DORA Foundation

Zehn Beispielfragen aus der Prüfung

Je eine pro Kompetenzbereich, genau wie im Simulator.

1. Domäne 2: Anforderungen an den IKT-Risikomanagementrahmen

   Was umfasst das Informationsregister, das Finanzunternehmen führen müssen, und auf welchen Ebenen wird es geführt?

   1. Eine Aufzeichnung der bei Tests festgestellten Schwachstellen, die der Tester führt und der zuständigen Behörde zur Verfügung stellt.
   2. Eine Aufzeichnung der als kritisch eingestuften IKT-Assets, die jede Geschäftseinheit führt, jährlich konsolidiert und dem Abschlussprüfer übermittelt.
   3. Eine Aufzeichnung der im Jahresverlauf gemeldeten Vorfälle, die auf Unternehmensebene geführt und mit dem Jahresabschluss eingereicht wird.
   4. Eine Aufzeichnung sämtlicher IKT-Dienstleistungsverträge auf Unternehmens-, teilkonsolidierter und konsolidierter Ebene.

2. Domäne 1: Grundbegriffe zu IKT-Risiko und Resilienz

   Ein Finanzunternehmen wird nach den nationalen Vorschriften zur Umsetzung der Richtlinie (EU) 2022/2555 als wesentliche Einrichtung eingestuft. In welchem Verhältnis steht DORA zu dieser Richtlinie?

   1. DORA setzt die gesamte Richtlinie für den Finanzsektor außer Kraft, sodass keine daraus entstehenden Pflichten das Unternehmen treffen können.
   2. DORA gilt, sofern das Unternehmen keiner Pflicht aus der Richtlinie unterliegt; dies beurteilt die zuständige Behörde jeweils im Einzelfall.
   3. DORA gilt als sektorspezifischer Rechtsakt der Union im Sinne von Artikel 4 dieser Richtlinie, sodass insoweit die DORA-Regeln gelten.
   4. DORA und die Richtlinie gelten vollständig nebeneinander, sodass das Unternehmen zwei getrennte Rahmen und zwei Meldewege betreiben muss.

3. Domäne 2: Anforderungen an den IKT-Risikomanagementrahmen

   Für welche IKT-Dienstleistungen muss ein Finanzunternehmen Ausstiegsstrategien vorsehen, und was müssen diese ermöglichen?

   1. Für jede Dienstleistung eines außerhalb der Union ansässigen Anbieters, um sämtliche Daten innerhalb von dreißig Tagen zurückführen zu können.
   2. Für Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen: Ausstieg bei unterbrechungsfreiem Betrieb ohne Nachteile für Kunden.
   3. Für Dienstleistungen, deren Jahreskosten den Schwellenwert der Beschaffungsleitlinie überschreiten, um den Preis neu aushandeln zu können.
   4. Für Dienstleistungen eines gruppeninternen Anbieters, um die Funktion einer anderen Tochtergesellschaft der Gruppe zuweisen zu können.

4. Domäne 1: Grundbegriffe zu IKT-Risiko und Resilienz

   Kapitel II von DORA wird nicht von jedem Finanzunternehmen in identischer Weise umgesetzt. Welche Faktoren bestimmen, wie anspruchsvoll die Umsetzung für ein bestimmtes Unternehmen ist?

   1. Der Jahresumsatz, die Bilanzsumme und die Beschäftigtenzahl des Unternehmens, gemessen an den Schwellenwerten für Kleinstunternehmen.
   2. Die von der zuständigen Behörde vergebene Aufsichtskategorie, die jedes Unternehmen jährlich als niedriges, mittleres oder hohes Risiko einstuft.
   3. Die Zahl der vertraglich gebundenen IKT-Drittdienstleister sowie deren Standort und Größe, die das Risiko des Unternehmens bestimmen.
   4. Die Größe und das Gesamtrisikoprofil des Unternehmens sowie Art, Umfang und Komplexität seiner Dienstleistungen, Tätigkeiten und Geschäfte.

5. Domäne 2: Anforderungen an den IKT-Risikomanagementrahmen

   Warum verlangt Artikel 24 Absatz 1 von bestimmten Finanzunternehmen, als Teil ihres Rahmens ein Testprogramm einzurichten, aufrechtzuerhalten und zu überprüfen?

   1. Um die Bereitschaft zur Bewältigung von Vorfällen zu bewerten, Schwächen und Lücken zu erkennen und rasch Korrekturmaßnahmen umzusetzen.
   2. Um eine Bescheinigung der zuständigen Behörde zu erhalten, die den Kunden, Geschäftspartnern und Abschlussprüfern vorgelegt wird.
   3. Um dem Dienstleister nachzuweisen, dass seine Dienstleistungen die in der vertraglichen Vereinbarung festgelegten Leistungsniveaus erfüllen.
   4. Um die interne Prüfung des Rahmens zu ersetzen, die mit der Inbetriebnahme des Testprogramms nicht mehr erforderlich ist.

