DORA-TLPT-Bereitschaftscheckliste | Vor der Beauftragung von Prüfern

Was dies für Ihren Test bedeutet

Nutzen Sie diese Checkliste, um vor der Beschaffung offene Entscheidungen sichtbar zu machen. Klären Sie das Verfahren der zuständigen Behörde, den vorgeschlagenen Umfang kritischer Funktionen, die Zuständigkeit des Kontrollteams, die Due-Diligence-Prüfung des Anbieters und Genehmigungen Dritter. Legen Sie Zuständigkeiten für Berichte und Abhilfemaßnahmen fest, bevor aktive Tests beginnen.

Die Verpflichtung bestätigen

• Die juristische Person und die zuständige Behörde beziehungsweise TLPT-Aufsichtsbehörde ermitteln.
• Finden Sie die Benachrichtigung zur Auswahl und das vereinbarte Testfenster, sofern diese ausgestellt wurden.
• Bestätigen Sie die anwendbaren Anforderungen aus DORA, den RTS und den Vorgaben der zuständigen Behörde.

Bereiten Sie den Prüfungsumfang vor

• Die für Tests vorgesehenen kritischen oder wichtigen Funktionen auflisten.
• Die Systeme, Personen, Prozesse und ICT-Abhängigkeiten abbilden, die diese unterstützen.
• Grenzüberschreitend tätige Unternehmen, gemeinsame Dienste und die Beteiligung Dritter identifizieren.
• Annahmen zum Geltungsbereich dokumentieren, die einer Validierung durch die zuständige Stelle bedürfen.

Governance etablieren

• Benennen Sie die Leitung des Kontrollteams und ein angemessen beschränktes Kontrollteam.
• Vertraulichkeit, Eskalation, Vorfallbearbeitung und Abbruchbedingungen festlegen.
• Ermitteln, wer Änderungen am Prüfungsumfang und betriebliche Einschränkungen genehmigt.

Bereiten Sie die Due Diligence des Anbieters vor

• Fordern Sie Fachkenntnisse und Verfügbarkeit des benannten Teams an.
• Interessenkonflikte, einschlägige ethische Rahmenwerke und Nachweise zur Qualitätssicherung bewerten.
• Prüfen Sie, ob für die vorgeschlagenen Arbeiten eine Berufshaftpflichtversicherung besteht.
• Umgang mit Nachweisen, Unterauftragsvergabe und vertragliche Verantwortlichkeiten vereinbaren.

Den Abschluss vor den Tests planen

• Weisen Sie Verantwortlichkeiten für Red Team, Blue Team und zusammenfassenden Bericht zu.
• Zeit für Wiederholungstests, Purple Teaming und die Planung der Behebung vorsehen.
• Legen Sie ein Verfahren für die Zuständigkeit bei der Behebung, Nachweise und Nachverfolgung fest.
• Sichere Verteilung und Aufbewahrung des Berichts abstimmen.