{"text_format":"3","workbook":"xlsx","n_sheets":1,"sheets":["Blatt1"],"not_rendered":{"images":1,"defined_names":1},"read":"whole","date_system":"1900"}

{"sheet":"Blatt1","index":0,"n_rows":77,"n_cols":9,"rows_kept":77}
["DORA-Vorbereitung im Einkauf: Fertigstellungsgrad",null,null,"DORA-Vorbereitung im Einkauf: Fertigstellungsgrad","DORA-Vorbereitung im Einkauf: Fertigstellungsgrad","DORA-Vorbereitung im Einkauf: Fertigstellungsgrad","DORA-Vorbereitung im Einkauf: Fertigstellungsgrad","DORA-Vorbereitung im Einkauf: Fertigstellungsgrad"]
["(DORA PO Readiness Assessment)"]
[]
["Firma:"]
[null,"Muster AG",{"$nulls":6},"jetzt auch mit Berücksichtigung von "]
["Datum:",{"$nulls":7},"RTS-E-RMF, RTS-E TPPoL, ITS-E RoI und "]
[null,"2024-02-03",{"$nulls":6},"RTS-E Sub"]
["Fertigstellungsgrad:"]
[null,{"$f":"IF(SUM(G13:G77)=0,0,SUM(G13:G77)/SUM(H13:H77))","v":{"v":0,"d":"0%"}}]
[]
["Nr.","Frage","Umgesetzt?",{"$nulls":5},"Erläuterung"]
["Übergeordnete Projektvorbereitung und -initialisierung"]
[1,"Ein Projekt zur Vorbereitung auf die Anwendung der DORA ab Januar 2025 ist aufgesetzt.",null,false,null,null,{"$f":"D13+2*E13","v":0},{"$f":"COUNTA(D13)+2*COUNTA(E13)","v":1},"Vorkehrungen zur Umsetzung von DORA in Art. 5 Abs. 2 DORA vorgeschrieben"]
[{"$f":"A13+1","v":2},"Das Projekt ist mit ausreichend Ressourcen und Know-How (extern/intern) besetzt, um die Vorbereitung bis zum 31.12.2024 abzuschließen.",null,false,null,null,0,1,"Wirksames und umsichtiges Management in Art. 5 Abs. 1 DORA vorgeschrieben"]
[{"$f":"A14+1","v":3},"Die Projektleitung berichtet direkt an Vorstand/GF",null,false,null,null,0,1,"Überwachung durch Leitungsorgan in Art. 5 Abs. 2 DORA vorgeschrieben"]
[4,"Geschäftsleitung bzw. Vorstand, CIO und leitende Angestellte in der IT sind über die neuen Pflichten, Risiken, Bußgelder und Straftaten nach der DORA ausreichend und umfassend informiert worden.",null,false,null,null,0,1,"Pflicht aus §§ 91 Abs. 2, 161 AktG"]
[5,"Ein Lenkungsausschuss unter Beteiligung von GF/Vorstand sowie effiziente Terminüberwachung sind implementiert.",null,false,null,null,0,1,"Überwachung durch Leitungsorgan in Art. 5 Abs. 2 DORA vorgeschrieben"]
[6,"Die interne Revision bzw. Compliance begleitet das Vorbereitungsprojekt, übernimmt regelmäßige Prüfungen und erstellt eine Findings List.",null,false,null,null,0,1,"Art. 6 Abs. 6 DORA schreibt regelmäßige Revisionen vor, deshalb am besten frühzeitig beteiligen"]
[7,"Zur Vermeidung von Drohverlustrückstellungen werden Informationen zum Projekt, Revisionsbericht und Findings List mit Steuerberatern / Wirtschaftsprüfern ausgetauscht.",null,false,null,null,0,1,"Zur Vorbereitung des Risikoabschnittes im Lagebericht (§§ 289, 321 Abs. 4 HGB) und zur Prüfung des Risikoüberwachungssystems, § 317 Abs. 4 HGB"]
["Vorbereitung der Unternehmensorganisation"]
[{"$f":"A19+1","v":8},"Berichtswesen zur Übermittlung der Anzahl neuer Vereinbarungen über IKT-Dienstleistungen sowie über zeitnahe Unterrichtung über jede geplante vertragliche Vereinbarung über IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen gemäß Art. 28 Abs. 3 DORA an zuständige Behörden",null,false,false,false,{"$f":"D21+2*E21+3*F21","v":0},6,"Art. 28 Abs. 3 DORA"]
