FAQ · Einordnung, Beschaffung und Risikoanalyse
Woran erkennt Ihr Haus, ob eine unterstützte Funktion kritisch oder wichtig ist?
Freigegebene Antwort von Qvestcon mit Fundstellen.
Antwort
Die Einstufung gelingt an den Auswirkungen, nicht an einer einzelnen Kennzahl. Das Finanzunternehmen bewertet selbst, welche Funktionen kritisch oder wichtig sind. Die Definition in Artikel 3 Nummer 22 DORA bezieht sich auf die Auswirkungen eines Ausfalls und teilweise auf die Auswirkungen einer unterbrochenen, fehlerhaften oder unterbliebenen Leistung. Das ähnelt dem Schutzziel der Verfügbarkeit, ist aber damit nicht identisch, denn eine Funktion kann auch unter dem Aspekt der Vertraulichkeit kritisch oder wichtig sein. Eine kurze Wiederanlaufzeit ist deshalb ein Signal für Verfügbarkeit. Die Definition erschöpft sich darin nicht.
Mit der Einstufung stehen die weiteren Schritte fest: Bei Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen ist eine Ausstiegsstrategie nötig.
In der Praxis
Lassen Sie Fachbereich und Risikofunktionen gemeinsam auf die Prozess- und Abhängigkeitskarte schauen.
- Benennen Sie die betroffene Funktion samt Prozessen.
- Beurteilen Sie die Folgen von Ausfall, Fehler und Nichterbringung.
- Dokumentieren Sie Entscheidung und Abhängigkeiten sowie spätere Änderungen.
Nachweis: Als Nachweis dient eine freigegebene Begründung der Funktionskritikalität.
Belege
- FAQ Management des IKT-Drittparteienrisikos, Auswirkungen eines Ausfalls, BaFin
- FAQ Management des IKT-Drittparteienrisikos, Kriterien der Definition, BaFin
- FAQs zu DORA, Schutzziel Vertraulichkeit, BaFin
- FAQ Management des IKT-Drittparteienrisikos, Bewertung durch das Finanzunternehmen, BaFin
- Management des IKT-Drittparteienrisikos, Ausstiegsstrategie, BaFin