eyeDsec, Ihre DORA-Experten
Die Abteilung eyeDcompliance arbeitet seit Längerem mit DORA und hat maßgeschneiderte Konzepte entwickelt, die u.a. folgende umfassen:
- Richtlinienkonzepte zur Steuerung Ihrer IKT-Risiken
- Aktionspläne zur frühzeitigen Erkennung von Cybervorfällen
- Konzepte zur Überwachung von IKT-Dienstleistern
- Maßnahmenkatalog zur Prüfung Ihrer operativen Resilienz
Wir begleiten Sie bei der Implementierung und Betreuung von DORA und wir stehen Ihnen auch bei internen und externen Audits zur Seite. Wir haben viele DORA-Fragestellungen analysiert und beantwortet und dadurch können wir die regulatorischen Anforderungen gemeinsam effizient und wirtschaftlich umsetzen.
Der Digital Operational Resilience Act (DORA) ist eine europäische Verordnung zur Stärkung der digitalen operationalen Resilienz im Finanzsektor. Die DORA-Verordnung 2022/2554 verpflichtet Finanzunternehmen unter anderem dazu:
ihre IKT-Risiken systematisch zu steuern (Art. 5 – 16)
Cybervorfälle zu erkennen und zu melden (Art. 17 – 23)
IKT-Dienstleister stärker zu überwachen (Art. 24 – 27)
ihre operative Resilienz regelmäßig zu testen (Art. 28 – 44)
Informationsaustausch über Cyberbedrohungen (Art. 45)
Auszüge der Erfahrungen aus den Abschlussprüfungen 2025
Feststellungen
Die Wirtschaftsprüfer gehen wegen DORA von einer Zunahme der Feststellungen aus.
Wirksamkeit
Bisher lag der Schwerpunkt auf der Angemessenheit, zukünftig wird die Wirksamkeit viel stärker geprüft.
ISMS-System
Ein dezidiertes IT-System für das ISMS erleichtert die Beantwortung der Prüferfragen erheblich.
Prüfintervalle
In der DORA sind bestimmte Prüfungsintervalle zeitlich genau vorgegeben. Diese sind dringend zu berücksichtigen.
Erfahrungen aus DORA-Prüfungen
Aufgrund unserer Erfahrung mit DORA-Jahresabschlussprüfungen und DORA-Sonderprüfungen können wir viele Fragen genau beantworten. Vereinbaren Sie ein unverbindliches und kostenloses Erstgespräch.
eyeDsec unterstützt Sie bei der Umsetzung von DORA
Als externer Beauftragter übernehmen wir die IKT-Risikokontrollfunktion nach Art. 6, Abs. 4. So erhalten Sie eine unabhängige, DORA-konforme Kontrollfunktion, ohne selbst Spezialwissen aufbauen zu müssen.
Die Experten von eyeDcompliance unterstützen Sie dabei, Ihr IKT-Risikomanagement gemäß den Anforderungen in Art. 5 bis 16 aufzubauen oder weiterzuentwickeln. Das Ergebnis ist ein Rahmenwerk, das zu Ihrem Unternehmen passt und im Alltag gelebt wird.
Auf Wunsch stellen wir Ihnen einen externen Informationssicherheitsbeauftragten einschließlich der IKT-Risikokontrollfunktion nach Art. 6 Abs. 4 zur Verfügung. So haben Sie eine Ansprechperson, die Ihr Unternehmen sehr gut kennt und Ihnen bei allen Fragen zur Informationssicherheit zur Verfügung steht. Sie können sicher sein, dass alle Anforderungen erfüllt sind.
Wir unterstützen Sie dabei, IKT-Vorfälle gemäß den in Art. 17 bis 23 festgelegten Anforderungen zu erkennen und richtig einzustufen. Bei schwerwiegenden Vorfällen unterstützen wir Sie dabei, diese fristgerecht gemäß DORA-RTS 2025/301 Art. 5 zu melden. So sind Sie für den Ernstfall gerüstet. Der auf Cyber-Risiko-Überwachung spezialisierte Bereich „eyeDwatch” kann die erforderliche Überwachung gemäß DORA-RTS 2024/1774 Art. 23 nahtlos sicherstellen.
Wir stellen Ihnen den Prozess zur Bewertung, Steuerung und Kontrolle Ihrer IKT-Dienstleister gemäß den Anforderungen in Art. 28 bis 44 zur Verfügung. So behalten Sie den Überblick über Ihre Lieferkette und können die damit verbundenen Risiken steuern.
