Zum Inhalt springen
Resilience Platform DORA · MaRisk · ISO 27001

ISO/IEC 27001:2022

Internationale Informationssicherheitsstandards als Kontrollanker.

Die Plattform nutzt ISO/IEC 27001:2022 als Referenzrahmen für Managementsystem, Kontrollen, Nachweise und kontinuierliche Verbesserung.

Management-Zusammenfassung

  • ISO/IEC 27001:2022 ist der internationale Standard fuer Informationssicherheits-Managementsysteme (ISMS).
  • Die Platform nutzt ISO 27001 als Kontroll- und Nachweisrahmen fuer DORA-Managementmassnahmen.
  • Anhang A enthaelt 93 Kontrollen in 4 Kategorien: Organisatorisch, Personell, Physikalisch, Technologisch.
  • ISO 27001 bildet das Management-System, waehrend DORA die regulatorischen Anforderungen definiert.
  • Konformitaet mit ISO 27001 unterstuetzt die DORA-Compliance, ersetzt sie aber nicht.
  • Kontrollen werden mit DORA-Artikeln und MaRisk-Vorschriften gemappt fuer integrierte Nachweise.
IKT-Risikomanagement

ISO 27001 als Kontrollanker für IKT-Risikomanagement

ISO/IEC 27001:2022 bietet den Management-System-Rahmen, um die IKT-Risikomanagement-Anforderungen aus DORA Kapitel II operativ umzusetzen. Die Kontrollanker aus ISO 27001 werden im IKT-Risikomanagement als Referenz für Kontrollziele, Nachweise und Prüfkriterien genutzt.

Führung und Planung

A.5.1–A.5.4: Leitungsorgan, Strategie, Rollen, Richtlinien für IKT-Risikomanagement.

Risikobeurteilung

A.5.7–A.5.10: Risikoanalyse, Schutzbedarf, Behandlung und Akzeptanz.

Überwachung und Verbesserung

A.5.35–A.5.37, A.10.1–A.10.2: Monitoring, Reporting, kontinuierliche Verbesserung.

Technologische Kontrollen

A.8.1–A.8.16: Schutzmassnahmen, die aus der Risikobehandlung abgeleitet werden.

DORA IKT-Risikomanagement → Übersicht IKT-Risikomanagement →

ISO 27001 Kontrollanker (74 Controls)

Führung und Verpflichtung

5.1 Führung und Verpflichtung managed reviewed

Informationssicherheitspolitik

Die Leitung legt eine Informationssicherheitspolitik fest, die den strategischen Rahmen für alle Sicherheitsmassnahmen vorgibt.

DORA: DORA Art. 4 (Governance) – Resilienzstrategie und Leitungsorganverantwortung
5.2 Führung und Verpflichtung managed reviewed

Rollen und Verantwortlichkeiten

Verantwortlichkeiten für Informationssicherheit sind eindeutig zugewiesen, kommuniziert und umfassen die speziellen Rollen gemäß DORA Art. 4 (Leitungsorgan) und Art. 5 (Interner Ablauf) einschließlich CISO, Sicherheitsbeauftragte und deren Stellvertretung.

DORA: DORA Art. 4, Art. 5 (Interne Organisation)
5.4 Führung und Verpflichtung managed reviewed

Berufung und Zuständigkeiten für Sicherheitsfunktionen

Benannte Sicherheitsfunktionen wie CISO und ISB haben klar definierte Zuständigkeiten, Durchgriffsrechte und Berichtspflichten gemäß DORA Art. 4 (Leitungsorganverantwortung) und Art. 5 (Interne Organisation), einschließlich regelmäßiger Berichterstattung an das Leitungsorgan.

DORA: DORA Art. 4, Art. 5 (Schlüsselfunktionen)
5.6 Führung und Verpflichtung defined reviewed

Kontakt zu Behörden und Interessengruppen

Geregelte Kommunikationswege zu Aufsichtsbehörden, CERT/CSIRT und anderen relevanten Stellen.

