Compliance-Lexikon · DORA
IKT-Asset-Inventar – Praxis
IKT-Asset-Inventar wird von Auditoren nicht danach bewertet, ob das Thema bekannt ist, sondern ob eine belastbare, datierte Umsetzung nachweisbar ist. Dieser Artikel zeigt, was konkret vorzubereiten ist.
Was Auditoren konkret prüfen
Der Auditor erwartet keinen theoretischen Idealzustand, sondern einen nachvollziehbaren Prozess mit Verantwortlichkeiten, Fristen und Nachweisen. Existiert ein vollständiges, aktuelles Inventar aller IKT-Assets mit Kritikalitätseinstufung nach Art. 8 DORA?
Häufige Fehler in der Praxis
- Asset-Inventar existiert nur für Hardware, nicht für Software und Datenflüsse
- Kritikalitätseinstufung fehlt oder wurde nie systematisch vorgenommen
- Inventar wird nicht automatisch aktualisiert, sondern nur anlassbezogen manuell gepflegt
Praxis-Tipp
Ein Asset-Inventar ohne Kritikalitätseinstufung ist für DORA nur die halbe Anforderung. Erst die Einstufung ermöglicht risikobasierte Priorisierung von Schutzmaßnahmen.
Vom Inventar zur Risikosteuerung
Art. 8 DORA verlangt, dass Finanzunternehmen alle IKT-Assets identifizieren, klassifizieren und dokumentieren, einschließlich der Abhängigkeiten zwischen ihnen. Diese Information ist die Grundlage für Business-Impact-Analysen und die Priorisierung von Resilienzmaßnahmen.
Evidence-Anforderungen im Audit
Vorzulegen sind in der Regel: Aktuelles IKT-Asset-Inventar mit Kritikalitätseinstufung, Nachweis regelmäßiger Aktualisierung, Verantwortlichkeit je Asset. Eine strukturierte Ablage dieser Nachweise erspart im Audit-Fall zeitraubende Nachrecherchen.
Nächster Schritt
Compliance-Stresstest starten
Kostenloser Stresstest auf Basis der BAM-Objekte – unverbindlich, 20 Minuten.
Die strategische Einordnung – warum IKT-Asset-Inventar über die technische Umsetzung hinaus Bedeutung hat – findet sich auf Ebene 3.