Neues aus der DORA-Werkstatt

Seit meinem letzten Beitrag sind einige Tage vergangen, doch natürlich ist in der DORA-Werkstatt nicht 'Nichts' passiert ;-) Der nächste Meilenstein zur Herstellung einer transparenten Anforderungslage ist fast erreicht und in Kürze werde ich die Erkenntnisse zu den DORA-Anforderungen teilen. Zum besseren Verständnis braucht es aber ein paar methodische Erläuterungen zum Vorgehen und zur Darste…

Seit meinem letzten Beitrag sind einige Tage vergangen, doch natürlich ist in der DORA-Werkstatt nicht ‚Nichts‘ passiert 😉

Der nächste Meilenstein zur Herstellung einer transparenten Anforderungslage ist fast erreicht und in Kürze werde ich die Erkenntnisse zu den DORA-Anforderungen teilen. Zum besseren Verständnis braucht es aber ein paar methodische Erläuterungen zum Vorgehen und zur Darstellung der Ergebnisse.

Wie bereits im vorherigen Artikel dargestellt, haben wir eine strukturierte, datenbasierte Analyse durchgeführt und mithilfe von definierten Suchbegriffen das gesamte Regelwerk nach konkreten Artefakten und Anforderungen durchsucht. Für die Methodik-Fans findet sich nachstehend eine Übersicht der verwendeten Schlüsselwörter:

agreement; analyse; analysis; approach; arrangement; assess; assessment; certificate; certifications; contract; control; design; document; evaluate; evidence; framework; function; guideline; identification; identify; indicator; instruction; instrument; internal control; inventory/ies; landscape; library/ies; log; measure; mechanism; method; metric; model; objective; plan; policy; practice; procedure; process; protocol; questionnaires; recommendation; record; register; report; review; risk profile; role; rule; safeguard; software; specification; standard; strategy/ies; technique; template; test; tool

Die Trefferzahl war beeindruckend und gleichermaßen erschreckend, denn DORA ist viel mehr als die im Umlauf befindlichen DORA-Broschüren vermuten lassen. In der Regel werden hier nämlich ’nur‘ folgende fünf Handlungsbereiche benannt:

IKT-Risikomanagement
Umgang mit IKT-bezogenen Vorfällen
Testen der digitalen operationalen Resilienz
Management des IKT-Drittparteienrisiko
Informationsaustausch

Wie man in der DORA-Übersicht sehen kann, sind das im Prinzip aber lediglich die Kapitelüberschriften der Verordnung ohne eine fundierte inhaltliche Auseinandersetzung mit den tatsächlichen Anforderungen. Und das ist aus meiner Sicht ein Problem, denn aufgrund unserer bisherigen nationalen Regulatorik (BAIT) haben wir alle konkrete Bilder und Erwartungen im Kopf, was darunter zu verstehen ist und was genau nicht damit gemeint sein kann.

Dazu ein Beispiel: bei dem Begriff IKT-Risikomanagement denken wahrscheinlich viele von uns an BAIT 3, Informationsrisikomanagement und an die darin enthaltenen Anforderungen an die Strukturanalyse, die Schutzbedarfsanalyse und die IT-Risikoanalyse. Blickt man jedoch auf die Anforderungen im ähnlich klingenden DORA-Kapitel zum IKT Risikomanagement bemerkt man schnell, dass die Autoren deutlich weitreichendere Themen verarbeiten.

Durch unsere strukturierte Suche mit definierten Suchbegriffen ist uns ein deep-dive mit unerwartetem Ausmaß in die DORA-Verordnung gelungen. Insgesamt haben wir eine mittlere dreistellige Zahl von DORA-Anforderungen bestimmt. Die schiere Anzahl und das fachliche Themenspektrum der Anforderungen verdeutlichen schnell, dass wir diese nicht im stillen Kämmerlein umsetzen und auch nicht per „Excel-Listen-Weitwurf“ in der halben Bank verteilen können. Es stellt sich also die Frage, wie man den Elefanten in Scheiben schneidet und adressatengerecht an die „richtigen“ Fachbereiche und Teams aussteuert, die sich mit der Umsetzung der Anforderungen befassen können.

Unser Ansatz: wir haben fachliche Domänen gebildet, denen wir die DORA-Anforderungen zuordnen. Hierdurch erreichen wir eine fachliche Gruppierung der Anforderungen und können sie sinnvoll in der Bank zur Umsetzung adressieren.

Erstmals hatte ich diesen Ansatz schon im Beitrag zum Mapping der DORA-Anforderungen auf die ISO 27001 vorgestellt, in dem ich die wesentlichen Stratgies, Policies und Procedures den Domänen der ISO27001 zugeordnet hatte. Bereits damals war mir jedoch aufgefallen, dass sich einige DORA-Anforderungen nicht oder nur schwer zuordnen lassen, da sie das fachliche Spektrum der Norm verlassen. Warum ist das so? Weil die ISO 27001 im Kern auf das Thema IT- und Informationssicherheit fokussiert und andere Aspekte des IT-Managements (die DORA ebenso adressiert) vernachlässigt. Hier helfen andere Frameworks und Standards weiter, darunter z.B. Cobit2019, ITILv4 oder ISO20000.

Unser Domänenmodell nutzt daher alle oben genannten Frameworks und umfasst insgesamt 26 fachliche Domänen, die uns eine zielgruppengerechte Bündelung von fachlichen, technischen und sicherheitstechnischen Anforderungen der DORA erlauben. Zusätzlich haben wir die Domänen den Kapiteln der BAIT zugeordnet und versprechen uns davon eine deutliche Vereinfachung der Gap-Analyse zur DORA-Verordnung.

Ein erster kleiner Sneak Preview am Beispiel der Domäne „(ICT) strategy management“ findet sich nachstehend. Die weiteren Inhalte folgen zeitnah 🙂