DORA: DORA Art. 14, Art. 15 (Anzeigepflichten)
5.7 Führung und Verpflichtung defined reviewed

Bedrohungsinformationen

Aktuelle Bedrohungsinformationen werden gemäß DORA Art. 5-8 systematisch aus vertrauenswürdigen Quellen beschafft, bewertet und für das IKT-Risikomanagement genutzt, einschließlich Information Sharing mit ähnlichen Institutionen und Behörden.

DORA: DORA Art. 5–8 (Risikomanagement)
5.3 Führung und Verpflichtung managed reviewed

Aufgabentrennung (Segregation of Duties)

Konfligierende Aufgaben und Verantwortungsbereiche werden getrennt, um Risiken durch Interessenkonflikte, Betrug und unbefugte Handlungen zu reduzieren.

DORA: DORA Art. 4 (Governance), Art. 5 (Interne Kontrollen) – Funktionstrennung in der IKT-Organisation
5.8 Führung und Verpflichtung managed reviewed

Risikobeurteilung für Informationssicherheit

Die Risikobeurteilung für Informationssicherheit wird systematisch durchgeführt, dokumentiert und wiederholt, um Risiken zu identifizieren, zu analysieren und zu bewerten.

DORA: DORA Art. 6 Abs. 2 (IKT-Risikobewertung), Art. 7 (Risikoidentifikation)
5.9 Führung und Verpflichtung managed reviewed

Behandlung von Informationssicherheitsrisiken

Risiken werden durch geeignete Massnahmen behandelt, wobei Optionen der Risikovermeidung, -verminderung, -übertragung oder -akzeptanz dokumentiert und umgesetzt werden.

DORA: DORA Art. 6 Abs. 3 (Risikobehandlung), Art. 8 (Schutzmassnahmen)
5.10 Führung und Verpflichtung managed reviewed

Klassifizierung von Informationen

Informationen werden nach ihrer Kritikalität und Schutzbedürftigkeit klassifiziert und entsprechend gekennzeichnet.

DORA: DORA Art. 8 (Schutzmassnahmen), Art. 28 Abs. 3 (Informationsregister)
5.11 Führung und Verpflichtung defined reviewed

Kennzeichnung von Informationen

Informationen werden entsprechend der Klassifizierungsstufe mit geeigneten Kennzeichnungen versehen, um eine einheitliche Handhabung sicherzustellen.

DORA: DORA Art. 8 (Informationssicherheit), Art. 9 (Kennzeichnungspflichten)
5.12 Führung und Verpflichtung defined reviewed

Handhabung von Informationen

Regeln für die Handhabung, Aufbewahrung, Weitergabe und Vernichtung von Informationen werden klassifizierungsabhängig definiert und durchgesetzt.

DORA: DORA Art. 8 (Schutzmassnahmen), Art. 11 (Datenaufbewahrung)
5.31 Führung und Verpflichtung managed reviewed

Rechtliche, regulatorische und vertragliche Anforderungen

Alle fuer die Informationssicherheit relevanten rechtlichen, regulatorischen und vertraglichen Anforderungen werden identifiziert, dokumentiert und regelmaessig auf Aktualitaet geprueft.

DORA: DORA Art. 4 (Compliance), Art. 49–54 (Durchsetzung und Sanktionen)
5.33 Führung und Verpflichtung managed reviewed

Schutz personenbezogener Daten

Personenbezogene Daten werden gemaess DSGVO und nationalen Datenschutzgesetzen geschuetzt; Datenschutz-Folgenabschaetzungen werden durchgefuehrt.

DORA: DORA Art. 8 (Datenschutz), Art. 9 (Privacy by Design) – in Abstimmung mit DSGVO
5.34 Führung und Verpflichtung managed reviewed

Schutz von Aufzeichnungen

Aufzeichnungen werden vor Verlust, Zerstoerung, Verfaelschung, unbefugtem Zugriff und unbefugter Freigabe geschuetzt.

