IT-Audit-Bericht Cloud-Auslagerung DORA-konform

# Context (C)
Du unterstützt die Erstellung eines IT-Audit-Berichts zu einer
kritischen Cloud-Auslagerung in einem DORA-pflichtigen
Finanzunternehmen. Rechtsstand: <heutiges Datum>. Eingabe ist
pseudonymisiert: Provider-Eigenname (sofern NDA), Service-IDs,
Vorfalls-IDs und Kunden-/Mitarbeiter-Bezüge als [[Kategorie-Hash]].
Vertrags-Klauseln und Vorfalls-Sachverhalte in Klartext.

# Role (R)
Du agierst als IT-Audit-Drafting-Assistenz. Du kennst DORA-
Verordnung 2022/2554 (insbesondere Art. 5, 17, 24-27 TLPT, 28-30
Drittparteien), MaRisk AT 9 (Auslagerung), § 25b KWG, BAIT, IDW PS
982 (IT-System-Prüfung), ISO 27001/27017, BSI C5, EBA-Outsourcing-
Guidelines.

# Action (A)
1. Executive Summary 5–8 Sätze: Auslagerungs-Gegenstand, Methodik,
   Kernergebnisse, Gesamt-Bewertung, Anzahl Findings je Stufe.
2. Prüfungsgegenstand: Auslagerungs-Klassifikation kritisch/nicht-
   kritisch, Provider-Pseudonym, Service-Beschreibung.
3. DORA-Art.-30-Pflicht-Klauseln-Konformitäts-Tabelle:
   | Pflicht-Klausel | Erfüllt ja/nein | Beleg | Bemerkung |.
4. Drittparteien-Risiko-Bewertung: Konzentration, Substituierbarkeit,
   Sub-Outsourcing-Tiefe.
5. Exit-Strategie-Bewertung: Plan vorhanden? getestet? Daten-
   Portabilität?
6. IKT-Vorfallsmanagement: Vorfalls-Historie, Reaktions-Zeit, DORA-
   Art.-17-Meldungs-Konformität.
7. Findings-Tabelle mit Risiko-Stufe.
8. Empfehlungen + Maßnahmenplan.
9. '[VERIFY: …]'-Marker für alle Annahmen, insbesondere Zertifikats-
   Status.

# Format (F)
- Executive Summary.
- Strukturierte Abschnitte 2–8.
- Tabellen wo angegeben.
- Unsicherheiten am Ende.

# Target Audience (T)
Geschäftsleitung, DORA-Beauftragter, BaFin-Prüfungsfähigkeit.

# Verbote
KEIN DORA-Artikel-Zitat ohne '[VERIFY: …]'-Markierung bei
Unsicherheit.
KEIN BSI-C5-Typ-Status ohne offizielle Quelle.
KEIN Sub-Outsourcing-Provider-Klarname (NDA).

IT-Audit-Briefing — Prüfung Cloud-Auslagerung '[[Provider-a3f9]]
IaaS'
Prüfungszeitraum: 15.02.2026 – 30.04.2026
Auslagerungs-Klassifikation: kritisch (Kern-IT-Anwendung KredKern
  hostet)

Vertrags-Eckdaten:
 - Provider: [[Provider-a3f9]] (Hyperscaler, EU-Rechenzentrum
   Frankfurt)
 - Service: IaaS + Managed Container Service
 - DORA Art. 30 Klauseln-Check: Termination-Right ja, Audit-Right
   ja, Step-In-Right ja, Sub-Outsourcing-Anzeige ja, Daten-Lokation
   EU ja, Geheimhaltungs-Klausel ja, Service-Level dokumentiert ja,
   Exit-Plan dokumentiert nur partiell (Migrations-Test fehlt).
 - Zertifikate: ISO 27001 ja, BSI C5 Typ 1 ja, BSI C5 Typ 2 nein,
   ISO 27017 ja, ISO 27018 ja.

Vorfalls-Historie 2025:
 V-2025-08 (mittel): Service-Degradation 4 h durch Hyperscaler-
   Region-Ausfall. Mitgeteilt nach 2 h; DORA Art. 17 4-h-Meldung
   erfüllt.
 V-2025-12 (niedrig): Falsche Skalierung; 35 min reduzierte
   Performance.
 V-2025-19 (hoch): Sub-Provider-Vorfall ([[SubProvider-b2e7]])
   führte zu 90 min Daten-Zugriffs-Beschränkung; Sub-Outsourcing-
   Mapping war zu diesem Zeitpunkt unvollständig.

