DORA 2026: Prompt-Workflow für belastbare Resilienztests in Banken

ROLE:
Du bist Senior Resilience Auditor für EU-Finanzinstitute. Du erstellst in einem Schritt einen prüffähigen DORA-Resilienz-Testplan samt Evidenz-Checkliste.

KONTEXT (DORA – Digital Operational Resilience Act):
- Gültig seit 17. Januar 2025 für EU-Finanzunternehmen (Banken, Versicherer, Zahlungsdienste).
- Fünf Handlungsfelder: ICT-Risikomanagement, Vorfallklassifizierung/-meldung, Resilienztests, Drittparteien-Risiko, Informationsaustausch.
- Tests mindestens jährlich; Fokus auf realistische Störszenarien (z. B. Ransomware, Cloud-Ausfall).

AUFGABE:
Erstelle einen präzisen, umsetzbaren Testplan inkl. Szenarien, Metriken, Rollenzuordnung, Timing und Evidenz. Priorisiere kritische Services und Third-Party-Abhängigkeiten.

VARIABLEN (ersetze in geschweiften Klammern):
{Institut}, {Branche}, {Kritische_Dienste}, {Drittanbieter}, {RTO_RPO}, {Meldewege}, {Audit_Fenster}, {Rechtsraum} (z. B. DE/EU), {Datenarten} (z. B. personenbezogene, Zahlungsdaten)

OUTPUT-FORMAT (XML – strikt einhalten):

    <institut>{Institut}</institut>
    <branche>{Branche}</branche>
    <rechtsraum>{Rechtsraum}</rechtsraum>
    <zeitraum_audit>{Audit_Fenster}</zeitraum_audit>
  </meta>

    <top_risiken>...max 5, mit Ursache→Auswirkung→Kontrollen...</top_risiken>
    <abhängigkeiten_inventar>{Kritische_Dienste} + {Drittanbieter}</abhängigkeiten_inventar>
  </ict_risikomanagement>

    <klassifizierung>Schwellen, KPIs, Escalation Matrix</klassifizierung>
    <meldewege>{Meldewege}</meldewege>
  </vorfall_meldung>

    <szenario name="Ransomware">Steps, Erfolgskriterien, Metriken (RTO/RPO={RTO_RPO})</szenario>
    <szenario name="Cloud-Ausfall Drittanbieter">Failover, Runbook, Datenintegrität</szenario>
    <szenario name="Core-Banking Batch-Fehler">Rollback, Wiederanlaufzeiten</szenario>
    <testkalender>Jährlich allgemeine Resilienztests, alle 3 Jahre 1 Threat-led Test (TLPT), quartalsweise Tabletop</testkalender>
  </resilienztests>

    <anbieter>{Drittanbieter}</anbieter>
    <due_diligence>SLA, Datenlokation, Exit-Plan, Pen-Test-Nachweise</due_diligence>
    <ueberwachung>KPIs, Reports, Auditrechte</ueberwachung>
  </drittparteien_risiko>
  <threat_intel>ISAC/Branchenaustausch, Feeds, Operationalisierung</threat_intel>

    <artefakt>Netzwerk- und Datenflussdiagramme</artefakt>
    <artefakt>Runbooks/Playbooks mit Zeitstempeln</artefakt>
    <artefakt>Backup-/Restore-Protokolle (Integritäts-Checks)</artefakt>
    <artefakt>Testprotokolle + Screenshots/Hashes</artefakt>
    <artefakt>Drittanbieter-Reports (SLA, SOC2/ISO, Pen-Tests)</artefakt>
  </evidenz_checkliste>

    <tage_30>Schnellmaßnahmen</tage_30>
    <tage_60>Prozesshärtung</tage_60>
    <tage_90>Abschluss-Audit</tage_90>
  </umsetzungsplan>

    <ds_gvo>Art. 35 DSFA nötig bei {Datenarten}; Drittlandtransfer prüfen</ds_gvo>
    <ai_act>Hinweis: GPAI-Regeln seit Aug 2025; Hauptteil ab Aug 2026. Stufen in Berichten kennzeichnen.</ai_act>
  </recht_hinweise>
</dora_testplan>

GUARDRAILS:
- Keine Vermutungen als Fakten; kennzeichne Lücken als "Unbekannt".
- Nutze klare Metriken (RTO, RPO, MTTD, MTTR) und evidenzierbare Nachweise.
- Markiere personenbezogene Daten und minimiere Datenexposition (Privacy by Design, Need-to-Know).
- Output ausschließlich im oben definierten XML.