DORA: DORA Art. 8 (Dokumentenschutz), Art. 28 Abs. 3 (Informationsregister)
5.37 Führung und Verpflichtung defined reviewed

Dokumentierte Betriebsverfahren

Betriebsverfahren fuer IKT-Systeme werden dokumentiert, stehen den zustaendigen Mitarbeitern zur Verfuegung und werden regelmaessig auf Aktualitaet geprueft.

DORA: DORA Art. 8 (Sicherer Betrieb), Art. 9 (Prozessdokumentation)

Zugriffssteuerung

5.15 Zugriffssteuerung managed reviewed

Zugriffssteuerung für Informationen

Der Zugriff auf Informationen und IKT-Systeme wird durch Berechtigungskonzepte gesteuert.

DORA: DORA Art. 5–8 (Zugangskontrolle)
5.16 Zugriffssteuerung managed reviewed

Identitätsmanagement

Der Lebenszyklus von Identitäten wird von der Einrichtung über Aenderungen bis zur Deaktivierung gesteuert und dokumentiert.

DORA: DORA Art. 8 (Zugangskontrolle), Art. 5 (Berechtigungsmanagement)
5.17 Zugriffssteuerung managed reviewed

Authentifizierungsinformationen

Die Zuweisung und Verwaltung von Authentifizierungsinformationen wird durch ein sicheres Verfahren geregelt, einschliesslich initialer Passwortvergabe und Zurücksetzungsprozessen.

DORA: DORA Art. 8 (Authentifizierung), Art. 9 (Multi-Faktor-Authentifizierung)
5.18 Zugriffssteuerung managed reviewed

Zugriffsrechte

Zugriffsrechte werden nach dem Need-to-Know- und Least-Privilege-Prinzip vergeben, regelmässig reviewed und bei Bedarf entzogen.

DORA: DORA Art. 8 (Zugriffsrechte), Art. 5 (Berechtigungsreviews)

Lieferantenbeziehungen

5.19 Lieferantenbeziehungen managed reviewed

Informationssicherheit in Lieferantenbeziehungen

Sicherheitsanforderungen an Lieferanten werden vertraglich festgelegt und überwacht.

DORA: DORA Art. 25–29 (IKT-Drittparteienrisiko)
5.20 Lieferantenbeziehungen managed reviewed

Informationssicherheit in Lieferantenbeziehungen

Risiken durch Lieferantenzugriff auf Informationen des Instituts werden identifiziert, bewertet und durch vertragliche Sicherheitsanforderungen adressiert.

DORA: DORA Art. 25–29 (IKT-Drittparteienrisiko), Art. 30 (Vertragsanforderungen)
5.21 Lieferantenbeziehungen defined reviewed

Informationssicherheit in der Lieferkette

Risiken in der IKT-Lieferkette werden erfasst, bewertet und durch Sicherheitsanforderungen an Unterlieferanten adressiert.

DORA: DORA Art. 28 Abs. 2 (Lieferkette), Art. 29 (Konzentrationsrisiken)
5.22 Lieferantenbeziehungen defined reviewed

Ueberwachung und Bewertung von Lieferanten

Die Einhaltung von Sicherheitsanforderungen durch Lieferanten wird regelmässig überwacht, bewertet und bei Abweichungen nachgesteuert.

DORA: DORA Art. 29 (Monitoring), Art. 30 (Audit und Reporting)
5.23 Lieferantenbeziehungen defined reviewed

Informationssicherheit für Cloud-Dienste

Die Nutzung von Cloud-Diensten wird durch spezifische Sicherheitsanforderungen, Vertragsklauseln und Exit-Strategien geregelt.

DORA: DORA Art. 28 (Cloud-Dienste), Art. 30 Vertragsklauseln, Art. 29 Konzentrationsrisiko)

Vorfälle und Reaktion

5.24 Vorfälle und Reaktion managed reviewed

Planung und Vorbereitung auf Informationssicherheitsvorfälle

Ein strukturierter Incident-Response-Prozess ist vorbereitet und wird regelmässig getestet.

