IKT-Risikomanagementrahmen
Ein dokumentierter Rahmen, genehmigt und überprüft vom Leitungsorgan, das letztlich die Verantwortung für das IKT-Risiko trägt.
Verordnung (EU) 2022/2554 · DORA
Steuern Sie DORA auf einer einzigen Plattform.
DORA gilt seit dem 17. Januar 2025. Audexa bündelt an einem Ort die Bewertung der 81 Kontrollen, Ihre IKT-Drittdienstleister und Verträge, das Informationsregister und die Nachweise, die die Aufsicht verlangt.
- 81 Kontrollen in 14 Domänen
- Informationsregister in Excel
- IKT-Dienstleister und Verträge
81 DORA-Kontrollen mit Leitfaden, empfohlenen Nachweisen und Behebung
14 Domänen: vom IKT-Risiko bis zu kritischen Drittdienstleistern
S01–S19 Arten von IKT-Dienstleistungen gemäß den EU-ITS-Vorlagen
46 Zuordnungen DORA ↔ ISO 22301 zur Wiederverwendung bestehender Arbeit
Was DORA verlangt
DORA ist bereits verpflichtend, und die Aufsicht verlangt Nachweise.
Die Verordnung gilt unmittelbar für Banken, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Verwaltungsgesellschaften, Versicherer, Anbieter von Kryptowerte-Dienstleistungen und weitere Finanzunternehmen. Zuständig sind die nationalen Aufsichtsbehörden; auf EU-Ebene sind die Europäischen Aufsichtsbehörden (ESAs) eingebunden.
Schwerwiegende Vorfälle
Klassifizierung und Meldung an die Aufsicht: Erstmeldung innerhalb von 4 Stunden nach der Klassifizierung (spätestens 24 Stunden nach Erkennung), Zwischenmeldung innerhalb von 72 Stunden und Abschlussmeldung innerhalb eines Monats.
Resilienztests
Ein Testprogramm, das der Größe und dem Risiko angemessen ist, sowie bedrohungsorientierte Penetrationstests (TLPT) für die dafür bestimmten Unternehmen.
IKT-Drittparteienrisiko
Strategie für IKT-Drittparteien, vertragliche Mindestklauseln, Ausstiegsstrategien und Kontrolle der Konzentration auf einzelne Anbieter.
Informationsregister
Ein Verzeichnis aller vertraglichen Vereinbarungen mit IKT-Drittdienstleistern im Format der EU-Durchführungsvorlagen, das der Aufsicht übermittelt wird.
Informationsaustausch
Mechanismen, um Informationen über Cyberbedrohungen sicher mit anderen Finanzunternehmen zu teilen.
Quellen: Verordnung (EU) 2022/2554 (EUR-Lex) · Durchführungsverordnung (EU) 2024/2956 (EUR-Lex) · INCIBE: Meldung schwerwiegender Vorfälle nach DORA (auf Spanisch)
Wie Audexa Sie unterstützt
Zentrale DORA-Steuerung, von der Bewertung bis zum Register.
Bewertung, IKT-Drittdienstleister, Nachweise und Berichte sind miteinander verknüpft, damit jede Anforderung einen Verantwortlichen, einen Termin und einen Beleg hat.
Bewerten
Ihr tatsächlicher Stand gegenüber der Verordnung.
Geführtes DORA-Audit
81 Kontrollen in 14 Domänen, mit Interpretationshilfe, empfohlenen Nachweisen und Akzeptanzkriterium.
Begründete Anwendbarkeit
Schließen Sie Kontrollen aus, die für Ihr Unternehmen nicht gelten, mit einer Begründung, die mit dem Ergebnis mitgeführt wird.
Zuordnung zu ISO 22301
46 Beziehungen zwischen DORA und ISO 22301, damit Sie Ihre vorhandene Arbeit zur Business Continuity nutzen.
IKT-Drittdienstleister steuern
Lieferanten und Verträge mit den Daten, die DORA braucht.
Lieferanten mit LEI
Lieferantenprofil mit Firmenname, Steuernummer (NIF), validiertem LEI, Land, Kritikalität und Abhängigkeiten.
Verträge mit DORA-Daten
Art der IKT-Dienstleistung, kritische oder wichtige Funktion, Ersetzbarkeit, Ausstiegsplan, anwendbares Recht und Unterauftragnehmer.
Erinnerung an Kündigungsfristen
Hinweise 90, 60 und 30 Tage vor Ablauf der Kündigungsfrist und vor Vertragsende, auch im Kalender.
Nachweisen
Bereit für die Anfragen der Aufsicht.
Informationsregister
Exportieren Sie das Blatt „Informationsregister (DORA)“ nach Excel, mit einem laufenden Vertrag pro Zeile.
DORA-Richtlinien
Vorlagen zu digitaler operationaler Resilienz, Resilienztests, Threat Intelligence und Meldung an Behörden.
Bericht für die Geschäftsleitung
Management- und technischer Bericht mit Entwicklung, Lücken, Risiken und Roadmap.
Einige Funktionen hängen vom gebuchten Plan und den aktiven Modulen ab.
Informationsregister
Erstellen Sie das DORA-Informationsregister aus Ihren Verträgen.
Jeder Vertrag mit einem IKT-Dienstleister fließt in das Register ein. Audexa exportiert ein Blatt mit den Spalten der EU-Durchführungsvorlagen, bereit zur Prüfung und zur Anpassung an das Übermittlungsformat Ihrer Aufsichtsbehörde.
