Qvestcon News

Wer muss handeln, wenn ein Dienstleister ausfällt?

Fällt ein Dienstleister aus, braucht ein Institut schnell drei Antworten: Welche Anwendungen sind betroffen? Welche Geschäfts­pro­zesse hängen daran? Wer muss handeln? Das gelingt nur mit einem verknüpften Gesamtbild aus Prozessen, Anwendungen, Infrastruktur, Verträgen und Dienst­leis­tern. So gehen Sie vor: 1. Verknüpfen Sie jeden Dienstleister mit seinen Verträgen, Anwendungen und Geschäfts­pro­zes­sen. Das Infor­ma­ti­ons­re­gis­ter nach DORA (Digital Operational Resilience Act, EU-Verordnung zur digitalen Betriebs­sta­bi­li­tät) ist der natürliche Ausgangspunkt. 2. Stellen Sie Infor­ma­ti­ons­si­cher­heit, Risi­ko­ma­nage­ment, Not­fall­ma­nage­ment und Dienst­leis­ter­steue­rung auf eine gemeinsame Datenbasis. Das vermeidet die mehrfache Pflege derselben Informationen und erleichtert die Abstimmung zwischen den Bereichen. 3. Übersetzen Sie die Anforderungen aus DORA und MaRisk (Min­dest­an­for­de­run­gen an das Risi­ko­ma­nage­ment) in konkrete Abläufe. Legen Sie je Anforderung fest, wer ver­ant­wort­lich ist und welcher Nachweis die Umsetzung belegt. 4. Spielen Sie den Ausfall eines einzelnen Dienst­leis­ters durch. Beantwortet das Register die drei Fragen ohne Rückfrage in den Fachbereichen, ist die Verknüpfung tragfähig. Fehlt eine Antwort, zeigt sich die Lücke genau an dieser Stelle. Anforderungen aus ISO 27001 und BSI IT-Grundschutz lassen sich in derselben Struktur bearbeiten. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank liegen die nötigen Daten oft vor. Sie stehen aber in getrennten Listen der einzelnen Fachbereiche. #Banken #Versicherer #Finanz­dienst­leis­ter #Prü­fungs­pla­nung #Qvestcon #MarkusJunge #DORA #Infor­ma­ti­ons­re­gis­ter