DORA Compliance
strukturiert umsetzen
Der Digital Operational Resilience Act (DORA) verpflichtet den gesamten EU-Finanzsektor zu strengen Anforderungen an die digitale Betriebsstabilität. Mit iso-easy setzen Sie DORA systematisch um — eingebettet in Ihr ISMS.
Fällt Ihr Unternehmen unter DORA?
DORA gilt für nahezu den gesamten Finanzsektor — von Banken über Versicherungen bis zu Krypto-Dienstleistern und deren kritische IKT-Anbieter.
Direkt betroffen Finanzunternehmen
- Kreditinstitute & Zahlungsdienstleister
- Versicherungen & Rückversicherer
- Wertpapierfirmen & Handelsplätze
- Krypto-Dienstleister & E-Geld-Institute
- Fondsverwalter & Pensionsfonds
Indirekt betroffen IKT-Drittanbieter
- Cloud-Anbieter (IaaS, PaaS, SaaS)
- Software- und Plattform-Anbieter
- Datenanalyse- und Reporting-Dienste
- IT-Sicherheitsdienstleister
- Managed Service Provider (MSP)
21 Kategorien von Finanzunternehmen
Das DORA-Framework im Überblick
DORA basiert auf fünf zentralen Säulen der digitalen operationalen Resilienz.
IKT-Risikomanagement
Umfassendes Framework für das Management aller IKT-Risiken inkl. Governance und Kontrollsysteme.
Vorfallmeldung
Klassifizierung, Meldung und Reporting von schwerwiegenden IKT-Vorfällen an die Aufsicht.
Resilienztests
Regelmäßige Tests der digitalen Betriebsstabilität inkl. Threat-Led Penetration Testing (TLPT).
IKT-Drittanbieter
Management und Überwachung von IKT-Drittanbieter-Risiken entlang der gesamten Lieferkette.
Informationsaustausch
Freiwilliger Austausch von Bedrohungsinformationen zwischen Finanzunternehmen.
Was DORA von Ihnen verlangt
Die wichtigsten Pflichten aus der Verordnung (EU) 2022/2554
IKT-Risikomanagement-Framework
Leitungsorgane müssen ein IKT-Risikomanagement-Framework definieren, genehmigen und überwachen (Art. 5–16).
IKT-Vorfallmanagement & Meldepflichten
Klassifizierung von IKT-Vorfällen, Meldung an Aufsichtsbehörden und Dokumentation (Art. 17–23).
Digital Operational Resilience Testing
Regelmäßige Resilienztests, Penetrationstests und bedrohungsorientierte Tests (TLPT) (Art. 24–27).
IKT-Drittanbieter-Risikomanagement
Vertragliche Regelungen, Register, Konzentrationsrisiken und Exit-Strategien für IKT-Auslagerungen (Art. 28–44).
IKT-Informationsregister
Vollständiges Register aller vertraglichen IKT-Vereinbarungen mit Drittanbietern (Art. 28 Abs. 3).
Governance & Leitungsverantwortung
Leitungsorgane tragen die Gesamtverantwortung für IKT-Risiken und müssen regelmäßig geschult werden (Art. 5).
IKT-Vorfallmeldung nach DORA
Erstmeldung an die Aufsicht
Unmittelbare Meldung schwerwiegender IKT-Vorfälle — spätestens 24h nach Kenntnis des Vorfalls.
Zwischenbericht mit Analyse
Detaillierte Analyse des Vorfalls, Auswirkungsbewertung und Status der Gegenmaßnahmen.
Abschlussbericht
Vollständiger Bericht mit Ursachenanalyse, ergriffenen Maßnahmen und Verbesserungsvorschlägen.
Hohe Bußgelder
Die EU-Aufsichtsbehörden können erhebliche Sanktionen verhängen — inkl. täglicher Zwangsgelder von bis zu 1 % des durchschnittlichen Tagesumsatzes.
Persönliche Verantwortung
Leitungsorgane sind für die Umsetzung und Überwachung des IKT-Risikomanagements persönlich verantwortlich.
Vier Bausteine. Ein Weg zur Compliance.
Operational Resilience für Finanzunternehmen — ICT-Risk, Third-Party-Register, TLPT-Begleitung und Reporting an Aufsicht.
Full Service Begleitung
DORA-Framework aufgebaut und dokumentiert — von der ICT-Risiko-Policy bis zum Register of Information.
- ICT Risk Management Framework
- Register of Information (Art. 28)
- Incident-Reporting-Prozess
- Drittparteien-Governance
Ready-Kit
Alle DORA-Templates für Finanzinstitute — direkt nutzbar.
- ICT-Risiko-Policy-Paket
- RoI-Vorlage (Art. 28 DORA)
- Third-Party-Risk-Register
- Incident-Response-Playbook
Externer ICT-Risk-Officer
Senior-Expert für Ihr ICT-Risiko-Management gegenüber BaFin und Auditoren.
- BaFin-Reporting-Unterstützung
- Quartals-Risikoberichte
- Vorstands-Briefings
- Begleitung Prüfungshandlungen
Internes Audit
DORA-Readiness-Audit vor Aufsichtsprüfung.
- DORA-Gap-Analyse
- RoI-Qualitätsprüfung
- TLPT-Vorbereitungs-Check
- Abschlussbericht für Vorstand
Zusätzlich für DORA
Norm-spezifische Zusatzleistungen — einzeln buchbarRegister of Information (RoI)
Aufbau und Pflege Ihres DORA-Registers inkl. jährlicher Aktualisierung.
TLPT-Koordination
Threat-Led-Penetration-Testing mit zertifizierten Partnern.
Lieferanten-Klassifizierung
Kritikalitätsbewertung Ihrer ICT-Drittparteien nach Art. 28 ff.
ISO 27001 als Fundament für DORA
Ein zertifiziertes ISMS nach ISO 27001 deckt einen erheblichen Teil der DORA-Anforderungen ab.
DORA umsetzen mit iso-easy
Gap-Analyse
Bestehende Maßnahmen gegen alle DORA-Anforderungen abgleichen und Lücken identifizieren.
IKT-Framework aufbauen
Risikomanagement-Framework implementieren und IKT-Drittanbieter-Register aufsetzen.
ISMS integrieren
ISO 27001 als Basis nutzen und DORA-spezifische Erweiterungen ergänzen.
Dauerhaft compliant
Laufende Überwachung, Resilienztests und Reporting im PDCA-Betriebsmodus.
Oder selbst umsetzen
Die ISMS-Plattform für DORA — und 8 weitere Normen
Digitalisieren Sie DORA-IKT-Register, Incident-Meldungen und Resilienztests in einem Multinorm-ISMS. Mit KI-Copilot, Vorlagen und Audit-Lotse — ohne externe Beraterkosten.
- Multinorm-ISMS
- KI-Copilot & Vorlagen
- Audit-Lotse
- 30 Tage kostenlos testen
Häufige Fragen zu DORA
Klarheit zu DORA in 15 Minuten
Sind Sie als Finanzdienstleister betroffen? Was gilt ab Januar 2025? Realistische Einschätzung ohne Verkaufsdruck.
- Antwort innerhalb von 24 Stunden
- Realistische Zeit- und Kostenangaben
- Kein Verkaufsdruck, keine Verpflichtung
- Von Notivia GmbH, Stuttgart — seit 2019
