DORA Lead Manager

Zehn Beispielfragen aus der Prüfung

Je eine pro Kompetenzbereich, genau wie im Simulator.

1. D1 - Grundlagen und Governance

   Eine kleine Wertpapierfirma im regulären DORA-Rahmen übernimmt das Kontrollkonzept einer Bank als Ausgangspunkt. Ihre Auftragsplattform verarbeitet wenige, aber zeitkritische institutionelle Aufträge; ein entdeckter Fehler lässt sich vor der Marktausführung kaum zurücknehmen. Das Bankkonzept kombiniert stichprobenartige Auftragskontrollen mit einer aufwendigen Überwachung vieler Filialverbindungen. Die Firma hat keine Filialen. Welches Umsetzungspaket trägt ihrer abweichenden Tätigkeit am besten Rechnung?

   1. Die Stichprobe wegen der geringeren Auftragszahl verkleinern; den frei werdenden Aufwand für zusätzliche Prüfungen der zentralen Plattformverbindung einsetzen.
   2. Die Auftragskontrolle vor der Ausführung auf die zeitkritischen Fehlerrisiken ausrichten; die Überwachung auf die genutzten Verbindungen zuschneiden.
   3. Die Kontrollen vor der Ausführung durch eine vollständige tägliche Abstimmung ersetzen; den Aufwand der Filialüberwachung auf diese Vollprüfung übertragen.
   4. Die Kontrollverteilung der Bank beibehalten; die entfallenden Filialprüfungen durch gleich häufige Prüfungen der bestehenden Plattformverbindung ersetzen.

2. D5 - Überprüfung und Verbesserung

   Das Leitungsorgan einer Bank muss in vier Wochen über ein neues Wiederherstellungskonzept entscheiden. In einer Fallprobe erklären seine Mitglieder Begriffe korrekt, verwechseln aber die Auswirkungen von Datenverlust und Unterbrechung. Zwei kurze Schulungstermine vor der Entscheidung und regelmäßige Auffrischungen sind finanzierbar. Welchen Entwicklungsplan sollte die Bank bevorzugen?

   1. In beiden Terminen die Entscheidung am konkreten Fall üben und die eigenständige Beurteilung vor der Freigabe erneut prüfen.
   2. Einen Grundlagenvortrag halten und den zweiten Termin durch die schriftliche Empfehlung des IKT-Leiters ersetzen.
   3. Beide Termine für einen zertifizierten Überblickskurs nutzen; die Teilnahme als ausreichenden Kompetenznachweis werten.
   4. Beide Termine für Expertenberatung nutzen; die Fallprüfung auf die erste Auffrischung nach der Entscheidung legen.

3. D4 - Resilienztests und Drittparteien

   Ein Versicherer nutzt ein zentrales Vertragsportal. Darin ist ein dauerhaft bezogener IKT-Dienst für Raumreservierungen vollständig dokumentiert und als nicht kritisch bewertet. Der Export für das DORA-Informationsregister filtert bislang alle nicht kritischen Vereinbarungen aus. Welche Änderung am Export bildet den vorhandenen Bestand sachgerecht ab?

   1. Den Filter beibehalten und dem Registerexport einen Verweis auf das vollständige Vertragsportal hinzufügen.
   2. Den Filter aufheben und die Bewertung als nicht kritisch im Registereintrag erhalten.
   3. Den Vertrag für den Export als kritisch markieren und die abweichende Fachbewertung im Portal belassen.
   4. Nicht kritische Vereinbarungen im Export zu einem Sammelposten mit Gesamtzahl zusammenfassen.

4. D3 - IKT-Risiken und Vorfälle

   Ein Finanzunternehmen erkennt an einem Dienstag um 09:00 Uhr einen IKT-Vorfall und stuft ihn am selben Tag um 11:00 Uhr als schwerwiegend ein. Es gelten keine besonderen Fristverlängerungen. Bis wann muss die Erstmeldung spätestens erfolgen, wenn eine frühere Meldung tatsächlich nicht möglich ist?

   1. Am Mittwoch um 09:00 Uhr.
   2. Am Dienstag um 13:00 Uhr.
   3. Am Dienstag um 15:00 Uhr.
   4. Am Mittwoch um 11:00 Uhr.

5. D2 - Planung und Umsetzung

   Bei einer Bank führen zusammenhängende Ausfälle der telefonischen Auftragsannahme ab 20 Minuten zu nicht mehr tragbaren Kundenfolgen. Die bestehende Anbietervereinbarung erlaubt einzelne Ausfälle bis 60 Minuten. Ein Entwurf setzt deshalb die strategische Auswirkungstoleranz auf 60 Minuten; ein anderer verwendet einen Monatsdurchschnitt unter 20 Minuten. Welche Freigabeempfehlung ist am besten begründet?

   1. 60 Minuten als Toleranz genehmigen, weil sie bereits vertraglich abgesichert und deshalb zuverlässig nachweisbar sind.
   2. Den Monatsdurchschnitt unter 20 Minuten genehmigen, weil er einzelne längere Ausfälle mit störungsfreien Zeiten ausgleicht.
   3. Die Toleranz an der zusammenhängenden Unterbrechung von unter 20 Minuten ausrichten und die Abweichung der Anbieterzusage als Umsetzungsbedarf behandeln.
   4. Die Auswirkungstoleranz zunächst zwischen 20 und 60 Minuten mitteln und nach dem ersten Betriebsjahr anhand realer Ausfälle nachschärfen.

6. D1 - Grundlagen und Governance

   Eine kleine Einrichtung der betrieblichen Altersversorgung fällt nach geprüfter Einordnung unter DORA Artikel 16 Absatz 1. Ihr Entwurf für den vereinfachten Rahmen streicht die interne Revision, weil Artikel 6 nicht unmittelbar gilt. Welche Behandlung dieses Punkts ist nach dem einschlägigen technischen Standard richtig?

