Beratung
DORA Beratung: Anforderungen prüffähig umsetzen
Seit 17. Jänner 2025 gilt DORA, und die Aufsicht erwartet Nachweise, dass Ihr IKT-Risikomanagement, Ihr Vorfallsmanagement und die Steuerung Ihrer IKT-Drittdienstleister funktionieren. Wir setzen das mit Ihnen prüffähig um.
Kostenlos und unverbindlich. Ihr Angebot erhalten Sie innerhalb von 48 Stunden.
Unsere DORA Module
Wir setzen folgende Module zur Erfüllung der DORA-Anforderungen für Sie um:
- DORA Readiness Assessment: Ist-Stand gegen die DORA-Anforderungen
- IKT-Risikomanagement und Governance auf Basis eines ISMS
- Behandlung und Meldung schwerwiegender IKT-Vorfälle
- Management von IKT-Drittdienstleistern
- Business Continuity Management und Notfallplanung
- Tests der digitalen operationalen Resilienz, inklusive Penetrationstests
Ihr Ergebnis der DORA Umsetzung
Sie können der Aufsicht zeigen, dass Ihre Prozesse funktionieren:
- Klarer Ist-Stand und detaillierter DORA Action Plan
- Dokumentierte Prozesse, die einer aufsichtlichen Prüfung standhalten
- Kontrolle über die Risiken aus Ihren IKT-Dienstleistern
- Dauerhafte Compliance statt einmaliger Projektarbeit
So läuft Ihr DORA Projekt ab
Am Anfang steht das DORA Readiness Assessment:
- Erstgespräch: Institutstyp, Ausgangslage, Prüftermine.
- Ihr Angebot mit Umfang und Vorgehen
- Readiness Assessment mit Risikobewertung und Action Plan.
- Umsetzung der priorisierten Maßnahmen.
- Wirksamkeitsprüfung durch interne Audits und Tests.
Warum Securitects
- Den Finanzsektor von innen kennen: Ihr Senior-Berater bringt 8 Jahre ISMS-Erfahrung im Bankwesen mit
- DORA-Lücken gezielt schließen: Ihr ISMS bleibt die Basis, wir ergänzen Drittdienstleister-Management, Vorfallsmeldung und Resilienztests
- Für Finanzunternehmen und ihre IKT-Dienstleister: auch wenn Ihre Kunden DORA-Anforderungen an Sie weitergeben
- Prüffest dokumentiert: Prozesse, die einer aufsichtlichen Prüfung standhalten, mit dem Blick eines CISA und ISO-27001-Auditors
Mehr über unser Team und seine Qualifikationen
Häufige Fragen zur DORA Beratung
Meist geht es um das Management von IKT-Drittdienstleistern, die Klassifizierung und Meldung von Vorfällen und die Resilienztests. Das Readiness Assessment zeigt die konkreten Lücken.
Ja. Wenn Ihre Kunden DORA-Anforderungen an Sie weitergeben, helfen wir Ihnen, diese nachweisbar zu erfüllen. Fehlt Ihnen dafür intern ein Sicherheitsverantwortlicher, übernimmt unser CISO as a Service diese Rolle.
Wir gleichen Ihren Ist-Stand mit den DORA-Anforderungen ab: IKT-Risikomanagement, Vorfallsmanagement, Resilienztests und Management der IKT-Drittdienstleister. Sie erhalten eine Risikobewertung und einen detaillierten Action Plan für die Umsetzung. Mehr dazu beim DORA Readiness Assessment.
DORA gilt nach Artikel 2 für nahezu alle beaufsichtigten Finanzunternehmen, darunter Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Anbieter von Krypto-Dienstleistungen, Versicherungen, Rückversicherungen und Einrichtungen der betrieblichen Altersversorgung. Kritische IKT-Drittdienstleister unterliegen zusätzlich einer direkten Überwachung auf europäischer Ebene. Die Anforderungen gelten nach dem Grundsatz der Verhältnismäßigkeit, für bestimmte kleinere Institute sieht Artikel 16 einen vereinfachten Rahmen für das IKT-Risikomanagement vor.
Schwerwiegende IKT-bezogene Vorfälle melden Sie nach Artikel 19 DORA und den zugehörigen technischen Standards in drei Stufen an Ihre Aufsicht: Die Erstmeldung ist innerhalb von 4 Stunden nach der Einstufung als schwerwiegend fällig, spätestens aber 24 Stunden nach Kenntnis. Es folgen eine Zwischenmeldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats. Dafür brauchen Sie klare Klassifizierungskriterien nach Artikel 18 und eingeübte Abläufe. Beides bauen wir mit Ihnen auf.
Alle Finanzunternehmen brauchen ein Testprogramm nach Artikel 24 und 25, etwa mit Schwachstellenscans, Netzwerksicherheitsbewertungen, szenariobasierten Tests und Penetrationstests. IKT-Systeme, die kritische oder wichtige Funktionen unterstützen, sind mindestens jährlich zu testen. Bedrohungsorientierte Penetrationstests (TLPT) nach Artikel 26 sind mindestens alle drei Jahre Pflicht, allerdings nur für Unternehmen, die die Aufsicht dafür bestimmt. Wir planen Ihr Testprogramm und führen Penetrationstests durch. TLPT bieten wir nicht als eigenes Projekt an, können aber als Dienstleister in einem TLPT beigezogen werden.
Artikel 30 DORA legt Mindestinhalte fest, unter anderem eine klare Leistungsbeschreibung, die Orte der Datenverarbeitung, Regeln zu Verfügbarkeit, Vertraulichkeit und Datenrückgabe, Kündigungsrechte und die Unterstützung bei IKT-Vorfällen. Für Leistungen, die kritische oder wichtige Funktionen unterstützen, kommen Zugangs- und Prüfrechte sowie Ausstiegsstrategien hinzu. Alle Vertragsbeziehungen erfassen Sie im Informationsregister nach Artikel 28. Wir prüfen Verträge und Register auf Lücken, die rechtliche Formulierung übernimmt Ihre Rechtsabteilung oder Kanzlei.
Der Aufwand hängt von Ihrem Institutstyp, der Zahl kritischer oder wichtiger Funktionen, der Anzahl Ihrer IKT-Drittdienstleister und dem Reifegrad Ihres bestehenden ISMS ab. Auch anstehende Prüftermine der Aufsicht beeinflussen die Planung. Sie können mit dem Readiness Assessment starten und weitere Module gezielt beauftragen, statt ein großes Gesamtprojekt zu vergeben.
Starten Sie Ihre DORA Beratung
Im kostenlosen Erstgespräch klären wir, wo Sie stehen.