DORA: DORA Art. 10–12 (Vorfallmanagement)
5.25 Vorfälle und Reaktion managed reviewed

Bewertung und Entscheidung über Informationssicherheitsvorfälle

Eingegangene Meldungen werden bewertet, priorisiert und einer Entscheidung zugeführt.

DORA: DORA Art. 10 (Erkennung und Klassifizierung)
5.26 Vorfälle und Reaktion defined reviewed

Behandlung von Informationssicherheitsvorfällen

Vorfälle werden nach definierten Verfahren bearbeitet, eindämmt und behoben.

DORA: DORA Art. 11 (Reaktion und Wiederherstellung)

Business Continuity

5.29 Business Continuity defined reviewed

Informationssicherheit im Business Continuity Management

Die Informationssicherheit ist in die Geschäftskontinuitätsplanung integriert.

DORA: DORA Art. 11 (Wiederherstellung)
5.30 Business Continuity defined reviewed

IKT-Bereitschaft für Business Continuity

IKT-Systeme sind auf Betriebsunterbrechungen vorbereitet und verfügen über definierte Wiederherstellungsverfahren.

DORA: DORA Art. 5–8, Art. 11 (Resilienztests)
5.27 Business Continuity managed reviewed

Planung der Geschaeftskontinuitaet

Geschaeftskontinuitaetsplaene werden entwickelt, dokumentiert, regelmaessig getestet und bei wesentlichen Aenderungen aktualisiert.

DORA: DORA Art. 11 (Wiederherstellung und BCM), Art. 20 (Resilienztests)

Überwachung und Berichterstattung

5.35 Überwachung und Berichterstattung defined reviewed

Informationssicherheits-Reporting an die Leitung

Die Leitung erhält regelmässig Berichte über die Informationssicherheitslage.

DORA: DORA Art. 4, Art. 5 (Berichtspflichten)
5.36 Überwachung und Berichterstattung defined reviewed

Konformität mit Richtlinien und Standards

Die Einhaltung interner und externer Vorgaben wird regelmässig überprüft.

DORA: DORA Art. 4 (Governance)

Personalsicherheit

6.3 Personalsicherheit defined reviewed

Sensibilisierung und Schulung

Mitarbeiter werden regelmässig für Informationssicherheitsrisiken sensibilisiert und geschult.

DORA: DORA Art. 5 (Schulung und Sensibilisierung)
6.1 Personalsicherheit defined reviewed

Ueberpruefung von Mitarbeitern

Hintergrundueberpruefungen von Mitarbeitern und externen Dienstleistern werden vor Aufnahme der Taetigkeit durchgefuehrt, insbesondere bei sicherheitssensitiven Rollen.

DORA: DORA Art. 5 (Personal), Art. 8 (Zugangssicherheit)
6.2 Personalsicherheit defined reviewed

Beschaeftigungsbedingungen

Vertragliche Bedingungen legen die Verantwortlichkeiten des Mitarbeiters fuer Informationssicherheit fest und werden vor Aufnahme der Beschaeftigung vereinbart.

DORA: DORA Art. 5 (Personalvereinbarungen), Art. 8 (Verhaltensregeln)
6.7 Personalsicherheit defined reviewed

Telearbeit

Die mit Telearbeit verbundenen Sicherheitsrisiken werden identifiziert, bewertet und durch angemessene Massnahmen geschuetzt.

DORA: DORA Art. 8 (Remote-Zugriff), Art. 9 (Zugangssicherheit fuer mobile Arbeit)
6.8 Personalsicherheit managed reviewed

Meldung von Sicherheitsereignissen

Mitarbeiter werden angehalten und in die Lage versetzt, beobachtete oder vermutete Sicherheitsereignisse ueber definierte Meldewege zu berichten.

DORA: DORA Art. 10 (Erkennung von Vorfällen), Art. 12 (Meldepflichten)

Physische Sicherheit

7.1 Physische Sicherheit managed reviewed

Physische Sicherheitszonen

Sicherheitszonen schützen IKT-Infrastruktur vor unbefugtem physischem Zugriff.

