in den letzten zwei Wochen war es hier etwas ruhiger, denn mein neuestes DORA-Cheatsheet hat mich ordentlich Nerven gekostet

Liebe DORA-Community, in den letzten zwei Wochen war es hier etwas ruhiger, denn mein neuestes DORA-Cheatsheet hat mich ordentlich Nerven gekostet. Worum ging es ?

Liebe DORA-Community,
in den letzten zwei Wochen war es hier etwas ruhiger, denn mein neuestes DORA-Cheatsheet hat mich ordentlich Nerven gekostet.

Worum ging es?
Ich wollte endlich Klarheit darüber bekommen, welche Themen nun wirklich in unseren IKT-Verträgen stehen und mit den Dienstleistern verhandelt werden müssen.

Wer denkt, dass dies eine einfache Aufgabe gewesen wäre, nur weil es die Aufsichtsmitteilung der BaFin zu den „Mindestvertragsinhalten DORA“ gibt, der hat sich getäuscht.

Die Herausforderungen?

1. Erst vor etwa drei Wochen wurde eine neue (hoffentlich finale) Version des RTS zur Unterauftragsvergabe veröffentlicht. Die darin enthaltenen Vertragsanforderungen konnten also nicht vollständig in der Aufsichtsmitteilung aus Sommer 2024 berücksichtigt worden sein und mussten nun ergänzt werden.
2. Zudem fehlten in der Aufsichtsmitteilung einige wichtige Vertragsanforderungen, die sich in den Untiefen der DORA-Verordnung (abseits der bekannten Artikel 30 (2) und (3)) versteckt haben. Diese kann man leider nur finden, wenn man mit der Lupe durch das Regelwerk geht.
3. Und dann gibt es ja auch noch die Mindestinhalte aus AT 9 Tz. 7 MaRisk, die berücksichtigt werden müssen, sofern unsere IKT-Verträge als wesentliche Auslagerungen einzustufen sind.

Der Lösungsansatz?

• Ich habe zunächst alle relevanten Textstellen in MaRisk und DORA identifiziert und die teils umfassenden Anforderungsblöcke in elementare Einzelanforderungen zerlegt.
• Anschließend habe ich diese Anforderungen thematisch geclustert, um mir einen Überblick über das Themenspektrum zu verschaffen und eingängige Kurzbeschreibungen anzulegen.
• Außerdem habe ich die Redundanzen identifiziert und eliminiert, indem ich die Anforderungen generischer formuliert habe.
• Schlussendlich musste ich mir noch eine gute visuelle und textuelle Aufbereitung einfallen lassen, mit der man auch vernünftig arbeiten kann.

Ich bin gespannt, was ihr dazu sagt und freue mich auf euer Feedback zu meinem neuesten Cheatsheet.

P.s. Mehr aus der DORA-Werkstatt gibt es übrigens auf meiner Website www.marlen-hofmann.de. Dort findet ihr zum Beispiel auch die Möglichkeit, meine Schulungsfolien und meinen detaillierten DORA-Anforderungskatalog zu erwerben 😅