Wir bauen gemeinsam mit Ihnen den Prozess zur Überwachung der IKT-Drittdienstleister gemäß Art. 5 Abs. 4 auf. Alternativ können wir diese Funktion auch direkt übernehmen.
Gemeinsam erstellen wir einen Plan zur Geschäftsfortführung gemäß Art. 11 und konzipieren Maßnahmen, mit denen Ihr Geschäftsbetrieb auch bei schweren IKT-Vorfällen weiterläuft und Ihre Systeme schnell wieder verfügbar sind. Dabei wird gleichzeitig eine Integration in das bestehende Notfallmanagementkonzept (bzw. BCM-Konzept) sichergestellt.
Die Experten von eyeDcompliance können den DORA-Erfüllungsgrad unabhängig von internen Interessensgemengen beurteilen und vor Prüfungen von Aufsichtsbehörden oder Prüfern Maßnahmen vorschlagen. Auf Wunsch begleiten die Experten Sie auch während der gesamten Prüfungsphase.
Wir zeigen Ihnen, wo Sie bei DORA aktuell stehen. Nach einer tiefgehenden Analyse durch die Experten von eyeDcompliance erhalten Sie eine priorisierte Übersicht Ihrer Lücken sowie eine Roadmap, die Ihnen den Weg zur Konformität in konkreten Schritten aufzeigt. Mehr zur DORA-Gap-Analyse.
Wir erstellen und pflegen Ihr Informationsregister über alle vertraglichen Vereinbarungen mit IKT-Drittdienstleistern gemäß Art. 28 Abs. 3 und halten es für die Aufsichtsbehörde bereit.
Wir prüfen Ihre Verträge mit IKT-Dienstleistern auf die in Art. 30 genannten Mindestinhalte und entwickeln Ausstiegsstrategien für kritische Dienste.
Die Experten von eyeDcompliance entwickeln gemeinsam mit Ihnen ein Testprogramm, das den Anforderungen der Artikel 24 bis 27 entspricht. Darüber hinaus können wir Schwachstellenanalysen und Penetrationstests koordinieren und bereiten Sie bei Bedarf auf bedrohungsorientierte Tests (TLPT) vor.
Unsere Experten führen zusammen mit der eyeDacademy Pflichtschulungen gemäß Art. 5 Abs. 4 bzw. Art. 13 Abs. 6 sowie weitere interessante Schulungen durch. Das Ziel dieser Schulungen ist dabei immer dasselbe: Aufklärung, echte Handlungssicherheit und ein stärkeres Sicherheitsbewusstsein.
DORA stellt vielfältige Anforderungen, die sich aus verschiedenen Aspekten zusammensetzen. Unsere Experten stellen Ihnen deshalb gern ein individuelles, maßgeschneidertes Beratungsangebot zusammen.
Unser Vorgehen bei der DORA-Einführung
Bewertung der bestehenden Governance-Strukturen, Sicherheitsmaßnahmen und Risikomanagementprozesse im Hinblick auf die Anforderungen der DORA-Regulierung. Durchführung eines vollständigen Abgleichs der DORA-Anforderungen mit der aktuellen Situation Ihres Unternehmens.
Maßnahmenplanung
Entwicklung einer auf Ihr Unternehmen zugeschnittenen Maßnahmenplanung zur effizienten Erreichung aller regulatorischen und organisatorischen Ziele. Ziel ist eine hocheffiziente Umsetzung der DORA-Anforderungen auf Basis Ihrer bestehenden Strukturen.
Umsetzung der Anforderungen
Unterstützung bei der Einführung und Anpassung von Richtlinien, Prozessen und technischen Maßnahmen zur Umsetzung der regulatorischen Anforderungen.
Erfahrungen aus DORA-Prüfungen
Aufgrund unserer Erfahrung mit DORA-Jahresabschlussprüfungen und DORA-Sonderprüfungen können wir viele Fragen genau beantworten. Vereinbaren Sie ein unverbindliches und kostenloses Erstgespräch.
Unsere Unterstützung bei der laufenden DORA-Betreuung
Übernahme der IKT-Risikokontrollfunktion
Als externe Beauftragte übernehmen wir die IKT-Risikokontrollfunktion. So erhalten Sie eine unabhängige, DORA-konforme Kontrollfunktion, ohne selbst Spezialwissen aufbauen zu müssen. Gleichzeitig haben Sie den Vorteil, dass der externe Beauftragte in den Alltag Ihres Hauses eingebunden ist und Sie die Leistungen nach Bedarf erhöhen oder reduzieren können.
