Français
Nederlands
EnglishDORA-Konformität
Seit dem 17. Januar 2025 verpflichtet die DORA-Verordnung Finanzunternehmen, ihre IKT-Risiken zu beherrschen, schwerwiegende Vorfälle zu melden und ihre IKT-Dienstleister zu steuern. Wir helfen Ihnen, die Lücken zu ermitteln und zu schließen, gestützt auf die über 25-jährige Erfahrung unseres Gründers in der Sicherheitsgovernance, auch im Finanzsektor.
Für wen
- Banken, Versicherungs- und Rückversicherungsunternehmen, Wertpapierfirmen und Verwaltungsgesellschaften.
- Zahlungs- und E-Geld-Institute, Anbieter von Kryptowerte-Dienstleistungen.
- Kleinere Unternehmen, für die DORA verhältnismäßige Anforderungen vorsieht.
- IT-Dienstleister von Finanzkunden, denen diese Kunden die vertraglichen Anforderungen von DORA auferlegen.
Was wir tun
Gap-Analyse
Bewertung Ihres IKT-Risikomanagementrahmens anhand von DORA und den zugehörigen technischen Standards, im Verhältnis zu Ihrer Größe und Ihrem Risikoprofil.
Informationsregister
Verzeichnis der vertraglichen Vereinbarungen mit Ihren IKT-Dienstleistern, aktuell gehalten und bereit für die jährliche Einreichung bei der Aufsicht (NBB oder FSMA).
Schwerwiegende Vorfälle
Verfahren zur Klassifizierung nach den Kriterien von DORA und zur fristgerechten Meldung, gestützt auf digitale Forensik.
IKT-Drittdienstleister
Risikobewertung vor Vertragsschluss, vorgeschriebene Vertragsklauseln, Überwachung und Ausstiegsstrategien.
Resilienztests
Ein verhältnismäßiges Testprogramm: Schwachstellenbewertungen, Penetrationstests, Konfigurationsprüfungen und Krisenübungen.
Schulung der Leitung
Das Leitungsorgan trägt die letztendliche Verantwortung für IKT-Risiken und muss seine Kenntnisse aktuell halten: Wir schulen seine Mitglieder ebenso wie die Beschäftigten.
Unser Vorgehen
DORA verlangt Nachweise, nicht nur Richtlinien. Jede Maßnahme wird so dokumentiert, dass sie der Aufsicht oder einem Auditor vorgelegt werden kann.
Einordnung
Ihr Status unter DORA, die zuständige Behörde und mögliche Erleichterungen aufgrund Ihrer Größe.
Gap-Analyse
Prüfung von Richtlinien, Verfahren, Register und Verträgen auf Grundlage der vorhandenen Nachweise.
Maßnahmenplan
Nach Risiko und Aufwand priorisierte Maßnahmen, vom Leitungsorgan genehmigt.
Umsetzung und Nachweise
Richtlinien, Register und Verfahren gemeinsam mit Ihren Teams erstellt oder aktualisiert und anschließend in einer Übung getestet.
Häufige Fragen
DORA oder NIS2: Was gilt?
Für ein Finanzunternehmen, das unter DORA fällt, gelten die Regeln von DORA zum IKT-Risikomanagement und zur Meldung von Vorfällen anstelle der entsprechenden Bestimmungen von NIS2. Ein IT-Dienstleister außerhalb des Finanzsektors fällt selbst unter NIS2, wenn er die NIS2-Kriterien erfüllt.
Wir sind IT-Dienstleister einer Bank: Betrifft uns DORA?
Mittelbar. Ihre Kunden müssen die von DORA vorgeschriebenen Klauseln in ihre Verträge aufnehmen, ihre Dienstleister bewerten und prüfen können: Rechnen Sie mit Fragebögen und Nachweisanforderungen. Nur Dienstleister, die von den europäischen Behörden als kritisch eingestuft werden, unterliegen einer direkten Aufsicht.
Was ist das Informationsregister?
Es ist das Register aller vertraglichen Vereinbarungen über IKT-Dienstleistungen mit Drittdienstleistern, im von den Europäischen Aufsichtsbehörden festgelegten Format. Es muss aktuell gehalten und jährlich bei der zuständigen Behörde eingereicht werden.
Sind bedrohungsorientierte Penetrationstests (TLPT) Pflicht?
Nur für Unternehmen, die von der zuständigen Behörde bestimmt werden, meist die größten. Alle Unternehmen brauchen jedoch ein verhältnismäßiges Testprogramm: Schwachstellenbewertungen, Penetrationstests, Prüfungen und Übungen.
Gilt DORA auch für kleine Unternehmen?
Ja, in verhältnismäßiger Weise. Manche Unternehmen, etwa kleine und nicht verflochtene Wertpapierfirmen, können einen vereinfachten IKT-Risikomanagementrahmen anwenden, und Kleinstunternehmen profitieren von Erleichterungen.