- Vereinbarungsreferenz, Dienstleister, LEI, Steuernummer und Land
- Art der IKT-Dienstleistung (S01–S19), Termine und Kündigungsfrist in Tagen
- Kritische oder wichtige Funktion, Ersetzbarkeit und Ausstiegsplan
- Jährliche Kosten, Währung, anwendbares Recht und Unterauftragnehmer
IKT-Drittdienstleister
Steuern Sie Ihre IKT-Dienstleister, ohne eine Kündigungsfrist zu verpassen.
Lieferanten, Verträge, SaaS und Abhängigkeiten in einem Inventar. Audexa warnt, bevor eine Kündigungsfrist abläuft, und markiert, was Aufmerksamkeit braucht: personenbezogene Daten ohne AVV, nicht aktiviertes MFA oder kritische Lieferanten ohne Verantwortlichen.
- Verträge mit automatischer Verlängerung und Kündigungsfristen
- Verantwortliche und regelmäßige Überprüfung je nach Kritikalität
- Dokumentierte Beendigung: was mit den Daten geschehen ist
- Verknüpfung mit Kontrollen, Nachweisen, Risiken und Aufgaben
IKT-Vorfälle
Prüfen Sie, ob Sie einen schwerwiegenden Vorfall rechtzeitig melden können.
Das DORA-Audit bewertet die Klassifizierung von Vorfällen, die Schwerekriterien und die Fristen für Erst-, Zwischen- und Abschlussmeldung. Die Lücken werden zu Aufgaben und zu einem freigabebereiten Verfahren für Meldungen an Behörden.
- Kontrollen zur Klassifizierung und Meldung von IKT-Vorfällen
- Vorlage für ein Verfahren zur Meldung an Behörden
- Verantwortliche und Termine, um jede Lücke zu schließen
- Nachweise zu Tests und Übungen im Nachweisarchiv
Meldung schwerwiegender VorfälleDORA-Fristen
- Erstmeldung4 h nach Klassifizierung
- Zwischenmeldung72 h
- Abschlussmeldung1 Monat
- Verfahren freigegebenv2 · unterzeichnet
So funktioniert es
Von der ersten DORA-Bestandsaufnahme zu einem tragfähigen Programm.
Lage bewerten
Beantworten Sie das DORA-Audit, begründen Sie, was nicht gilt, und erhalten Sie nach Gewichtung und Risiko priorisierte Lücken.
IKT-Dienstleister ordnen
Erfassen Sie Lieferanten und Verträge mit den DORA-Daten und halten Sie das Informationsregister bereit.
Beheben und nachweisen
Weisen Sie Aufgaben zu, geben Sie Richtlinien frei, sammeln Sie Nachweise und teilen Sie den Bericht mit der Geschäftsleitung.
Vorher und nachher
DORA in Tabellen vs. DORA in Audexa.
BereichOhne PlattformMit Audexa
Informationsregister
Jedes Jahr manuell gebautes Excel
Export aus den laufenden Verträgen
Kündigungsfristen
Werden zu spät bemerkt
Hinweise 90, 60 und 30 Tage vorher
DORA-Lücken
Statischer Beratungsbericht
Aufgaben mit Verantwortlichen und erwarteten Nachweisen
Richtlinien
Dokumente ohne Version und Signatur
Freigabe- und Signaturprozess mit Verlauf
Business Continuity
Doppelte Arbeit mit ISO 22301
Zuordnungen zwischen Frameworks
Häufige Fragen
Was uns zu DORA häufig gefragt wird.
Für wen gilt DORA?
Für rund zwanzig Kategorien von Finanzunternehmen: Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Verwaltungsgesellschaften, Versicherungs- und Rückversicherungsunternehmen, Anbieter von Kryptowerte-Dienstleistungen, Finanzmarktinfrastrukturen und weitere. Auch die IKT-Dienstleister dieser Unternehmen erhalten über die Verträge Anforderungen.
Erstellt Audexa das Informationsregister?
Audexa exportiert aus Ihren Verträgen und Lieferanten ein Excel-Blatt mit den Feldern der EU-Durchführungsvorlagen. Es dient der Vorbereitung und Prüfung der Daten; das technische Übermittlungsformat legt die jeweilige Aufsichtsbehörde fest.
Meldet Audexa Vorfälle an die Aufsichtsbehörde?
Nein. Audexa bewertet Ihren Klassifizierungs- und Meldeprozess und hilft Ihnen, das Verfahren zu dokumentieren und Lücken zu schließen. Die Meldung selbst erfolgt über die Kanäle der zuständigen Aufsichtsbehörde.
Wenn wir DORA erfüllen, müssen wir uns dann noch um NIS2 kümmern?
Für Finanzunternehmen gilt DORA beim IKT-Risikomanagement und bei der Meldung von Vorfällen als spezielle Regelung gegenüber NIS2. Dennoch können Sie in Audexa beide Frameworks bewerten und Nachweise wiederverwenden.
Welchen Plan brauche ich für DORA?
Das DORA-Framework ist in den Plänen Premium und Diamond verfügbar. In der Demo klären wir, was zu Ihrer Zahl an Benutzern, Verträgen und Lieferanten passt.
Wo werden die Daten gehostet?
Audexa wird auf Infrastruktur in der Europäischen Union betrieben, mit rollenbasiertem Zugriff, Zwei-Faktor-Authentifizierung und Nachvollziehbarkeit aller Aktivitäten.
Demo anfragen
Sehen wir uns DORA mit Ihren echten Dienstleistern an.
In 30 Minuten zeigen wir Ihnen das DORA-Audit, die Verwaltung von IKT-Verträgen und den Export des Informationsregisters.
- Wir gehen durch, welche DORA-Kapitel Sie am stärksten betreffen.
- Wir zeigen, wie das Informationsregister entsteht.
- Wir erklären, welcher Plan zu Ihrem Unternehmen passt.