DORA in der Prüfungspraxis – Use-Cases für risikoorientierte Planung und Cyberresilienz

Programm

DORA-konformer risikoorientierter Prüfungsplan

• Prüfung IKT-Risikomanagement gemäß RTS RMF (inkl. Governance, Kommunikationsstrategie, Drittparteienstrategie)
• Management des IKT-Drittparteienrisikos inkl. Informationsregister
• Behandlung und Meldung IKT-bezogener Vorfälle inkl. MVP-Register
• Testverfahren zur digitalen Resilienz (inkl. TLPT bei systemrelevanten Instituten)

IKT-Governance und -Compliance

• Umgang mit Umsetzungsdefiziten und Altlasten
• Bewertung von Projektplänen, SfO-Dokumentation und Umsetzungsnachweisen
• Erste Revisionsfeststellungen zu Governance-Themen

IKT-Geschäftsfortführungsmanagement

• Anforderungen an neue Prozesse inkl. DORA-Pflichtszenarien
• Schwachstellenanalyse (Kommunikationsfunktion, Schulungen, Abhängigkeiten)
• Notfalltests und Kommunikationsstrategie

DORA-Vorfallsmeldung

• Aufbau und Schwächen des Meldewesens
• Meldefähigkeit, Schwellenwertbestimmung, Fristenkontrolle
• Zusammenarbeit mit der Kommunikationsfunktion

IKT-Drittparteienmanagement

• Vertragsanpassungen und Überwachungsprozesse
• SLA-Monitoring, kritische Funktionen und Unterauftragsvergabe
• Umsetzung und Pflege des Informationsregisters im MVP-Portal

Seminarziel

Das Seminar stellt den Ansatz von DORA-Prüfungen auf Basis von ausgewählten „Use-Cases“ und einer angepassten und risikoorientiert ausgerichteten Prüfungsplanung dar. Die Use-Cases sind auf mögliche Cybervorfälle der Institute ausgerichtet und sollen die Erkenntnis liefern, ob aus Sicht der Internen Revision ein angemessenes IKT-Management im Cybervorfall gewährleistet ist. Praktische Schwachpunkte aus DORA-Umsetzungen und erste Prüfungsfeststellungen ergänzen die Ausführungen. Es wird auch das regulatorische Risiko thematisiert – Implikationen für die Leitungsebene sollen von der Internen Revision gezielt herausgearbeitet werden.