IKT-Risikomanagement
Kontrollsystem
Kontrollziele, Kontrollen, Wirksamkeitsprüfung und Nachweise.
Management-Zusammenfassung
- DORA Art. 8 verlangt angemessene Kontrollen zur Behandlung von IKT-Risiken mit regelmässiger Wirksamkeitsprüfung.
- Kontrollziele werden aus dem Risikoinventar und der Schutzbedarfsfeststellung abgeleitet.
- Jede Kontrolle braucht einen Verantwortlichen, eine Beschreibung, einen Nachweis und einen Review-Zyklus.
- Wirksamkeitsprüfung durch zweite oder dritte Verteidigungslinie mindestens jährlich.
Kontrolltypen und -ziele
DORA Art. 8 fordert präventive, detektive und korrektive Kontrollen. Die Kontrollziele leiten sich direkt aus den identifizierten Risiken und dem Schutzbedarf ab.
Präventive Kontrollen
Zugriffskontrolle, Schulungen, Segregation of Duties, Change Management, sichere Konfiguration.
Detektive Kontrollen
Logging, Monitoring, IDS/IPS, SIEM, Revisionspläne, Abstimmungen.
Korrektive Kontrollen
Incident Response, Notfallpläne, Backup-Recovery, Patch-Management, Eskalation.
Wirksamkeitsprüfung
DORA Art. 8 Abs. 2 verlangt eine regelmässige Prüfung der Wirksamkeit der IKT-Kontrollen. Design-Wirksamkeit und operative Wirksamkeit sind zu unterscheiden.
Design-Wirksamkeit
Prüfung, ob die Kontrolle theoretisch geeignet ist, das Risiko zu adressieren. Review von Beschreibung, Ziel und Abdeckung.
Operative Wirksamkeit
Prüfung, ob die Kontrolle in der Praxis korrekt und konsistent ausgeführt wird. Stichproben, Walkthroughs, Tests.
Umsetzungsschritte Kontrollsystem
- Kontrollziele aus Risikoinventar und Schutzbedarfsfeststellung ableiten (Art. 8 DORA).
- Kontrollmatrix mit Typ, Frequenz, Verantwortlichem, Nachweis und Review-Zyklus erstellen.
- Kontrollbeschreibungen dokumentieren und für Revision prüfbar bereitstellen.
- Design-Wirksamkeit mindestens jährlich durch zweite Linie prüfen.
- Operative Wirksamkeit mindestens jährlich durch dritte Linie oder interne Revision prüfen.
- Bei Abweichungen: Massnahmenplan mit Frist und Verantwortlichem einleiten und nachverfolgen.
Nachweise Kontrollsystem
Hinweis
Diese Inhalte sind eigenständig formulierte Umsetzungshilfen und ersetzen keine Rechtsberatung.