[{"$f":"A21+1","v":9},"Prozesse zur Beurteilung, Ermittlung und Bewertung vor Abschluss von Verträgen über IKT-Dienstleistungen gemäß Art. 28 Abs. 4 und 5 DORA",null,false,false,false,{"$f":"D22+2*E22+3*F22","v":0},6,"Art. 28 Abs. 4 und 5 DORA"]
[{"$f":"A22+1","v":10},"Bei Bedarf:\nEinrichtung/Ausbau von Auditfunktionen für IKT-Dienstleistern gemäß Anforderungen von Art. 28 Abs. 6 DORA",null,false,false,false,{"$f":"D23+2*E23+3*F23","v":0},6,"Art. 28 Abs. 6 DORA"]
[11,"Einführung der Ermittlung und Bewertung des IKT-Konzentrationsrisikos gemäß Art. 29 Abs. 1, 28 Abs. 4 lit. c DORA",null,false,false,false,{"$f":"D24+2*E24+3*F24","v":0},6,"Art. 29 Abs. 1, 28 Abs. 4 lit. c DORA"]
["Budget- und Ressourcenplanung"]
[{"$f":"A24+1","v":12},"Solides und umfassendes Programm für das Testen der digitalen operationellen Resilienz (kostet ein großes Versicherungsunternehmen allein 30 Mio € p.a.)\nAußer bei Kleinstunternehmen: Durch unabhängige, interne oder externe Parteien",null,false,false,null,{"$f":"D26+2*E26","v":0},{"$f":"COUNTA(D26)+2*COUNTA(E26)","v":3},"Art. 24 Abs. 1 DORA"]
[13,"Ersterstellung Informationsregister über alle vertraglichen Vereinbarungen mit IKT-Drittdienstleistern",null,false,false,null,{"$f":"D27+2*E27","v":0},{"$f":"COUNTA(D27)+2*COUNTA(E27)","v":3},"Art. 28 Abs. 3 DORA"]
[14,"Berichtswesen zur Übermittlung der Anzahl neuer Vereinbarungen über IKT-Dienstleistungen sowie über zeitnahe Unterrichtung über jede geplante vertragliche Vereinbarung über IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen gemäß Art. 28 Abs. 3 DORA an zuständige Behörden",null,false,false,null,{"$f":"D28+2*E28","v":0},{"$f":"COUNTA(D28)+2*COUNTA(E28)","v":3},"Art. 28 Abs. 3 DORA"]
[15,"Prozesse zur Beurteilung, Ermittlung und Bewertung vor Abschluss von Verträgen über IKT-Dienstleistungen gemäß Art. 28 Abs. 4 und 5 DORA",null,false,false,null,{"$f":"D29+2*E29","v":0},{"$f":"COUNTA(D29)+2*COUNTA(E29)","v":3},"Art. 28 Abs. 4 und 5 DORA"]
[16,"Bei Bedarf: \nEinrichtung/Ausbau von Auditfunktionen für IKT-Dienstleistern gemäß Anforderungen von Art. 28 Abs. 6 DORA",null,false,false,null,{"$f":"D30+2*E30","v":0},{"$f":"COUNTA(D30)+2*COUNTA(E30)","v":3},"Art. 28 Abs. 6 DORA"]
["Dokumentation, die dem Einkauf zur Verfügung stehen muss"]
[{"$f":"A30+1","v":17},"Als Teil der IKT-Geschäftsfortführungsleitlinie: \nSpezielle Pläne für Eindämmungsmaßnahmen, Prozesse und Technologien für IKT-bezogene Vorfälle und Vermeidung weiterer Schäden",null,false,false,null,{"$f":"D32+2*E32","v":0},{"$f":"COUNTA(D32)+2*COUNTA(E32)","v":3},"Art. 11 Abs. 2 lit. c) DORA"]
[18,"Als Teil der IKT-Geschäftsfortführungsleitlinie:\nMaßgeschneiderte Verfahren zur Reaktion und Wiederherstellung gemäß Art. 12 DORA",null,false,false,null,0,3,"Art. 11 Abs. 2 lit. c) DORA"]
[19,"IKT-Reaktions- und Wiederherstellungspläne",null,false,false,null,0,3,"Art. 11 Abs. 3 DORA"]
[{"$f":"A34+1","v":20},"Business-Impact-Analyse (BIA) der bestehenden Risiken für schwerwiegende Betriebsstörungen",null,false,false,null,0,3,"Art. 11 Abs. 5 DORA"]