Schulungen für Leitungsorgan und Mitarbeitende
Wir vermitteln Ihrer Geschäftsleitung und Ihren Teams, was DORA konkret für sie bedeutet. So werden aus Pflichtschulungen echte Handlungssicherheit und ein stärkeres Sicherheitsbewusstsein.
Vorbereitung und Begleitung bei Prüfungen
Begleitung bei internen und externen Prüfungen sowie Unterstützung bei regulatorischen Nachweisen gegenüber Aufsichtsbehörden und Wirtschaftsprüfern.
Häufige Fragen zu DORA
Die EU-Verordnung DORA (Digital Operational Resilience Act, Verordnung (EU) 2022/2554) regelt die digitale operationale Resilienz im Finanzsektor. Sie gilt seit dem 17. Januar 2025 unmittelbar in allen EU-Mitgliedstaaten, ohne dass sie erst in nationales Recht umgesetzt werden muss. Allerdings findet DORA nicht für alle Firmen und Institute zur gleichen Zeit Anwendung.
Fast alle regulierten Finanzunternehmen und Institute, z. B. Banken, Versicherer, Zahlungsinstitute, Wertpapierfirmen und Krypto-Dienstleister. Mittelbar betroffen sind auch IKT-Dienstleister dieser Unternehmen, da Finanzunternehmen bestimmte Anforderungen vertraglich an sie weitergeben müssen. Für besonders kritische Anbieter gibt es zudem eine direkte europäische Aufsicht.
Die fünf Säulen von DORA sind
– IKT-Risikomanagement
– Behandlung und Meldung IKT-bezogener Vorfälle
– Testen der digitalen operationalen Resilienz
– Management des IKT-Drittparteienrisikos
– Informationsaustausch über Cyberbedrohungen
Eine eigenständige Funktion, die das IKT-Risikomanagement überwacht und von den operativen IKT-Bereichen getrennt ist. Sie soll Risiken unabhängig bewerten, an die Geschäftsleitung berichten und dokumentieren, damit Aufsicht und Prüfer die Wirksamkeit nachvollziehen können.
DORA schreibt eine unabhängige IKT-Risikokontrollfunktion vor. Die IKT-Risikokontrollfunktion und der Informationssicherheitsbeauftragte sind tatsächlich eigenständige Funktionen mit unterschiedlichen Aufgabenschwerpunkten. Gleichzeitig gibt es Schnittmengen, die eine kombinierte Wahrnehmung ermöglichen. In ihren Umsetzungshinweisen greift die BaFin diese Wahrnehmung ausdrücklich auf und stellt fest, dass die IKT-Risikokontrollfunktion dem Informationssicherheitsbeauftragten in ihrer Stellung und Unabhängigkeit grundsätzlich ähnelt, aber nicht identisch ist.
Die Letztverantwortung liegt bei der Geschäftsleitung, die den IKT-Risikomanagementrahmen festlegen, genehmigen und beaufsichtigen muss. Eine reine Delegation an die IT genügt nicht.
Neben der Gesamtverantwortung muss sich die Geschäftsleitung auch kontinuierlich und mindestens jährlich fortbilden.
Es gibt drei Meldefristen:
-
- Erstmeldung: innerhalb von 4 Stunden nach der Einstufung als schwerwiegend, spätestens 24 Stunden nach Kenntnisnahme
- Zwischenbericht: innerhalb von 72 Stunden nach der Erstmeldung
- Abschlussbericht: spätestens einen Monat nach dem Zwischenbericht
Kritische oder wichtige IKT-Systeme müssen mindestens einmal jährlich getestet werden. Von der Aufsicht ausgewählte Unternehmen müssen zusätzlich mindestens alle drei Jahre einen bedrohungsorientierten Penetrationstest (TLPT) durchführen.
Finanzunternehmen müssen ein Informationsregister über alle vertraglichen Vereinbarungen mit IKT-Drittdienstleistern führen, Verträge um verpflichtende Mindestinhalte (Art. 30) ergänzen und Ausstiegsstrategien für kritische Dienste vorhalten.
Typischerweise mit einer DORA-Gap-Analyse gegen die DORA-Anforderungen, gefolgt von Priorisierung, Aufbau bzw. Schärfung der Kontrollfunktion, Dokumentation und einem Testplan.
