Seminar DORA Grundlagen und Anwendungsbereich

Beschreibung

DORA verbindet die Steuerung von IKT-Risiken mit der Fähigkeit, digitale Leistungen auch bei Störungen aufrechtzuerhalten und geordnet wiederherzustellen. Das Seminar erschließt die Anforderungen anhand eines fiktiven Finanzunternehmens mit interner IT, Cloud-Diensten und weiteren Dienstleistern. Seit dem 17. Januar 2025 steht die praktische Anwendung im laufenden Betrieb im Mittelpunkt.

Die Schulung entwickelt ein nachvollziehbares Vorgehen von der Prüfung des Anwendungsbereichs bis zur ersten Maßnahmenübersicht. Dabei werden gesetzliche Anforderungen, technische Standards und betriebliche Ausgestaltung unterschieden. Bestehende Sicherheits- und Risikomanagementprozesse werden auf ihre Anschlussfähigkeit untersucht. Die Einordnung von Ausnahmen und Erleichterungen erfolgt anhand der jeweiligen Unternehmenskategorie und des tatsächlichen Risikoprofils.

Lernziele

• Den Anwendungsbereich und die betroffenen Rollen anhand eines Fallbeispiels einordnen.
• Die zentralen DORA-Handlungsfelder und ihre betrieblichen Schnittstellen erklären.
• Vorhandene Dokumente und Kontrollen einer ersten Bestandsaufnahme zuordnen.
• Verantwortlichkeiten, offene Fragen und nächste Arbeitsschritte strukturiert festhalten.

Seminarinhalte

Inhaltsübersicht: Einordnung und Begriffe; Handlungsfelder im Zusammenhang; Verantwortung und Organisation; Bestehende Verfahren einbinden; Erste Bestandsaufnahme.

Einordnung und Begriffe

• Digitale operationale Resilienz, IKT-Dienstleistung sowie kritische oder wichtige Funktion unterscheiden.
• Finanzunternehmen, IKT-Drittdienstleister und besonders überwachte kritische Anbieter einordnen.
• Proportionalität, Ausnahmen und vereinfachten IKT-Risikomanagementrahmen getrennt betrachten.

Handlungsfelder im Zusammenhang

• IKT-Risikomanagement, Vorfallbehandlung, Resilienztests und Drittparteienrisiken zusammenführen.
• Informationsaustausch über Cyberbedrohungen als freiwilliges, geregeltes Kooperationsfeld einordnen.
• Abhängigkeiten zwischen Inventar, Kontrollen, Meldungen und Wiederherstellung erkennen.

Verantwortung und Organisation

• Aufgaben von Leitungsorgan, IT-Betrieb, Kontrollfunktionen und interner Revision abgrenzen.
• Dokumentierte Entscheidungen, Eskalationswege und regelmäßige Berichte planen.
• Schulungsbedarf und angemessene Sicherheitskultur für unterschiedliche Rollen bestimmen.

Bestehende Verfahren einbinden

• Anknüpfungspunkte an Informationssicherheitsmanagement, Notfallmanagement und Einkauf erkennen.
• Schnittstellen zu Datenschutz und weiteren Sicherheitsanforderungen fallbezogen prüfen.
• Geltungsbereich, Dokumentenstand und Maßnahmenverfolgung konsistent miteinander verbinden.

Erste Bestandsaufnahme

• Eine überschaubare Prüfliste auf die vorgegebene Unternehmenssituation anwenden.
• Nachweislücken von tatsächlich fehlenden Kontrollen unterscheiden.
• Handlungsbedarf nach Kritikalität, Aufwand und Abhängigkeiten priorisieren.

Praxisworkshop

1. Die Organisationsbeschreibung lesen und betroffene Einheiten sowie Dienstleister markieren.
2. Zwei Geschäftsleistungen auf unterstützende IT und wesentliche Abhängigkeiten zurückführen.
3. Vorhandene Dokumente den Handlungsfeldern zuordnen und fehlende Angaben kennzeichnen.
4. Eine erste Maßnahmenliste mit Verantwortlichen und Prüfbedarf anlegen.
5. Die vorgeschlagene Priorisierung im Gruppenvergleich anhand konkreter Risiken begründen.