[{"$f":"A35+1","v":21},"Richtlinien und Verfahren für die Datensicherung",null,false,false,null,0,3,"Art. 12 Abs. 1 lit a) DORA"]
[22,"Verfahren und Methoden zur Wiedergewinnung und Wiederherstellung von Daten",null,false,false,null,0,3,"Art. 12 Abs. 1 lit b) DORA"]
[23,"Zeitvorgaben für Wiederherstellungszeit und Wiederherstellungspunkte jeder Funktion zur Sicherstellung der vereinbarten Dienstleistungsgüte in Extremszenarien",null,false,false,null,0,3,"Art. 12 Abs. 6 DORA"]
[24,"Solides und umfassendes Programm für das Testen der digitalen operationellen Resilienz gemäß Art. 25 bis 27 DORA",null,false,false,null,0,3,"Art. 24 Abs. 1 DORA"]
[25,"Strategie für das IKT-Drittparteienrisiko mit einer Leitlinie für die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen, die durch IKT-Drittdienstleister bereitgestellt werden",null,false,false,null,0,3,"Art. 28 Abs. 2 DORA"]
[26,"Auditplan inkl. Art und Frequenz von IKT-Dienstleister-Audits auf Grundlage risikobasierten Ansatzes",null,false,false,null,0,3,"Art. 28 Abs. 6 DORA"]
[{"$f":"A41+1","v":27},"IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen",null,false,false,null,0,3,"Art. 28 Abs. 8 DORA\nArt. 29 Abs. 2 DORA"]
[28,"Ausstiegsstrategie für alle IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen",null,false,false,null,0,3,"Art. 28 Abs. 8 DORA"]
[29,"Umfassend dokumentierte Ausstiegspläne für alle IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen",null,false,false,null,0,3,"Art. 28 Abs. 8 DORA"]
[30,"Angemessene Notfallmaßnahmen zur Fortführung der Geschäftstätigkeit wenn bei IKT-Drittdienstleistern Risiken oder Fehler auftreten",null,false,false,null,0,3,"Art. 28 Abs. 8 DORA"]
["Dokumentation, die Einkauf erstellen muss"]
[{"$f":"A45+1","v":31},"Informationsregister über alle vertraglichen Vereinbarungen mit IKT-Drittdienstleistern mit angemessener Dokumentation",null,false,false,null,{"$f":"D47+2*E47","v":0},{"$f":"COUNTA(D47)+2*COUNTA(E47)","v":3},"Art. 28 Abs. 3 DORA"]
[{"$f":"A47+1","v":32},"Implementierungszeitplan für alle notwendigen Vertragsanpassungen mit IKT-Drittdienstleistern",null,false,false,null,0,3,"BaFIN DORA-Umsetzungshinwesie S. 26\nErgibt sich aus Art. 3 Abs. 1 i.V.m. Erwägungsgrund (10) RTS-E TPPol"]
[33,"Planung von Alternativlösungen und Übergangsplänen, um IKT-Dienstleistern Dienstleistungen und Daten zu entziehen und sicher und vollständig an andere Dienstleister oder in eigene Systeme zu überführen",null,false,false,null,0,3,"Art. 28 Abs. 8 DORA"]
[34,"Prozessvorgaben und -Dokumentation zur Auswahlentscheidung über IKT-Drittdienstleister (geeignete Auswahl nach Art. 3 Abs. 1 RTS-E SUB, angemessene Überwachtung, Risikobeurteilung nach Art. 28 Abs. 4 DORA)\nfür IKT-Dienstleistungen zur Unterstützung kritischer und wichtiger Funktionen zu",null,false,false,null,0,3,"Art. 28 Abs. 8 DORA\nArt. 3 Abs. 1 RTS-E SUB"]
[35,"Dokumentation zur Auswahlentscheidung über bestehende IKT-Drittdienstleister (geeignete Auswahl nach Art. 3 Abs. 1 RTS-E SUB, angemessene Überwachtung, Risikobeurteilung nach Art. 28 Abs. 4 DORA)",null,false,false,null,0,3,"Art. 28 Abs. 8 DORA\nArt. 3 Abs. 1 RTS-E SUB"]
