DORA. Jeder Artikel. Sofort zitiert.
In 3 Sekunden.
IgeraRegTech liest Ihre DORA-Dokumentation und beantwortet Fragen zu IKT-Risikomanagement, Meldung von Vorfällen, TLPT-Tests und Drittparteienrisiko — mit exaktem Artikelzitat aus der Verordnung (EU) 2022/2554. Für Banken, Versicherungen, Wertpapierfirmen und Zahlungsinstitute.
14 Tage kostenlos · DSGVO-konform · Daten in der EU
DORA-Zeitplan — was gilt bereits?
IKT-Risikomanagement, Meldepflichten und Drittparteienregister verpflichtend für alle betroffenen Finanzunternehmen
Technische Regulierungsstandards zu IKT-Risikomanagement-Tools und vereinfachtem Rahmen für kleine Institute treten in Kraft
Standardisierte Meldebögen für das Register der IKT-Drittparteienvereinbarungen an die zuständige Behörde
Bedeutende Finanzunternehmen führen alle 3 Jahre bedrohungsorientierte Penetrationstests durch
Die 5 Kapitel von DORA, die IgeraRegTech abdeckt
Verordnung (EU) 2022/2554 — vom IKT-Risikorahmen bis zum Drittparteienrisiko, jeder Artikel sofort zitierbar.
IKT-Risikomanagement-Rahmen (Art. 5–16)
Das Leitungsorgan (Vorstand/Geschäftsleitung) muss die IKT-Risikostrategie mindestens jährlich genehmigen und überwachen (Art. 5). Der dokumentierte IKT-Rahmen (Art. 6) muss ein vollständiges Inventar aller IKT-Assets mit Kritikalitätseinstufung (Art. 8), Schutzmaßnahmen wie MFA und Verschlüsselung (Art. 9), Anomalieerkennung z. B. via SIEM (Art. 10) sowie einen getesteten Business-Continuity- und Disaster-Recovery-Plan mit definierten RTO/RPO-Werten (Art. 11–12) umfassen. Eine unabhängige jährliche Überprüfung des gesamten Rahmens ist nach Art. 15 vorgeschrieben.
Meldung von IKT-Vorfällen (Art. 17–23)
Schwerwiegende IKT-Vorfälle müssen der zuständigen Behörde (in Deutschland: BaFin) gemeldet werden — Erstmeldung innerhalb von 4 Stunden nach Einstufung, Zwischenmeldung nach spätestens 72 Stunden, Abschlussbericht innerhalb eines Monats (Art. 19). Die Schwellenwerte für "schwerwiegend" legen die technischen Regulierungsstandards von EBA/ESMA/EIOPA fest. Freiwillige Meldung erheblicher Cyberbedrohungen ist unter Art. 18 möglich.
Bedrohungsorientierte Penetrationstests — TLPT (Art. 24–27)
Bedeutende Finanzunternehmen müssen alle drei Jahre Threat-Led Penetration Testing (TLPT) nach dem TIBER-EU-Rahmenwerk durchführen — realitätsnahe Red-Team-Angriffe auf kritische Live-Systeme. Getestet werden reale Produktionssysteme, nicht nur Testumgebungen. Die Ergebnisse müssen der Aufsichtsbehörde vorgelegt und in einem Aktionsplan mit Fristen adressiert werden.
Management von IKT-Drittparteienrisiko (Art. 28–44)
Verträge mit IKT-Drittdienstleistern müssen verpflichtende Mindestklauseln enthalten (Zugangs-, Prüfungs- und Kündigungsrechte, Art. 30). Finanzunternehmen führen ein Register aller IKT-Vertragsvereinbarungen (Art. 28). Als "kritisch" eingestufte IKT-Drittdienstleister (v. a. Hyperscaler) unterliegen der direkten Aufsicht durch die europäischen Aufsichtsbehörden (Art. 31–44) — inklusive Vor-Ort-Prüfungen und Sanktionsbefugnissen.
Informationsaustausch (Art. 45)
Finanzunternehmen können freiwillig Informationen über Cyberbedrohungen und Schwachstellen untereinander austauschen, sofern der Datenschutz und die Vertraulichkeit gewährleistet bleiben — zur Stärkung der kollektiven digitalen Resilienz des Finanzsektors.
Eigene DORA-Dokumentation hochladen
Laden Sie Ihren IKT-Risikorahmen, Ihr Melderegister, Ihre TLPT-Berichte oder Ihr Drittparteienregister hoch. IgeraRegTech beantwortet interne Fragen direkt anhand Ihrer eigenen Dokumente, ergänzt durch DORA, die RTS/ITS und die EBA/ESMA/EIOPA-Leitlinien.
DORA-Fragen, die IgeraRegTech sofort beantwortet
"Müssen wir als Zahlungsinstitut IKT-Vorfälle nach DORA melden?"
IgeraRegTech antwortet: Ja. Gemäß Art. 17 Abs. 1 DORA (Verordnung (EU) 2022/2554) sind Zahlungsinstitute als Finanzunternehmen im Sinne von Art. 2 DORA verpflichtet, schwerwiegende IKT-bezogene Vorfälle der zuständigen Behörde zu melden (in Deutschland: BaFin). Fristen nach Art. 19: Erstmeldung innerhalb von 4 Stunden nach Einstufung als schwerwiegender Vorfall, Zwischenmeldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats. Die Schwellenwerte für "schwerwiegende Vorfälle" sind in den technischen Regulierungsstandards von EBA/ESMA/EIOPA festgelegt.
"Was muss unser IKT-Asset-Register nach DORA mindestens enthalten?"
IgeraRegTech antwortet: Art. 8 Abs. 1 DORA verlangt ein aktuelles Register aller IKT-Assets. Der delegierte Rechtsakt (EU) 2024/1774 (RTS zu IKT-Risikomanagement-Tools), Art. 4, spezifiziert die Pflichtfelder: eindeutige Asset-Kennung, Asset-Typ (Hardware/Software/Daten), unterstützte Geschäftsfunktion, Kritikalitätsstufe (kritisch/wichtig/sonstig), verantwortlicher Eigentümer, Standort, aktiver Supportvertrag und geplantes End-of-Life-Datum. Überprüfung mindestens jährlich oder nach jeder wesentlichen Infrastrukturänderung.
"Fällt unser Cloud-Anbieter unter die DORA-Vorschriften zu Drittparteienrisiko?"
IgeraRegTech antwortet: Wahrscheinlich ja, wenn er eine kritische oder wichtige Funktion unterstützt. Nach Art. 28 DORA muss der Vertrag mit dem IKT-Drittdienstleister Mindestklauseln enthalten: Beschreibung der Dienstleistung, Zugangs- und Prüfungsrechte, Kündigungsrechte, Standort der Datenverarbeitung und Ausstiegsstrategie. Wird der Anbieter (typischerweise ein Hyperscaler) von den europäischen Aufsichtsbehörden als "kritisch" eingestuft (Art. 31), unterliegt er zusätzlich der direkten Überwachung nach Art. 33–37, inklusive möglicher Vor-Ort-Prüfungen.
Ihr Compliance-Team. Verstärkt durch KI.
Laden Sie Ihren IKT-Risikorahmen, Ihr Melderegister und Ihr Drittparteienregister hoch. In 20 Minuten einsatzbereit für Ihr Compliance-Team.
Kostenlose Demo — 30 MinutenKeine Kreditkarte erforderlich · DSGVO-konform · Daten in der EU