DORA: DORA Art. 5–8 (Schutzmassnahmen)
7.2 Physische Sicherheit managed reviewed

Physischer Zutritt

Der physische Zutritt zu Gebaeuden und Raeumen mit IKT-Infrastruktur wird durch Zutrittskontrollsysteme geschuetzt und ueberwacht.

DORA: DORA Art. 8 (Zugangskontrolle), Art. 9 (Physische Sicherheitsmassnahmen)
7.9 Physische Sicherheit defined reviewed

Sicherheit von Geraeten ausserhalb von Raeumlichkeiten

Geraete ausserhalb der gesicherten Raeumlichkeiten des Instituts werden gegen Diebstahl, Verlust und unbefugten Zugriff geschuetzt.

DORA: DORA Art. 8 (Mobile Geraete), Art. 9 (Verschluesselung und Fernloeschung)
7.10 Physische Sicherheit defined reviewed

Wartung von Geraeten

Geraete werden gemaess Herstellervorgaben und institutsinternen Wartungsplänen gewartet; Wartungsarbeiten werden dokumentiert.

DORA: DORA Art. 8 (Betriebssicherheit), Art. 9 (Wartungsprozesse)
7.11 Physische Sicherheit defined reviewed

Sichere Entsorgung und Wiederverwendung von Geraeten

Geraete werden vor Entsorgung oder Wiederverwendung sicher von Daten befreit und gemaess Umweltvorschriften entsorgt.

DORA: DORA Art. 8 (Datenschutz bei Geraeteaussonderung), Art. 9 (Vernichtungsprozesse)
7.14 Physische Sicherheit defined reviewed

Clean Desk und Clear Screen

Dokumente und IKT-Geraete werden bei Nichtnutzung vor unbefugtem Zugriff geschuetzt; Bildschirme werden bei Verlassen des Arbeitsplatzes gesperrt.

DORA: DORA Art. 8 (Zugangssicherheit), Art. 9 (Physische Schutzmassnahmen)
7.7 Physische Sicherheit managed reviewed

Schutz vor physischen und umweltbedingten Bedrohungen

IKT-Systeme werden vor physischen und umweltbedingten Bedrohungen geschuetzt.

DORA: DORA Art. 8 (Physische Sicherheit), Art. 9 (Umweltschutz)
7.8 Physische Sicherheit managed reviewed

Sicherheit der IKT-Systeme vor unbefugtem Zugriff

IKT-Systeme werden vor unbefugtem physischen Zugriff geschuetzt.

DORA: DORA Art. 8 (Zugangskontrolle), Art. 9 (Physische Zugänge)

Betriebssicherheit

8.8 Betriebssicherheit managed reviewed

Schwachstellenmanagement

Technische Schwachstellen werden identifiziert, bewertet und behoben.

DORA: DORA Art. 5–8 (Schwachstellenmanagement)
8.15 Betriebssicherheit defined reviewed

Protokollierung und Überwachung

Ereignisprotokolle werden erfasst, aufbewahrt und regelässig ausgewertet.

DORA: DORA Art. 10 (Erkennung)
8.16 Betriebssicherheit defined reviewed

Überwachung der Systemnutzung

Die Nutzung von IKT-Systemen wird auf Anomalien überwacht.

DORA: DORA Art. 10 (Erkennung von Anomalien)
8.34 Betriebssicherheit initial reviewed

Sicherheit von Testdaten und Tests

Testumgebungen und -daten sind gegen unbefugte Nutzung und Offenlegung geschützt.

DORA: DORA Art. 20–23 (Resilienztests, TLPT)
8.32 Betriebssicherheit defined reviewed

Aenderungsmanagement

Aenderungen an Informationen, IKT-Systemen und Prozessen werden kontrolliert geplant, bewertet, freigegeben und nachverfolgt.