[36,"Prozessvorgaben und -Dokumentation zur Überwachung von  Ketten der Unterauftragsvergabe bei IKT-Drittdienstleistern",null,false,false,null,0,3,"Art. 28 Abs. 8 DORA\nArt. 5 RTS-E SUB"]
[37,"Leitlinie für vertragliche Vereinbarungen ber die Nutzung vn IKT-Diensteleistungen zur Unterstützung kritischer oder wichtiger Funktionen mit allen Mindestinhalten aus ITS-E RoI (C(2024) 1531)",null,false,false,null,0,3,"Art. 28 Abs. 3 DORA\nITS-E RoI (C2024) 1531)"]
[38,"Richtlinien für die Beschaffung, Entwicklung und Wartung von IKT-Systemen mit allen Mindestinhalten aus Art. 16 RTS-E RMF (C(2024) 1532)",null,false,false,null,0,3,"Art. 16 RTS-E RMF (C(2024) 1532)"]
["Anpassung von Verträgen mit IKT-Providern (nicht bloß Gruppen-externe Dritt-DL, Erwägungsgrund (5) ITS-E RoI)"]
[{"$f":"A54+1","v":39},"Vereinbarung von Tests der IKT-Geschäftsfortführungspläne mit Providern, die kritische oder wichtige Funktionen übernehmen",null,false,false,null,{"$f":"D56+2*E56","v":0},{"$f":"COUNTA(D56)+2*COUNTA(E56)","v":3},"Art. 11 Abs. 4 DORA"]
[40,"Für IKT-Systeme und Daten mit minimaler Ausfallzeit:\nVereinbarung von Zeitvorgaben für Wiederherstellungszeit und Wiederherstellungspunkte jeder Funktion zur Sicherstellung der vereinbarten Dienstleistungsgüte in Extremszenarien",null,false,false,null,0,3,"Art. 12 Abs. 6 DORA"]
[41,"Ausreichend Zugangs-, Inspektions- und Auditrechte entsprechend dem Auditplan und Art. 8 RTS-E TPPol",null,false,false,null,0,3,"Art. 28 Abs. 6 DORA\nArt. 8 RTS-E TPPol"]
[{"$f":"A58+1","v":42},"Sicherstellung von Sonderkündigungsrechten gemäß Art. 28 Abs. 7 DORA",null,false,false,null,0,3,"Art. 28 Abs. 7 DORA\nArt. 7 RTS-E SUB"]
[43,"Vereinbarung von Exit-Support und Übergangszeiträumen gemäß Art. 28 Abs. 8 und 30 Abs. 3 lit. f) DORA bei IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen",null,false,false,null,0,3,"Art. 28 Abs. 8 DORA\nArt. 30 Abs. 3 lit. f) DORA"]
[{"$f":"A60+1","v":44},"Bei Verträgen über kritische oder wesentliche Funktionen:\nAbwägung der Risiken einer zugelassenen Untervergabe mit entsprechenden Vorgaben an Hauptunternehmer zur Untervergabe, insbesondere der Weitergabe relevanter Klauseln an den Subunternehmer und Änderungen in Subunternehmer-Verträgen",null,false,false,null,0,3,"Art. 29 Abs. 2, 30 Abs. 2 lit a) DORA\nArt. 3 Abs. 1 lit. c) und Art. 4 sowie 6 RTS-E SUB"]
[45,"Eindeutige, schriftliche Zuweisung von Rechten und Pflichten in jedem Vertrag mit IKT-Dienstleistern (= vollständige, detaillierte Leistungsbeschreibung) in einem Dokument",null,false,false,null,0,3,"Art. 30 Abs. 1 und 2 lit. a) DORA\nArt. 8 Abs. 4 RTS-E TPPol"]
[46,"Genaue Vereinbarung zu Standorten (Regionen/Länder), an denen IKT-Dienstleistungen bereitzustellen sind, Daten verarbeitet oder gespeichert werden sowie Pflicht zur Vorabnachricht bei Änderung dieser Standorte",null,false,false,null,0,3,"Art. 30 Abs. 2 lit. b) DORA"]
