Compliance-Lexikon · DORA
DORA Register – Praxis
DORA Register wird von Auditoren nicht danach bewertet, ob das Thema bekannt ist, sondern ob eine belastbare, datierte Umsetzung nachweisbar ist. Dieser Artikel zeigt, was konkret vorzubereiten ist.
Was Auditoren konkret prüfen
Der Auditor erwartet keinen theoretischen Idealzustand, sondern einen nachvollziehbaren Prozess mit Verantwortlichkeiten, Fristen und Nachweisen. Führt die Organisation ein vollständiges, aktuelles Informationsregister zu allen vertraglichen Vereinbarungen mit IKT-Drittdienstleistern?
Häufige Fehler in der Praxis
- Register wird einmalig erstellt, aber bei neuen Verträgen nicht aktualisiert
- Subunternehmer der Drittdienstleister (Kette) werden nicht erfasst
- Kritikalitätseinstufung der einzelnen Dienstleister fehlt oder ist veraltet
Praxis-Tipp
Das Informationsregister ist nicht nur eine interne Dokumentation, sondern muss der Aufsichtsbehörde auf Anfrage in strukturierter Form übermittelt werden können. Das Format sollte frühzeitig dem ESA-Standard entsprechen.
Pflichtinhalte des Registers
Das Register muss je Vertrag unter anderem den Dienstleister, die Art der Funktion, die Kritikalität der ausgelagerten Funktion, das Land der Leistungserbringung und etwaige Subunternehmer erfassen. Bei kritischen Funktionen sind zusätzliche Angaben zu Ausstiegsstrategien erforderlich.
Evidence-Anforderungen im Audit
Vorzulegen sind in der Regel: Aktuelles Informationsregister im ESA-Format, Nachweis der letzten Aktualisierung, Prozessbeschreibung für neue Verträge. Eine strukturierte Ablage dieser Nachweise erspart im Audit-Fall zeitraubende Nachrecherchen.
Nächster Schritt
Compliance-Stresstest starten
Kostenloser Stresstest auf Basis der BAM-Objekte – unverbindlich, 20 Minuten.
Die strategische Einordnung – warum DORA Register über die technische Umsetzung hinaus Bedeutung hat – findet sich auf Ebene 3.