DORA Lead Manager

Zehn Beispielfragen aus der Prüfung

Je eine pro Kompetenzbereich, genau wie im Simulator.

1. D1 - Grundlagen und Governance

   Eine kleine Wertpapierfirma im regulären DORA-Rahmen übernimmt das Kontrollkonzept einer Bank als Ausgangspunkt. Ihre Auftragsplattform verarbeitet wenige, aber zeitkritische institutionelle Aufträge; ein entdeckter Fehler lässt sich vor der Marktausführung kaum zurücknehmen. Das Bankkonzept kombiniert stichprobenartige Auftragskontrollen mit einer aufwendigen Überwachung vieler Filialverbindungen. Die Firma hat keine Filialen. Welches Umsetzungspaket trägt ihrer abweichenden Tätigkeit am besten Rechnung?

   1. Die Stichprobe wegen der geringeren Auftragszahl verkleinern; den frei werdenden Aufwand für zusätzliche Prüfungen der zentralen Plattformverbindung einsetzen.
   2. Die Kontrollen vor der Ausführung durch eine vollständige tägliche Abstimmung ersetzen; den Aufwand der Filialüberwachung auf diese Vollprüfung übertragen.
   3. Die Auftragskontrolle vor der Ausführung auf die zeitkritischen Fehlerrisiken ausrichten; die Überwachung auf die genutzten Verbindungen zuschneiden.
   4. Die Kontrollverteilung der Bank beibehalten; die entfallenden Filialprüfungen durch gleich häufige Prüfungen der bestehenden Plattformverbindung ersetzen.

2. D2 - Planung und Umsetzung

   Zwei Finanzunternehmen einer Gruppe dokumentieren ihre Funktionen in getrennten Inventaren. Bei beiden heißt eine Serverinstanz „R7"; die Instanzen liegen jedoch auf demselben physischen Host H. Ein Export für die Maßnahmenplanung führt Datensätze nach Name zusammen und übernimmt dabei nur eine Funktionsverantwortliche. Fachlich sind beide Verantwortlichen bestätigt. Welche Änderung erhält sowohl die fachlichen Zuständigkeiten als auch die gemeinsame technische Ausfallabhängigkeit?

   1. Die beiden Instanzen zu einem Hostdatensatz zusammenfassen; die Funktionsverantwortlichen durch den für H bestätigten technischen Betriebsverantwortlichen ersetzen.
   2. Die Instanzen je Unternehmen unterscheidbar exportieren; ihre getrennten Vertragsnummern als Abgrenzung der technischen Ausfallgruppen für die Planung nutzen.
   3. Die Instanzen je Unternehmen unterscheidbar exportieren; beide mit H und ihren bestätigten Funktionsverantwortlichen verknüpft in die Planung übernehmen.
   4. Die Instanzen als gemeinsame Ressource R7 exportieren; beide Funktionsverantwortlichen durch die für den nächsten Wartungstermin zuständige Rolle ersetzen.

3. D3 - IKT-Risiken und Vorfälle

   Ein Sicherungsverfahren speichert Bestandsdaten und ein davon getrenntes Journal. Der vorgesehene Wiederanlauf spielt zuerst den Bestand ein und verarbeitet danach das Journal. Der Hersteller prüft die Lesbarkeit beider Sicherungsdateien. Ein interner Test hat außerdem beide Dateien einzeln in Prüfprogramme geladen; deren Formate sind korrekt. Für den nächsten regelmäßigen Test ist eine isolierte Umgebung verfügbar. Welche Prüfung liefert die noch benötigte Evidenz für das vorgesehene Wiederherstellungsverfahren?

   1. Den gesicherten Bestand einspielen und das Journal verarbeiten; den erzeugten Zustand mit dem für das Verfahren erwarteten Ergebnis abgleichen.
   2. Beide Dateien in der isolierten Umgebung erneut auf Lesbarkeit und Format prüfen; die Ergebnisse mit den Prüfprotokollen des Herstellers abgleichen.
   3. Aus Bestand und Journal zwei getrennte Referenzbestände erstellen; deren jeweilige Datensatzanzahl mit den erzeugten Sicherungsdateien vergleichen.
   4. Ein fertiges Abbild des laufenden Systems in der isolierten Umgebung starten; seine Bestände mit den aktuell verfügbaren Produktivdaten abstimmen.

