Das DORA-Puzzle
Komplex - komplexer - DORA. So oder so ähnlich könnte man das Regelwerk und dessen Anforderungen wohl gut beschreiben.
Komplex – komplexer – DORA. So oder so ähnlich könnte man das Regelwerk und dessen Anforderungen wohl gut beschreiben.
- 79 Seiten DORA-Verordnung
- Mehr als ein Duzend Begleitdokumente
- Etwa 500 Anforderungen verteilt über 26 fachliche Domänen
Da fragt sich so manch einer, wo man eigentlich im DORA-Projekt starten und dann den Überblick behalten soll…
Mein Vorschlag: Sagt’s mit einem Bild und startet in der Mitte!
Warum ein Bild? Weil man damit herrlich Geschichten erzählen kann! Über den Status Quo, über Abhängigkeiten zwischen den Themen, über die Zukunft und vor allem über Verantwortlichkeiten!
Aus meiner Sicht ist diese Diskussion von elementarer Bedeutung für jedes DORA-Projekt. Und eine Antwort kann ich schon vorweg nehmen: verantwortlich ist niemals der Dienstleister, denn Verantwortung lässt sich nicht auslagern!
Wir müssen für jedes der 26 Themenfelder eindeutig bestimmen, wer „den Hut auf hat“ – ich nenne diese Personen liebevoll „die Hütchenträger„. Sie kommen immer aus den internen Reihen und sie sind die Experten, die sich mit den DORA-Anforderungen beschäftigen müssen. Sie kennen den Status Quo, sie verstehen die fachlichen Anforderungen und sie legen fest, was zutun ist, um DORA-Compliance in ihrem Verantwortungsbereich herzustellen.
Und warum in der Mitte starten? Weil ein ordentliches „ICT asset & architecture management“ der zentrale Aufsatzpunkt für fast alle anderen Fachdisziplinen ist. Wir reden über nicht weniger als die Architektur des Unternehmens, die es zu beschreiben gilt. Im alten BAIT-Sprech auch bekannt als „Informationsverbund“. Ihr wisst schon – das multi-dimensionale Modell, in dem Informationen, Geschäftsprozesse und Anwendungen miteinander verknüpft werden, um den Überblick über die schützenswerten Assets des Hauses zu bekommen.
Mit diesem Überblick über die Unternehmensarchitektur können wir risikoorientiert die wichtigsten Arbeitspakete im DORA-Projekt angehen.
- Die „kritischen und wichtigen Funktionen“ bestimmen
- Die relevanten Dienstleister für das Informationsregister identifizieren
- Den Status Quo zur Daten- und Systemsicherheit diskutieren
- Die Risikoanalysen für potentielle Gaps erstellen
- … und etwa 500 andere Dinge tun…
Also, macht es EINFACH, sagt es mit einem Bild und fangt in der Mitte an 🙂