   1. Die Revision durch die regelmäßige Selbsteinschätzung der für den Betrieb verantwortlichen Leitung ersetzen.
   2. Eine unabhängige, risikogerecht geplante interne Revision des vereinfachten Rahmens beibehalten.
   3. Die Revision nur auf freiwilliger Grundlage vorsehen und ihre Durchführung von verfügbaren Restmitteln abhängig machen.
   4. Die Revision durch die unveränderte Übernahme eines allgemeinen Kontrollberichts des wichtigsten IKT-Anbieters ersetzen.

7. D5 - Überprüfung und Verbesserung

   Eine interne Revision beanstandet fehlende Kontrolle privilegierter Zugriffe. Eine befristete manuelle Kontrolle ist geprüft und wirksam; die dauerhafte Lösung ist noch nicht umgesetzt. Das genehmigte Follow-up-Verfahren unterscheidet wirksame Übergangsmaßnahmen von der vollständigen Behebung des Befunds. Welcher Statusbericht an das Leitungsorgan ist am besten begründet?

   1. Die wirksame Übergangskontrolle ausweisen und den Befund mit Termin für die dauerhafte Behebung weiterverfolgen.
   2. Den Befund als vollständig behoben schließen und die dauerhafte Lösung als davon unabhängige Optimierung weiterführen.
   3. Den Befund unverändert als unkontrolliertes Risiko melden und den Nachweis der manuellen Kontrolle erst bei der Endlösung berücksichtigen.
   4. Den Befund für die Laufzeit der Übergangskontrolle aus dem Follow-up entfernen und erst bei deren Ablauf wieder aufnehmen.

8. D4 - Resilienztests und Drittparteien

   Eine nicht bedeutende Bank hat die ersten beiden TLPT mit zulässigen internen Testern abgeschlossen. Für den dritten Test liegen Angebote einer unabhängigen Testgesellschaft und einer rechtlich getrennten gruppeninternen IKT-Gesellschaft vor. Beide Teams sind fachlich geeignet; die Gruppengesellschaft stellt eine eigene Rechnung. Welche Auswahlbegründung ist richtig?

   1. Die unabhängige Testgesellschaft wählen, weil die Mitarbeiter der gruppeninternen IKT-Gesellschaft hierfür als interne Tester gelten.
   2. Die Gruppengesellschaft wählen, weil ein eigener Arbeitsvertrag bei einer anderen Gesellschaft die externe Durchführung belegt.
   3. Beide Angebote als extern behandeln und anhand der nachgewiesenen technischen Erfahrung entscheiden.
   4. Die Gruppengesellschaft wählen und die unabhängige Gesellschaft mit der nachträglichen Berichtskontrolle beauftragen.

9. D3 - IKT-Risiken und Vorfälle

   Eine Bank hat ihre Erstmeldung am Freitag um 15:00 Uhr übermittelt. Am Montag um 14:00 Uhr sind Status und Behandlung unverändert; ein technischer Befund wird erst abends erwartet. Es bestehen keine Feiertage oder technischen Versandprobleme. Welche Vorbereitung erfüllt die anstehende Zwischenmeldepflicht?

   1. Den neuen technischen Befund abwarten und die vollständige Zwischenmeldung noch am Montagabend senden.
   2. Den unveränderten Kenntnisstand als Zwischenmeldung bis Montag 15:00 Uhr übermitteln.
   3. Bis 15:00 Uhr nur die Wiederherstellungsprognose senden und die übrigen unveränderten Angaben aus der Zwischenmeldung herausnehmen.
   4. Die unveränderte Lage intern dokumentieren und die Zwischenmeldung nach Wiederaufnahme des regulären Betriebs senden.

10. D2 - Planung und Umsetzung

    Zwei Finanzunternehmen einer Gruppe dokumentieren ihre Funktionen in getrennten Inventaren. Bei beiden heißt eine Serverinstanz „R7"; die Instanzen liegen jedoch auf demselben physischen Host H. Ein Export für die Maßnahmenplanung führt Datensätze nach Name zusammen und übernimmt dabei nur eine Funktionsverantwortliche. Fachlich sind beide Verantwortlichen bestätigt. Welche Änderung erhält sowohl die fachlichen Zuständigkeiten als auch die gemeinsame technische Ausfallabhängigkeit?

    1. Die beiden Instanzen zu einem Hostdatensatz zusammenfassen; die Funktionsverantwortlichen durch den für H bestätigten technischen Betriebsverantwortlichen ersetzen.
    2. Die Instanzen je Unternehmen unterscheidbar exportieren; beide mit H und ihren bestätigten Funktionsverantwortlichen verknüpft in die Planung übernehmen.
    3. Die Instanzen je Unternehmen unterscheidbar exportieren; ihre getrennten Vertragsnummern als Abgrenzung der technischen Ausfallgruppen für die Planung nutzen.
    4. Die Instanzen als gemeinsame Ressource R7 exportieren; beide Funktionsverantwortlichen durch die für den nächsten Wartungstermin zuständige Rolle ersetzen.

Beantworten Sie dieselben zehn Fragen im Simulator und sehen Sie die Erklärung zu jeder Option, auch zu den falschen. Er öffnet sich ohne Registrierung →

Zur offiziellen Prüfung: Format, Dauer und Anzahl der Fragen legt die zertifizierende Stelle fest; sie können sich ändern. Bitte prüfen Sie sie vor der Anmeldung in deren Unterlagen. Dieses Material trainiert die Norm, nicht die Prüfung einer bestimmten Stelle, und hilft daher auch bei einer Zertifizierung anderswo.