4. D4 - Resilienztests und Drittparteien

   Ein Kleinstunternehmen überträgt im Vertrag für eine kritische IKT-Leistung seine Zugangs-, Inspektions- und Auditrechte auf einen vom Anbieter benannten unabhängigen Dritten. Das Vertragsblatt erlaubt Anfragen an diesen Dritten jederzeit. Ein Prozessanhang regelt ein gemeinsames Portal: Der Anbieter prüft zunächst, ob ein Anliegen aus seiner Sicht begründet ist; erst danach wird es für den unabhängigen Dritten sichtbar. Vier Anpassungen sollen Vertragsblatt und tatsächlichen Ablauf zusammenbringen. Welche erhält das Informationsrecht bei nutzbarer Portalabwicklung?

   1. Jede Anfrage im Portal sofort quittieren und ihre Begründung durch einen zweiten Mitarbeiter des Anbieters prüfen lassen; nach gemeinsamer Bestätigung an den Dritten weiterleiten.
   2. Jede Anfrage im Portal speichern und dem Unternehmen die Anbieterantwort anzeigen; den unabhängigen Dritten zur Prüfung hinzuziehen, wenn das Unternehmen dieser Antwort widerspricht.
   3. Den Portalprozess beibehalten und im Vertragsblatt die jederzeitige Einreichung betonen; die Sichtbarkeit für den Dritten weiterhin an die sachliche Annahme durch den Anbieter knüpfen.
   4. Die Anfrage über das Portal unmittelbar an den unabhängigen Dritten richten; der Anbieter ergänzt bei Bedarf Angaben, entscheidet aber nicht über die Weiterleitung des Anliegens.

5. D5 - Überprüfung und Verbesserung

   Eine Bank hat ihre Einhaltungsüberprüfung im zulässigen Rahmen ausgelagert. Der Bericht bewertet eine Wiederherstellungsübung als bestanden: Er verwendet den protokollierten Neustart des Servers als Ende. Das Bankprotokoll nennt zusätzlich eine später abgeschlossene Verarbeitung wartender Kundenaufträge. Beide Zeitangaben sind belegt. Das vereinbarte Prüfkriterium bezieht sich auf die Wiederaufnahme der kritischen Dienstleistung; welche Tätigkeiten dafür nötig sind, ist in der Berichtsauswertung nicht geklärt. Wie sollte die Bank die Schlussfolgerung überprüfen?

   1. Die Tätigkeiten dem vereinbarten Kriterium zuordnen und den Endpunkt mit dem Prüfer klären; die Bank verantwortet die daraus abgeleitete Einhaltungsbewertung.
   2. Den externen Abschluss beibehalten und das spätere Bankprotokoll als betriebliche Nacharbeit führen; die Herkunft des Berichts entscheidet über das für die Einhaltungsprüfung geltende Ende.
   3. Den späteren Zeitpunkt unmittelbar als maßgeblich übernehmen und den Bericht als Fehlprüfung zurückweisen; die jeweils längere dokumentierte Dauer ist der zuverlässigere Compliance-Maßstab.
   4. Beide Zeitpunkte zu einer mittleren Dauer verbinden und diese gegen das Prüfkriterium messen; die gemeinsame Verwendung der Belege gleicht ihre unterschiedlichen Herkunftsperspektiven aus.

6. D1 - Grundlagen und Governance

   Eine kleine Einrichtung der betrieblichen Altersversorgung fällt nach geprüfter Einordnung unter DORA Artikel 16 Absatz 1. Ihr Entwurf für den vereinfachten Rahmen streicht die interne Revision, weil Artikel 6 nicht unmittelbar gilt. Welche Behandlung dieses Punkts ist nach dem einschlägigen technischen Standard richtig?

   1. Die Revision durch die regelmäßige Selbsteinschätzung der für den Betrieb verantwortlichen Leitung ersetzen.
   2. Die Revision nur auf freiwilliger Grundlage vorsehen und ihre Durchführung von verfügbaren Restmitteln abhängig machen.
   3. Eine unabhängige, risikogerecht geplante interne Revision des vereinfachten Rahmens beibehalten.
   4. Die Revision durch die unveränderte Übernahme eines allgemeinen Kontrollberichts des wichtigsten IKT-Anbieters ersetzen.

7. D2 - Planung und Umsetzung

   Die Resilienzstrategie einer Bank nennt als Informationssicherheitsziel die Begrenzung unberechtigter privilegierter Zugriffe. Das Dashboard meldet 100 Prozent abgeschlossene Berechtigungsprüfungen; bei Stichproben bleiben jedoch erkannte unzulässige Konten wochenlang aktiv. Welche Analyse der Kennzahlen ist für dieses Ziel am überzeugendsten?

