Architekturgouvernance fir DORA an NIS2: Entscheedungen, Inventaren an Ofhängegkeeten

Architekturgouvernance a reglementaresch Dokumentatioun

En Architekturdiagramm ass séier gezeechent. Méint méi spéit muss d’Entreprise ëmmer nach soe kënnen, firwat eng Entscheedung getraff gouf a wien se guttgeheescht huet. Si muss och wëssen, wéi eng Applikatiounen e kritesche Service ënnerstëtzen a wéi se vunenee ofhänken. Ouni dës Äntwerte bleift en Audit stiechen, an eng Opsiichtsrevue gëtt méisam.

D’Architekturgouvernance ëmfaasst d’Instanzen, d’Opzeechnungen an d’Reegelen, déi d’Architektur mat der Zäit korrekt halen. Si liwwert en Deel vun der Dokumentatioun, déi DORA an NIS2 erwaarden: d’Funktiounen, d’IKT-Assets, hir Ofhängegkeeten an d’Entscheedungen, déi se gepräägt hunn.

Si mécht eng Entitéit net konform. Déi zoustänneg Autoritéit an d’Auditeure beurteelen d’Konformitéit no den organisatoreschen, vertraglechen a Sécherheetsmoossname vun der Entitéit. E Referentiel vun der Architektur hëlleft ze dokumentéieren an ze beweisen, wat gemaach gëtt; d’Aarbecht vun de Funktioune Recht, Risiko a Sécherheet bleift ganz bestoen.

Den Architekturcomité

Den Architekturcomité, oder Architecture Review Board, préift bedeitend Ännerungen, ier se beschloss ginn: eng nei Kärapplikatioun, eng grouss Integratioun, en neit Hosting-Modell. Hie vergläicht se mat den ugehollene Prinzipien. Esou ginn d’Froe vu Risiko, Sécherheet a Resilienz behandelt, soulaang hir Korrektur wéineg kascht.

E Comité hält, wann en einfach a reegelméisseg bleift: e kloren Ëmfang fir d’Revue, wéineg permanent Memberen, e Rhythmus am Takt vun de Liwwerungen. An ArchiLU ginn d’Entscheedungsinstanzen no Äre Reegelen zesummegesat, all eenzel mat hirem Mandat. Eng Instanz kann nëmmen ee Member hunn, an eng Persoun kann e puer Profiler kumuléieren.

De Board an ArchiLU huet véier Usiichten: Ze behandelen, Froen, An Iwweraarbechtung an Historique. En Architekturdossier ka vun enger Demande ausgoen oder eegestänneg opgemaach ginn. De Board stellt de Responsabele seng Froen, préift d’Äntwerten nees an entscheet mat engem Grond, oder hie freet eng Iwweraarbechtung mat enger neier Soumissioun. D’Entscheedung gëtt festgehal, wann se getraff gëtt.

Dokumentéiert Entscheedungen

Eng dokumentéiert Entscheedung hält fir all bedeitend Wiel de Kontext, d’Optiounen, déi iwwerluecht goufen, déi getraff Entscheedung an hir Begrënnung fest. Si beäntwert déi schwéierst Fro vun engem Audit, „Firwat ass et esou?“, ouni datt een an de Postkëschten an an alen Presentatioune siche muss.

An ArchiLU hält den Entscheedungsjournal all Entscheedung mat hirer Instanz, hirem Entscheeder, hirem Datum, hirem Resultat an hirem Grond fest. Fir en agereechten Dossier bleiwen d’Versioun, d’Presentatioun an d’Ofweegungen, déi gepréift goufen, zougänglech. Eng agedroen Entscheedung gëtt net nei geschriwwen: eng aner ersetzt se, oder d’Instanz zitt se zréck.

D’Konsequenze vun enger Entscheedung ginn an de Prinzipien, den Zilbiller an de betraffenen Elementer festgehal; déi nächst Demande fënnt dës Referenzen erëm. Den Auditeur liest all Entscheedung vum Board mat hirem Grond no. D’Auditspuer ass verkett, iwwerpréifbar a ka vum Administrateur exportéiert ginn. D’Trennung vun den Aufgaben ass standardméisseg aktiv, an hir Ophiewung gëtt protokolléiert.

D’KI kann eng Entscheedung virbereeden oder eng Derogatioun bewäerten; nëmmen d’Membere vun der Instanz entscheeden.