Exit-Strategie-Test:
 - Letzter Tabletop-Test: 11/2024
 - Daten-Portabilitäts-Test: nie durchgeführt
 - Geschätzte Migrations-Dauer: 9–18 Monate (Schätzung, nicht
   validiert)

## Executive Summary
Die IT-Audit-Prüfung der Cloud-Auslagerung an [[Provider-a3f9]]
(IaaS, Frankfurt-EU-Region, kritisch klassifiziert) wurde im
Zeitraum 15.02.–30.04.2026 durchgeführt. Vertragsseitig sind acht
von neun DORA-Art.-30-Pflicht-Klauseln vollständig erfüllt; einzig
die Exit-Strategie weist methodische Lücken auf (Daten-Portabilitäts-
Test fehlt, Sub-Provider-Mapping zum Zeitpunkt Vorfall V-2025-19
unvollständig). Drei Findings (1 hoch, 1 mittel, 1 niedrig);
Gesamtbewertung 'befriedigend mit Handlungsbedarf bei Exit-Strategie
und Sub-Outsourcing-Mapping'.

## DORA-Art.-30-Pflicht-Klauseln
| Klausel | Erfüllt | Beleg | Bemerkung |
|---|---|---|---|
| Termination-Right | ja | Vertrag §12 | — |
| Audit-Right | ja | Vertrag §15 | letzte Ausübung 2025-Q4 dokumentiert |
| Step-In-Right | ja | Vertrag §16 | — |
| Sub-Outsourcing-Anzeige | partiell | Vertrag §18 | siehe Finding F-IT-2026-007 |
| Daten-Lokation EU | ja | Vertrag Anhang B | Frankfurt-Region exklusiv |
| Geheimhaltung | ja | Vertrag §22 | — |
| Service-Level dokumentiert | ja | SLA Anhang C | 99,95 % verfügbar |
| Exit-Plan dokumentiert | partiell | Vertrag §25 + Annex | siehe Finding F-IT-2026-006 |
| Geltendes Recht EU | ja | Vertrag §28 | DE-Gerichtsstand |

## Findings
- **F-IT-2026-006 (hoch):** Exit-Strategie ist dokumentiert, aber der
  Daten-Portabilitäts-Test wurde nie operativ durchgeführt;
  geschätzte Migrations-Dauer 9–18 Monate ist nicht validiert. DORA
  Art. 28 verlangt eine getestete Exit-Strategie.
  [VERIFY: Vergleich mit EBA-Outsourcing-Guidelines 2019 §80–84]
- **F-IT-2026-007 (mittel):** Sub-Outsourcing-Mapping zum Zeitpunkt
  Vorfall V-2025-19 unvollständig — der Sub-Provider
  [[SubProvider-b2e7]] war im Auslagerungsregister nicht als
  kritischer Sub-Outsourcing-Knoten markiert. Korrektur ist seit
  02/2026 vorgenommen.
- **F-IT-2026-008 (niedrig):** BSI C5 Typ 2 Zertifikat fehlt; nur
  Typ 1 verfügbar. Branche-Standard für kritische Auslagerungen ist
  Typ 2. [VERIFY: BSI-C5-Anforderung gegen BaFin-IT-Aufsichtspraxis]

## Empfehlungen
1. Daten-Portabilitäts-Test bis Q4/2026 operativ durchführen;
   Ergebnis im Auslagerungsregister dokumentieren — Verantwortlich:
   Leitung IT-Operations + DORA-Beauftragter; Priorität: hoch.
2. Sub-Outsourcing-Register-Frequenz auf monatlich erhöhen —
   Verantwortlich: Outsourcing-Office; Priorität: mittel.
3. Anforderung BSI C5 Typ 2 mit Provider eskalieren; bei Nicht-
   Erfüllung Alternativen-Mapping starten — Verantwortlich: IT-
   Strategie + DORA-Beauftragter; Priorität: mittel.

## Unsicherheiten
- Migrations-Dauer-Schätzung 9–18 Monate basiert auf Provider-
  Selbstauskunft; unabhängige Validierung empfohlen.
- Vorfall V-2025-19 Root-Cause-Analyse mit Sub-Provider noch
  ausstehend.