Die fünf Säulen
Was DORA konkret verlangt
Der Digital Operational Resilience Act (Verordnung (EU) 2022/2554) gilt seit dem 17. Januar 2025 und ersetzt einen Flickenteppich nationaler Regeln durch einen gemeinsamen Standard für den EU-Finanzsektor. Er ruht auf fünf Säulen: IKT-Risikomanagement (Artikel 5 bis 15), Vorfallsmanagement und Meldepflicht (17 bis 23), Resilienztests (24 bis 27), IKT-Drittparteienrisiko (28 bis 30) und Informationsaustausch (45). Wir begleiten alle fünf – nicht nur die technischen.
Unsere Abdeckung
Wir decken alle fünf Säulen ab
Risikomanagement-Framework samt Governance, Vorfallsklassifizierung mit Meldeuhr für die Fristen aus Artikel 19, ein Testprogramm von der Schwachstellenanalyse bis zur Krisenübung, das Informationsregister mit DORA-konformen Vertragsklauseln und die Anbindung an Threat-Intelligence-Kreise. Kein Teilbereich bleibt offen – und wir übergeben nicht nur Empfehlungen, sondern die fertigen Artefakte.
Geltungsbereich
Wer betroffen ist – und was für Kleine gilt
DORA erfasst rund 20 Kategorien von Finanzunternehmen, von Kreditinstituten über Zahlungs- und E-Geld-Institute bis zu Versicherern, Vermögensverwaltern und Krypto-Dienstleistern – und über die Vertragspflichten auch deren IKT-Dienstleister. Kleinstunternehmen mit weniger als 10 Beschäftigten und höchstens 2 Millionen Euro Umsatz folgen dem vereinfachten Rahmen nach Artikel 16. Befreit sind sie damit nicht: Meldepflichten, Vertragsanforderungen und Schulungen gelten weiter.
Das Ergebnis
Antragsfähig, meldefähig, auditfähig
Am Ende steht kein Foliensatz, sondern eine Nachweislage: ein IKT-Risikomanagement-Framework, das die Geschäftsleitung verabschiedet hat, ein vollständiges Informationsregister, dokumentierte Tests und belastbare Vorfallsprozesse. Damit halten Sie einem Zulassungsverfahren bei der Finanzaufsicht stand, erfüllen die jährliche Meldepflicht und bestehen interne wie externe Prüfungen.
Die Stolperstellen
Woran die meisten Projekte hängen bleiben
In der Praxis sind es das Informationsregister und die Awareness-Pflicht, über die Teams stolpern. Das Register verlangt einen vollständigen, aktuellen Überblick über jede IKT-Vereinbarung, und Artikel 13 Absatz 6 erwartet, dass Mitarbeitende und Management laufend zu digitaler operationaler Resilienz geschult werden. Beides ist genauso eine Dokumentations- wie eine technische Aufgabe – deshalb beginnen wir bei den Unterlagen und den Menschen, nicht beim Werkzeug.
Nachvollziehbar
Dieselben Controls in D3FEND und ISO 27001
DORA sagt, was vorhanden sein muss, benennt aber die Gegenmaßnahme nicht – deshalb können zwei Unternehmen auf dem Papier konform sein und sich völlig unterschiedlich verteidigen. Wir ordnen jedes Control zweifach zu: über MITRE D3FEND auf konkrete defensive Techniken und über ISO/IEC 27001:2022 auf Kapitel 4 bis 10 und die 93 Controls aus Anhang A. So sehen Sie, was Ihr ISMS schon abdeckt und was DORA zusätzlich verlangt – bedrohungsgeleitete Tests, Meldefristen in Stunden, das Informationsregister und den vertraglichen Ausstiegsplan haben kein Gegenstück in Anhang A.
Nächster Schritt
Acht Artefaktbereiche, Trainings und ein Erstgespräch
Governance und Organisation, Risiko- und Control-Management, Incident und Continuity, Tests und Audit, Drittparteien-Risikomanagement, Schulung und Awareness, Berichtswesen sowie die Ausnahmen für Kleinstunternehmen – acht Bereiche, zu denen wir die Artefakte liefern. Dazu Cyber-Security- und DORA-Trainings, remote oder vor Ort. Sprechen wir über Ihren Stand.
Erstgespräch buchen oder Kontakt aufnehmen
Nächster Schritt
30 Minuten, kostenlos und unverbindlich: Wir klären Ihren DORA-Status, die größten Lücken auf dem Weg zur Zulassung und zur jährlichen Meldung – und wie wir Sie antrags- und auditfähig machen. Hinterlassen Sie hier Ihre Daten – wir melden uns per E-Mail.
Erstellt mit