Prinzipien, Reegelen an Derogatiounen

E Prinzip seet, wat gewënscht ass, zum Beispill „fir perséinlech Donnéeë léiwer Servicer huelen, déi an der Europäescher Unioun gehost sinn“. Eng Reegel mécht et iwwerpréifbar. Mat den Applikatiounen an Entscheedunge verbonnen, déi se betreffen, weisen Prinzipien a Reegelen, wou d’Architektur se respektéiert a wou eng dokumentéiert Derogatioun akzeptéiert gouf.

An ArchiLU gëtt e Prinzip a sengem Case virbereet a gëllt, soubal de Board en ugeholl huet. Eng spéider Demande gëtt domat verglach: si respektéiert de Prinzip, begrënnt eng Derogatioun oder proposéiert eng Ännerung. Oppen Derogatioune gehéieren zu de Feststellunge vun der Expositiounsanalyse. Wann e Prinzip e Responsabelen huet a seng Derogatioune siichtbar bleiwen, konsultéieren d’Ekippen en, wa si hir Optioune virbereeden.

D’Inventar vun den Applikatiounen a vun de Funktiounen

DORA verlaangt vun de Finanzentitéiten, hir Geschäftsfunktiounen, déi sech op d’IKT stäipen, z’identifizéieren, ze klasséieren an adequat ze dokumentéieren (Artikel 8). D’Obligatioun deckt och d’Informatiouns- an IKT-Assets of, déi dës Funktiounen ënnerstëtzen, an hir Ofhängegkeeten. D’Klasséierung gëtt mannstens eemol am Joer iwwerpréift; d’Inventare ginn reegelméisseg a bei all wesentlecher Ännerung aktualiséiert.

Den Informatiounsregister vum Artikel 28 vun DORA ass en anert Dokument. Hie betrëfft d’vertraglech Ofmaachungen iwwer IKT-Servicer, déi IKT-Drëttdéngschtleeschter liwweren. An ArchiLU gëtt hie wéi e reglementaresche Rapport aus der selwechter Kette erstallt.

NIS2 zielt d’Gestioun vun den Assets zu de Moossname fir d’Gestioun vun de Cybersécherheetsrisiken (Artikel 21). An deene béide Fäll ass d’Inventar vun den Applikatiounen d’Basis. Et bleift aktuell, wann et dat Modell ass, dat d’Architekten, d’Finanzen an d’Risikogestioun scho benotzen. Fir all Audit nei opgebaut, gëtt et erëm zu der Tabell, déi et ersetze sollt. An ArchiLU sinn d’Applikatiounen an d’Funktiounen am selwechte Referentiel:

• Responsabel, Kritikalitéit, Liewenszyklus a Fournisseur vun all Applikatioun.
• E Funktiounskatalog mat der Kritikalitéit am Sënn vun DORA, dem Responsabelen an den Applikatiounen, déi all Funktioun déngen.
• D’Verbindunge vun all Applikatioun mat hire Fäegkeeten, Prozesser, Schnëttstellen, Technologien a Kontrakter.
• Objeten ouni Responsabel, déi siichtbar bleiwen, an all zwielef Méint eng Aufgab fir all Responsabel, fir seng Objeten ze bestätegen.

IKT-Ofhängegkeeten an Expositiounsanalyse

Seng Applikatiounen ze kennen, geet net duer. Eng Resilienzrevue freet, wat stoe bleift, wann eng Komponent, en Déngschtleeschter oder en Datefloss ausfält. DORA verlaangt, d’Verbindungen an Interdependenzen tëscht den Assets z’erfaassen an d’Prozesser z’identifizéieren, déi vun IKT-Drëttdéngschtleeschter ofhänken (Artikel 8).

An ArchiLU fänkt d’Kette bei enger kritescher oder wichteger Funktioun un. Si verfollegt déi verbonne Prozesser a Fäegkeeten, d’Applikatiounen, duerno déi dokumentéiert IKT-Servicer, Fournisseuren a Kontrakter. Eng feelend Verbindung bleift siichtbar. D’Fiche vun der Funktioun weist och déi bereetgestallt Instanz mat hirer Erëmhierstellung an hirem akzeptabele Verloscht, an den Ausstiegsplang vun der Applikatioun.