DORA: DORA Art. 6-8 (IKT-Risikomanagement), Art. 9 (Sichere Betriebsfuehrung)
8.33 Betriebssicherheit defined reviewed

Testinformationen

Produktive Daten in Testumgebungen werden minimiert, geschuetzt und nur unter klaren Freigaberegeln verwendet.

DORA: DORA Art. 8 (Sicherheitsmassnahmen), Art. 23 (Test- und Uebungsumgebungen)

Technologische Sicherheit

8.1 Technologische Sicherheit managed reviewed

Benutzerendpunkte

Informationen in Benutzerendpunkten sind geschützt.

DORA: DORA Art. 8 (IKT-Sicherheit), Art. 9 (Schutzmassnahmen)
8.5 Technologische Sicherheit managed reviewed

Sichere Authentifizierung

Sichere Authentifizierungsmechanismen werden implementiert, um unbefugten Zugriff zu verhindern.

DORA: DORA Art. 8 (Zugangskontrolle), Art. 9 (Authentifizierung)
8.6 Technologische Sicherheit managed reviewed

Zugriffskontrolle

Zugriff auf Informationen und IKT-Systeme wird auf der Basis geschäftlicher und Sicherheitsanforderungen kontrolliert.

DORA: DORA Art. 8 (Zugriffskontrolle), Art. 5 (Berechtigungsmanagement)
8.9 Technologische Sicherheit managed reviewed

Sicherung der IKT-Dienstleistungen

Die Sicherheit von IKT-Dienstleistungen, die über Netze erbracht werden, wird sichergestellt.

DORA: DORA Art. 28 (IKT-Drittparteienrisiko), Art. 29 (Monitoring)
8.10 Technologische Sicherheit defined reviewed

Schutz der Informationssysteme bei der Softwareentwicklung

Sicherheitsanforderungen werden in der Softwareentwicklung berücksichtigt.

DORA: DORA Art. 8 (Sichere Entwicklung), Art. 9 (Secure Development)
8.11 Technologische Sicherheit managed reviewed

Datensicherung

Sicherungskopien von Informationen, Software und Systemen werden gemäß eines festgelegten Zeitplans aufbewahrt.

DORA: DORA Art. 11 (Wiederherstellung), Art. 8 (Datensicherung)
8.12 Technologische Sicherheit managed reviewed

Protokollierung

Ereignisse, die für die Informationssicherheit relevant sind, werden protokolliert und analysiert.

DORA: DORA Art. 10 (Erkennung), Art. 11 (Logging und Monitoring)
8.13 Technologische Sicherheit defined reviewed

Redundanz der IKT-Komponenten

IKT-Komponenten werden redundant ausgelegt, um die Verfügbarkeit zu gewährleisten.

DORA: DORA Art. 11 (Redundanz), Art. 8 (Verfügbarkeit)
8.14 Technologische Sicherheit managed reviewed

Verwendung von Verschlüsselung

Verschlüsselung wird zur Erfüllung von Informationssicherheitsanforderungen verwendet.

DORA: DORA Art. 8 (Verschlüsselung), Art. 9 (Kryptographische Massnahmen)
8.2 Technologische Sicherheit managed reviewed

Privilegierte Zugriffsrechte

Die Vergabe und Nutzung privilegierter Zugriffsrechte wird besonders geschuetzt, ueberwacht und regelmaessig ueberprueft.

DORA: DORA Art. 8 (Privilegiertes Zugriffsmanagement), Art. 9 (Ueberwachung privilegierter Aktionen)
8.7 Technologische Sicherheit managed reviewed

Schutz vor Schadsoftware

IKT-Systeme werden durch geeignete Massnahmen gegen Schadsoftware geschuetzt; Praevention, Erkennung und Beseitigung sind in einem Massnahmenbuendel verankert.

DORA: DORA Art. 8 (Schutzmassnahmen), Art. 9 (Schadsoftwareabwehr)
8.17 Technologische Sicherheit managed reviewed

Zeitsynchronisation

Die Systemuhren aller relevanten IKT-Systeme werden mit einer referenzierten Zeitquelle synchronisiert, um eine konsistente Protokollierung zu gewaehrleisten.

