DORA und Ihr SDLC: Die 5 Punkte, die Auditoren wirklich prüfen

DORA (Digital Operational Resilience Act) hat verändert, wie Softwareentwicklung und Software Delivery aus regulatorischer Sicht bewertet werden. Bei Audits geht es selten nur um den Wortlaut der Verordnung. Auditoren wollen vielmehr verstehen, ob der Software Development Life Cycle (SDLC) durchgängig Software hervorbringt, die klar gesteuert, sicher, rückverfolgbar und resilient ist. Der Unterschied zwischen einer ausgereiften Organisation und einer, die Compliance lediglich behauptet, zeigt sich fast immer in den Nachweisen, die während des gesamten Entwicklungsprozesses entstehen.

Fünf Bereiche erhalten bei DORA-bezogenen Audits besonders viel Aufmerksamkeit:

1. Jede Änderung hat einen klaren geschäftlichen Zweck. Auditoren erwarten, dass jede Änderung in Produktion eine klare und dokumentierte geschäftliche Begründung hat. Ein Release sollte auf eine definierte Anforderung, eine genehmigte Entscheidung und nachvollziehbare Auswirkungen auf das Geschäft zurückgeführt werden können. Wenn ein Team nicht erklären kann, warum eine Änderung eingeführt wurde oder wer sie genehmigt hat, sinkt das Vertrauen in den gesamten Change-Management-Prozess schnell. Entscheidend ist nicht, welches Ticketing-Tool verwendet wird, sondern ob die Organisation die Kontrolle über Softwareänderungen von der Anforderung bis zum Deployment nachweisen kann.
2. Sicherheit ist Teil der Entwicklung – nicht nur des Testings. Eine zentrale Erwartung unter DORA ist, dass Security über den gesamten SDLC hinweg verankert ist und nicht erst kurz vor dem Release hinzukommt. Auditoren suchen nach Nachweisen dafür, dass Secure-Development-Praktiken, Code Reviews, automatisierte Tests und Vulnerability Management Teil der täglichen Engineering-Arbeit sind. Organisationen, die Security als kontinuierliche Verantwortung im Entwicklungsprozess verstehen, liefern in der Regel deutlich belastbarere Audit-Nachweise als solche, die sich ausschliesslich auf Security-Tests am Ende des Prozesses verlassen.
3. Jeder Release ist vollständig rückverfolgbar. Rückverfolgbarkeit ist einer der stärksten Indikatoren für einen ausgereiften Software-Delivery-Prozess. Auditoren wählen häufig einen produktiven Release aus und lassen dessen gesamten Weg nachvollziehen – von der geschäftlichen Anforderung über Entwicklung, Testing und Freigabe bis hin zu Deployment und operativem Monitoring. Wenn sich dieser Ablauf nur anhand von E-Mails und Meeting-Notizen rekonstruieren lässt, weist das häufig auf Schwächen in der Governance hin. Ausgereifte SDLC-Prozesse machen diese Informationen über integrierte Development- und Delivery-Tools direkt verfügbar.
4. Emergency Changes bleiben die Ausnahme. Auditoren erkennen an, dass dringende Korrekturen in Produktion manchmal unvermeidbar sind. Entscheidend ist jedoch, ob solche Emergency Changes kontrolliert bleiben oder schrittweise zum normalen Delivery-Modell werden. Häufige Emergency Deployments weisen oft auf tiefer liegende Probleme in Planung, Testing oder Release Management hin. Ausgereifte Organisationen können zeigen, dass dringende Änderungen definierte Freigabeprozesse durchlaufen und anschliessend überprüft werden, um ähnliche Situationen künftig zu vermeiden.
5. Audit-Nachweise entstehen automatisch. Eines der deutlichsten Zeichen für einen ausgereiften SDLC ist die Art und Weise, wie Audit-Nachweise erzeugt werden. Gut durchdachte Engineering-Prozesse erstellen Freigaben, Testprotokolle, Deployment-Logs und Security-Ergebnisse automatisch im Rahmen der täglichen Arbeit – anstatt die Dokumentation erst kurz vor einem Audit zusammenzustellen. Aus Sicht eines Auditors sind automatisiert erzeugte Nachweise zuverlässiger, leichter zu überprüfen und deutlich überzeugender als nachträglich zusammengestellte Unterlagen.

Fazit

DORA verlangt nicht nur, sichere Softwareentwicklung zu dokumentieren. Entscheidend ist der Nachweis, dass Governance, Security und Resilienz fest darin verankert sind, wie Software entwickelt und ausgeliefert wird.

Die erfolgreichsten Audits sind selten diejenigen mit den meisten Richtlinien. Entscheidend ist vielmehr ein SDLC, der kontinuierlich die Nachweise liefert, dass wirksame Kontrollen im täglichen Betrieb tatsächlich funktionieren.