D’Expositiounsanalyse fänkt bei engem Déngschtleeschter un a geet erop bis bei d’Prozesser an déi kritesch oder wichteg Funktiounen, déi vun him ofhänken. Si berechent hir Feststellungen: Konzentratioun, Obsolescence, kritesch Objeten ouni Responsabel, oppen Derogatiounen. All Feststellung féiert zu enger Demande, zu engem Risiko oder zu enger Entscheedung vum Board.

D’Resilienzstrategie, déi DORA virgesäit, leet d’Toleranz fir den IKT-Risiko fest an analyséiert d’Toleranz fir d’Auswierkunge vun IKT-Stéierungen (Artikel 6). Virun enger Ofmaachung, déi eng kritesch oder wichteg Funktioun ënnerstëtzt, bewäert d’Entitéit och de Konzentratiounsrisiko (Artikelen 28 an 29). Dës Bewäertunge bleiwen bei der Entitéit; d’Kette dokumentéiert, wourop se sech bezéien.

Wou DORA an NIS2 usetzen

De Reglement (EU) 2022/2554, kuerz DORA, gëllt zënter dem 17. Januar 2025 fir d’Finanzentitéiten, déi a sengem Artikel 2 opgezielt sinn. Hie reegelt d’Gestioun vum IKT-Risiko, d’Mellung vu schwéieren IKT-Virfäll, d’Teste vun der Resilienz an de Risiko vun IKT-Drëttdéngschtleeschter. Hie schaaft och e Kader fir d’Iwwerwaachung vu kriteschen IKT-Drëttdéngschtleeschter.

D’Direktiv (EU) 2022/2555, kuerz NIS2, gëllt fir essenziell a wichteg Entitéiten a ville Secteuren. D’Memberstaate missten se bis den 17. Oktober 2024 ëmsetzen. Eng Finanzentitéit kann als essenziell oder wichteg agestuft sinn. DORA gëllt dann als sektorspezifeschen Akt am Sënn vum Artikel 4 vun NIS2 (Artikel 1, Paragraph 2, vun DORA).

Béid Texter huelen d’Leedungsorgan an d’Flicht. Ënner DORA leet et de Kader fir d’Gestioun vum IKT-Risiko fest, geneemegt an iwwerwaacht en an ass fir seng Ëmsetzung verantwortlech (Artikel 5). Ënner NIS2 geneemegen d’Leedungsorganer d’Moossname fir d’Gestioun vun de Cybersécherheetsrisiken, iwwerwaachen hir Ëmsetzung a kënne verantwortlech gemaach ginn (Artikel 20).

DORA verlaangt och, datt d’Resilienzstrategie d’IKT-Referenzarchitektur an d’Ännerungen erkläert, déi fir bestëmmte Geschäftsziler néideg sinn (Artikel 6, Paragraph 8). An ArchiLU dréit all Landschaft den Ist-Zoustand, d’Zil an eng datéiert Roadmap. D’Lück gëtt all Element säin Aarbechtspak a seng Fällegkeet.

E gefleegt Inventar, kartéiert Ofhängegkeeten, begrënnt Entscheedungen an eng Auditspuer sinn d’Material fir eng Resilienz- oder Opsiichtsrevue. D’Checklëscht zu DORA an NIS2 hëlleft, d’Architekturdokumentatioun opzelëschten, déi nach ze erstellen ass.

BIAN fir d’Banken, an eng Gouvernance, déi hält

Eng Bank kann sech och op eng Referenz vum Secteur stäipen. BIAN, de Banking Industry Architecture Network, publizéiert Referenzmodeller; seng Service Landscape organiséiert Service Domains. An ArchiLU gëtt e Secteursmodell, BIAN fir d’Banken, iwwer de Classeur gelueden. D’Fachresponsabel préiwen duerno all Zouuerdnung zu hire Fäegkeeten an Applikatiounen.

D’Gouvernance hält, wa si de bestoende Rhythme follegt: Budgetszyklen, Verlängerunge vu Kontrakter, Etappe vun der Transformatioun. De Board, d’Entscheedungen, d’Prinzipien an d’Inventar hänke sech dorun, ouni e separate Konformitéitsprojet, deen ëm d’Opmierksamkeet vun den Ekippe konkurréiert.

An ArchiLU gehéieren d’DORA-Kette an d’Expositiounsanalyse zur Offer APM & Risk. D’Architekturdossieren an de Board gehéieren zur Offer Enterprise Architecture, déi APM & Risk mat abegräift. Den Test vun engem Mount leeft op Ärer eegener Instanz.