   1. Die Abschlussquote als Zielerreichung werten und aktive beanstandete Konten nur als technische Maßnahmen außerhalb der Strategie führen.
   2. Neu angelegte privilegierte Konten zählen und daraus ohne Berechtigungs- oder Bestandsbezug das verbleibende Risiko ableiten.
   3. Neben der Abschlussquote die Entzugsaufträge zählen, ohne den tatsächlichen Rechteentzug nachzuverfolgen.
   4. Die Abschlussquote misst den Prozessfortschritt; ergänzend ist die verbleibende privilegierte Exposition etwa nach offenen Konten und Alter zu erfassen.

8. D3 - IKT-Risiken und Vorfälle

   Nach einem IKT-Vorfall sind 70.000 EUR für Wiederherstellung und Forensik sowie 35.000 EUR für vorfallbedingte Überstunden angefallen. Weitere 25.000 EUR betreffen ein allgemeines Sicherheitsupgrade für den künftigen Betrieb. Der Versicherer erstattet voraussichtlich 20.000 EUR. Welche Berechnung entspricht der wirtschaftlichen Wesentlichkeitsschwelle?

   1. 130.000 EUR: Wiederherstellung, Überstunden und Sicherheitsupgrade einbeziehen, die erwartete Versicherungsleistung unberücksichtigt lassen.
   2. 85.000 EUR: Wiederherstellung und Überstunden einbeziehen, das Sicherheitsupgrade ausschließen, die erwartete Erstattung abziehen.
   3. 70.000 EUR: Wiederherstellung einbeziehen; Personalkosten und Upgrade ausschließen, Erstattung nicht abziehen.
   4. 105.000 EUR: Wiederherstellung und Überstunden einbeziehen, das allgemeine Upgrade ausschließen, die Erstattung nicht abziehen.

9. D4 - Resilienztests und Drittparteien

   Eine nicht als Kleinstunternehmen eingestufte Bank unterliegt dem regulären IKT-Risikomanagementrahmen. Ihre Leitlinie zu IKT-Dienstleistungen für kritische oder wichtige Funktionen wurde vor 18 Monaten vom Leitungsorgan überprüft. Vor sechs Monaten prüfte der Einkauf alle bestehenden Verträge und fand keinen Anpassungsbedarf. Der Terminplan sieht eine erneute Leitlinienprüfung erst bei einem neuen Vertrag vor. Welche Bewertung ist zutreffend?

   1. Die Vertragsprüfung ersetzt die mindestens jährliche Leitlinienprüfung durch das Leitungsorgan nicht; der geplante ausschließlich anlassbezogene Turnus genügt nicht.
   2. Die Vertragsprüfung des Einkaufs setzt den jährlichen Leitlinienturnus neu in Gang, sofern sie keinen Anpassungsbedarf an den bestehenden Verträgen ergeben hat.
   3. Die anlassbezogene Planung genügt, weil eine Leitlinie ohne festgestellten Änderungsbedarf keiner regelmäßigen erneuten Überprüfung unterliegt.
   4. Die Leitlinienprüfung kann bis zum nächsten Vertrag warten, wenn der Einkauf die unveränderte Leitlinie jährlich erneut an alle zuständigen Funktionen verteilt.

10. D5 - Überprüfung und Verbesserung

    Das Leitungsorgan einer Bank muss in vier Wochen über ein neues Wiederherstellungskonzept entscheiden. In einer Fallprobe erklären seine Mitglieder Begriffe korrekt, verwechseln aber die Auswirkungen von Datenverlust und Unterbrechung. Zwei kurze Schulungstermine vor der Entscheidung und regelmäßige Auffrischungen sind finanzierbar. Welchen Entwicklungsplan sollte die Bank bevorzugen?

    1. In beiden Terminen die Entscheidung am konkreten Fall üben und die eigenständige Beurteilung vor der Freigabe erneut prüfen.
    2. Einen Grundlagenvortrag halten und den zweiten Termin durch die schriftliche Empfehlung des IKT-Leiters ersetzen.
    3. Beide Termine für einen zertifizierten Überblickskurs nutzen; die Teilnahme als ausreichenden Kompetenznachweis werten.
    4. Beide Termine für Expertenberatung nutzen; die Fallprüfung auf die erste Auffrischung nach der Entscheidung legen.

Beantworten Sie dieselben zehn Fragen im Simulator und sehen Sie die Erklärung zu jeder Option, auch zu den falschen. Er öffnet sich ohne Registrierung →

Zur offiziellen Prüfung: Format, Dauer und Anzahl der Fragen legt die zertifizierende Stelle fest; sie können sich ändern. Bitte prüfen Sie sie vor der Anmeldung in deren Unterlagen. Dieses Material trainiert die Norm, nicht die Prüfung einer bestimmten Stelle, und hilft daher auch bei einer Zertifizierung anderswo.