jemand das Gefühl, den Überblick über die geltenden IT-Regularien zu verlieren, da die Verordnungen, Richtlinien und Gesetze aus dem Boden schießen, wie Pilze im Wald? Für einen Struktur-Mensch wie mich ist das nur schwer zu ertragen.
Wichtig zu wissen Die NIS2-Durchführungsverordnung wird nach Inkraftsetzung durch die EU (geplant für 18. Oktober 2024) für alle betroffenen Unternehmen unmittelbar gelten und muss nicht nochmal extra durch den deutschen Gesetzgeber in nationales Recht überführt werden.