6. Domäne 1: Grundbegriffe zu IKT-Risiko und Resilienz

   Während eines großflächigen Ausfalls eines Rechenzentrums hält eine Bank ihren Zahlungsdienst aufrecht und kehrt anschließend zum Normalbetrieb zurück. Welchen Begriff der Verordnung veranschaulicht dieses Verhalten?

   1. Sicherheit von Netzwerk- und Informationssystemen, verstanden als Schutz dieser Systeme vor unbefugtem Zugriff.
   2. IKT-Konzentrationsrisiko, verstanden als Abhängigkeit von einem einzigen Anbieter für eine kritische Dienstleistung.
   3. Analyse der Auswirkungen auf den Geschäftsbetrieb, verstanden als vorherige Bewertung schwerer Betriebsstörungen.
   4. Digitale operationale Resilienz: die Fähigkeit, Dienstleistungen auch während Störungen weiter zu erbringen.

7. Domäne 2: Anforderungen an den IKT-Risikomanagementrahmen

   Der IKT-Risikomanagementrahmen muss eine Strategie für die digitale operationale Resilienz enthalten. Was muss diese Strategie darlegen?

   1. Die vorgesehene Umsetzung des Rahmens einschließlich des Risikotoleranzniveaus und klarer Ziele für die Informationssicherheit.
   2. Die Vergütungspolitik für IKT-Beschäftigte, ausgerichtet an der gemessenen Leistung der von ihnen verwalteten Systeme.
   3. Die Vorlagen zur Meldung schwerwiegender Vorfälle, die Fristen für jede Meldung und den für die Übermittlung verwendeten Meldeweg.
   4. Das Inventar der als kritisch eingestuften IKT-Assets, den jeweiligen betreibenden Dienstleister und die jedem Asset zugewiesene Klasse.

8. Domäne 1: Grundbegriffe zu IKT-Risiko und Resilienz

   Ein Sicherheitsteam erhält Informationen, wonach eine kriminelle Gruppe eine Kampagne gegen Einrichtungen seiner Art vorbereitet. Bisher ist jedoch nichts geschehen. Wie stuft die Verordnung diese Situation ein?

   1. Als IKT-bezogenen Vorfall, da die Information das Unternehmen erreicht hat und als solcher erfasst werden musste.
   2. Als schwerwiegenden IKT-bezogenen Vorfall, da eine gegen den Sektor gerichtete Kampagne erhebliche nachteilige Auswirkungen hätte.
   3. Als Cyberbedrohung, da eine mögliche Situation beschrieben wird, die sich bislang noch nirgendwo verwirklicht hat.
   4. Als zahlungsbezogenen Betriebs- oder Sicherheitsvorfall, da Zahlungsdienste das wahrscheinliche Angriffsziel sind.

9. Domäne 2: Anforderungen an den IKT-Risikomanagementrahmen

   Welche Anforderungen stellt DORA an die zur Wiederherstellung eingesetzten Systeme, wenn ein Finanzunternehmen Sicherungsdaten mithilfe seiner eigenen Systeme wiederherstellt?

   1. Sie müssen von einem Anbieter in der Union auf Grundlage eines schriftlichen Vertrags mit umfassenden Prüfungs- und Zugangsrechten betrieben werden.
   2. Sie müssen sich in einem anderen Mitgliedstaat befinden, damit eine nationale Störung nicht beide Standorte gleichzeitig beeinträchtigen kann.
   3. Sie müssen von einer Akkreditierungsstelle zertifiziert, vorab getestet und den Zugriffsregeln für die produktiven Daten unterstellt sein.
   4. Sie müssen vom Quellsystem physisch und logisch getrennt sowie gegen unbefugten Zugriff geschützt sein.

10. Domäne 1: Grundbegriffe zu IKT-Risiko und Resilienz

    Ein Unternehmen hält fest, dass eine kriminelle Gruppe über ein Fernzugriffs-Gateway mit fehlendem Sicherheitspatch auf seine Kundendatenbank zugreifen könnte. Welche Rolle spielt die fehlende Sicherheitsaktualisierung des Gateways im beschriebenen Risikoszenario?

    1. Die Schwachstelle als die für den Zugriff auszunutzende Schwäche.
    2. Die Bedrohung, weil sie die Geschäftstätigkeit des Unternehmens schädigen könnte.
    3. Das Asset, weil sie der schützenswerte Gegenstand des Unternehmens ist.
    4. Die Auswirkung, weil sie die vom Unternehmen zu tragende Folge darstellt.

Beantworten Sie dieselben zehn Fragen im Simulator und sehen Sie die Erklärung zu jeder Option, auch zu den falschen. Er öffnet sich ohne Registrierung →

Zur offiziellen Prüfung: Format, Dauer und Anzahl der Fragen legt die zertifizierende Stelle fest; sie können sich ändern. Bitte prüfen Sie sie vor der Anmeldung in deren Unterlagen. Dieses Material trainiert die Norm, nicht die Prüfung einer bestimmten Stelle, und hilft daher auch bei einer Zertifizierung anderswo.