[47,"Genaue Vereinbarung zu Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit in Bezug auf Datenschutz und Datensicherheit (Vorsicht: weitergehend als DSGVO-Anforderungen!)",null,false,false,null,0,3,"Art. 30 Abs. 2 lit. c) DORA"]
[48,"Genaue Vereinbarung zur Sicherstellung des Zugangs zu Daten bei Insolvenz, Abwicklung oder Ausfällen des IKT-Dienstleisters (erfordert meist Escrow-Vereinbarungen!)",null,false,false,null,0,3,"Art. 30 Abs. 2 lit. d) DORA"]
[49,"Vereinbarung zur Dienstleistungsgüte (= SLA) einschließlich Aktualisierung und Überarbeitung",null,false,false,null,0,3,"Art. 30 Abs. 1 und 2 lit. e) DORA"]
[50,"Vereinbarung zu Unterstützungsleistungen bei IKT-Vorfällen bei vertragsrelevanten Dienstleistungen",null,false,false,null,0,3,"Art. 30 Abs. 2 lit. f) DORA"]
[51,"Vereinbarung zu vollumfänglicher Zusammenarbeit mit zuständigen DORA-Behörden",null,false,false,null,0,3,"Art. 30 Abs. 2 lit. g) DORA"]
[52,"Prüfung und Anpassung von Kündigungsrechten und Mindestkündigungsfristen gemäß Art. 30 Abs. 2 lit h) DORA",null,false,false,null,0,3,"Art. 30 Abs. 2 lit. h) DORA"]
[53,"Vereinbarung von Bedingungen für Teilnahme an Programmen zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationellen Resilienz",null,false,false,null,{"$f":"D70+2*E70","v":0},{"$f":"COUNTA(D70)+2*COUNTA(E70)","v":3},"Art. 30 Abs. 2 lit. i) DORA"]
[54,"Bei Verträgen zur Unterstützung kritischer oder wichtiger Funktionen:\nSLA mit präzisen quantitativen und qualitativen Leistungszielen und KPI, wirksame Überwachung (Reporting!) und Korrekturmaßnahmen bei SLA-Verletzung ",null,false,false,null,0,3,"Art. 30 Abs. 3 lit. a) DORA\nArt.9 Abs. 1 RTS-E TPPol"]
[55,"Bei Verträgen zur Unterstützung kritischer oder wichtiger Funktionen:\nKündigungsfristen, Melde- und Berichtspflichten zu Entwicklungen beim IKT-Dienstleister, die sich wesentlich auf dessen Fähigkeit zur Vertragserfüllung auswirken könnten",null,false,false,null,0,3,"Art. 30 Abs. 3 lit. b) DORA\nArt. 8 ff. RTS-E TPPol"]
[56,"Bei Verträgen zur Unterstützung kritischer oder wichtiger Funktionen:\nImplementierung und Tests von Notfallplänen und ausreichend Sicherheitsmaßnahmen",null,false,false,null,0,3,"Art. 30 Abs. 3 lit. c) DORA"]
[57,"Bei Verträgen zur Unterstützung kritischer oder wichtiger Funktionen:\nPflicht zur Beteiligung und uneingeschränkten Mitwirkung an TLPTs",null,false,false,null,0,3,"Art. 30 Abs. 3 lit. d) DORA"]
[58,"Bei Verträgen zur Unterstützung kritischer oder wichtiger Funktionen:\nUmfassende Audit- und Überwachungsrechte nach Art. 30 Abs. 3 lit. e) DORA",null,false,false,null,0,3,"Art. 30 Abs. 3 lit. e) DORA"]
[59,"Verträge müssen hinsichtlich von Software die in Art. 16 Abs. 3  RTS-E RMF vorgesehenen Quellcodeprüfungen und deren Unterstützung durch den Anbieter umfassen.",null,false,false,null,{"$f":"D76+2*E76","v":0},{"$f":"COUNTA(D76)+2*COUNTA(E76)","v":3},"Art. 16 Abs. 3 RTS-E RMF"]
[60,"Verträge müssen hinsichtlich von Software mit proprietärer SW (möglichst mit Quellcode) oder OSS vorsehen, dass diese vorab in der Produktionsumgebung analysiert und getestet wird",null,false,false,null,{"$f":"D77+2*E77","v":0},{"$f":"COUNTA(D77)+2*COUNTA(E77)","v":3},"Art. 16 Abs. 8 RTS-E RMF"]