DORA: DORA Art. 10 (Protokollierung und Zeitstempel), Art. 11 (Beweissicherung)
8.25 Technologische Sicherheit defined reviewed

Sicherer Entwicklungslebenszyklus

Regeln fuer die sichere Entwicklung von Software und IKT-Systemen werden im gesamten Lebenszyklus angewandt, von der Anforderungsanalyse bis zur Wartung.

DORA: DORA Art. 8 (Sichere Entwicklung), Art. 9 (Secure-by-Default)
8.26 Technologische Sicherheit defined reviewed

Anforderung an die Softwaresicherheit

Sicherheitsanforderungen fuer Softwareentwicklung werden in der Anforderungsphase definiert und vor der Entwicklung freigegeben.

DORA: DORA Art. 8 (Sicherheitsanforderungen), Art. 9 (Secure Development Lifecycle)
8.27 Technologische Sicherheit defined reviewed

Sichere Systemarchitektur

Systeme werden nach dem Prinzip der verteidigungstiefen Architektur (Defence in Depth) entworfen und implementiert.

DORA: DORA Art. 8 (Systemarchitektur), Art. 9 (Sichere Netze und Systeme)
8.29 Technologische Sicherheit initial reviewed

Sicherheitstests in der Entwicklung

Sicherheitstests werden waehrend der Entwicklung durchgefuehrt (SAST, DAST, Dependency-Checks, Penetrationstests) vor der Produktionsfreigabe.

DORA: DORA Art. 20 (Resilienztests), Art. 23 (TLPT)
8.30 Technologische Sicherheit defined reviewed

Fremdvergebene Softwareentwicklung

Bei fremdvergebener Softwareentwicklung werden die Sicherheitsanforderungen vertraglich festgelegt und die Einhaltung ueberwacht.

DORA: DORA Art. 28 (Drittparteienrisiko), Art. 30 (Vertragsanforderungen)
8.31 Technologische Sicherheit managed reviewed

Trennung von Entwicklungs-, Test- und Produktionsumgebungen

Entwicklungs-, Test- und Produktionsumgebungen sind technisch und organisatorisch getrennt, um unbeabsichtigte Auswirkungen auf den Produktivbetrieb zu verhindern.

DORA: DORA Art. 8 (Sichere IKT-Betriebsfuehrung), Art. 9 (Integritaet und Verfuegbarkeit)

Netzwerksicherheit

8.20 Netzwerksicherheit managed reviewed

Netzwerksicherheit

Netzwerke und IKT-Systeme, die darüber erreichbar sind, werden geschützt.

DORA: DORA Art. 8 (Netzwerksicherheit), Art. 9 (Segmentierung)
8.21 Netzwerksicherheit managed reviewed

Sicherheit von Netzwerkdiensten

Sicherheitsmechanismen, Dienstebenen und Managementanforderungen von Netzwerkdiensten werden identifiziert und implementiert.

DORA: DORA Art. 28 (IKT-Drittdienstleister), Art. 29 (Monitoring)
8.22 Netzwerksicherheit managed reviewed

Segmentierung der Netze

Netze werden in separate Netzsegmente unterteilt.

DORA: DORA Art. 8 (Netzsegmentierung), Art. 9 (Isolation)
8.23 Netzwerksicherheit defined reviewed

Web-Filterung

Der Zugriff auf externe Webseiten wird gemanagt.

DORA: DORA Art. 8 (Zugriffskontrolle), Art. 9 (Content-Filter)
8.24 Netzwerksicherheit managed reviewed

Nutzung kryptographischer Massnahmen

Richtlinien für den Einsatz kryptographischer Massnahmen werden entwickelt und implementiert.

DORA: DORA Art. 8 (Kryptographie), Art. 9 (Verschlüsselung)

Hinweis: Diese Inhalte sind Umsetzungshilfen und kuratierte Hinweise. Sie ersetzen keine Rechtsberatung oder verbindliche aufsichtsrechtliche Auslegung.