Software · DORA
Eine DORA-Software soll belegen, dass Ihr Institut die Verordnung über die digitale operationale Resilienz erfüllt: IKT-Risikomanagement mit Verantwortung des Leitungsorgans, Behandlung und Meldung von Vorfällen, Resilienztests und Steuerung der IKT-Drittparteien samt Informationsregister. Diese Seite zeigt, was eine Software dafür leisten muss, worauf Sie bei der Auswahl achten sollten und wie Sightadel das umsetzt.
Ausgangslage
DORA gilt seit Januar 2025 für Finanzunternehmen in der ganzen EU. Die Verordnung ruht auf fünf Säulen: IKT-Risikomanagement, Behandlung und Meldung IKT-bezogener Vorfälle, Testen der digitalen operationalen Resilienz, Steuerung des IKT-Drittparteienrisikos und freiwilliger Austausch von Bedrohungsinformationen. Technische Standards der europäischen Aufsichtsbehörden regeln die Einzelheiten, in Deutschland führt die BaFin die Aufsicht. Ein DORA-Zertifikat gibt es nicht.
Für eine Software sind vor allem vier Anforderungen prägend. Das Leitungsorgan genehmigt den IKT-Risikomanagementrahmen und trägt die Verantwortung (Art. 5–6). Vorfälle werden nach einheitlichen Kriterien klassifiziert, schwerwiegende gemeldet, die Erstmeldung spätestens 24 Stunden nach Kenntnisnahme (Art. 17–19). Ein risikobasiertes Testprogramm gilt für alle, bestimmte Unternehmen führen zusätzlich mindestens alle drei Jahre bedrohungsorientierte Penetrationstests durch (Art. 24–27). Und das Informationsregister erfasst alle Verträge mit IKT-Dienstleistern (Art. 28).
Das Register ist meist der aufwendigste Teil, weil die Angaben in keinem Vertragsordner vollständig stehen. Eine DORA-Software sollte es aus der laufenden Pflege der Dienstleister entstehen lassen, nicht aus einer Sammelaktion vor dem Stichtag. Entscheidungen wie Risikoappetit, Einstufung kritischer oder wichtiger Funktionen und Ausstiegsstrategien bleiben beim Leitungsorgan.
Warum jetzt
Die BaFin fordert das Informationsregister einmal jährlich zu einem Stichtag an. Wer es erst kurz vorher aktualisiert, sucht jedes Jahr von vorn.
Gefragt wird nach dem Rahmen, seiner jährlichen Überprüfung, nach Testergebnissen und der Abarbeitung von Befunden. Belege mit Datum zählen, keine Absichtserklärungen.
Vor Vertragsschluss sind Risikobewertung und Prüfung der Vertragsinhalte nach Art. 30 nötig. Danach muss der Dienstleister ins Register.
Die erste Welle lief als Projekt mit Tabellen und Laufwerksordnern. Für den laufenden Betrieb reicht das selten.
Relevante Frameworks
In eigenen Worten zusammengefasst, keine Rechtsberatung. Maßgeblich ist der Originaltext in der geltenden Fassung.
Für Finanzunternehmen in der EU. In Sightadel 50 Anforderungen mit Artikelbezug und erwartetem Nachweis. Um bestehende Lücken zu schließen, vergehen typischerweise sechs bis zwölf Monate. Für bestimmte kleinere Unternehmen gibt es einen vereinfachten Rahmen.
Zum Framework →IKT-Risikomanagement, Zugriffssteuerung, Backup und Vorfallbehandlung bauen auf denselben Grundlagen auf. Das Informationsregister hat in ISO 27001 keine Entsprechung.
Zum Framework →Für Finanzunternehmen geht DORA vor. Viele Maßnahmen decken sich, die Meldefristen unterscheiden sich im Startpunkt: DORA knüpft an die Einstufung, NIS2 an die Kenntnisnahme.
Zum Framework →Ein C5-Testat eines Cloud-Anbieters ist ein wertvoller Nachweis bei der Bewertung dieses Dienstleisters. Es ersetzt nicht die eigene Risikobewertung.
Zum Framework →Technische Maßnahmen und Auftragsverarbeitungsverträge greifen auf dieselben Dienstleisterdaten zurück. Ein Vorfall kann mehrere Meldepflichten auslösen.
Zum Framework →Empfohlene Reihenfolge
Klären, welche Pflichten gelten, ob der vereinfachte Rahmen in Frage kommt und welche Funktionen kritisch oder wichtig sind.
Die 50 Anforderungen geführt durchgehen, vorhandene Nachweise aus ISMS, Notfallmanagement und Einkauf zuordnen.
Dienstleister, Verträge, unterstützte Funktionen und Unterauftragnehmer erfassen. Bestehende Listen kommen per Excel-Import.
Klassifizierungskriterien, Zuständigkeiten und Meldewege festlegen und einmal durchspielen.
Aktionspläne mit Verantwortlichen und Fristen. Vertragsanpassungen dauern oft am längsten, weil die Gegenseite mitspielen muss.
Testprogramm durchführen, Rahmen jährlich überprüfen, Register aktuell halten. Danach kehren diese Schritte als Zyklus wieder.
Auswahl
Viele Werkzeuge decken einzelne Säulen ab, etwa nur das Register oder nur das Vorfallmanagement. Prüfen Sie, ob die Software alle Pflichten zusammenhält und zu Ihrer Größe passt.
Jede Anforderung sollte auf den Artikel der Verordnung verweisen und den erwarteten Nachweis nennen. So lassen sich Fragen der Revision direkt zuordnen.
Dienstleister, Verträge, unterstützte Funktionen und Kritikalität sollten an einer Stelle gepflegt werden. Das Register darf kein separates Stichtagsprojekt sein.
Wer auch unter NIS2 oder DSGVO meldet, braucht saubere Trennung der Startpunkte. DORA knüpft an die Einstufung als schwerwiegend, NIS2 an die Kenntnisnahme.
Tests sollten als wiederkehrende Termine geplant und Befunde mit Frist und Verantwortlichem verfolgt werden. Den bedrohungsorientierten Test selbst führen spezialisierte Tester durch.
Genehmigung des Rahmens, Beschlüsse und Schulungen der Leitung sollten mit Datum abgelegt sein. Sie stehen bei jeder Prüfung am Anfang.
Ein kleines Institut braucht dieselbe Pflicht, aber nicht denselben Apparat wie eine Großbank. Achten Sie darauf, dass die Software ohne lange Einführung nutzbar ist.
So hilft Sightadel
50 Anforderungen mit Artikelbezug und erwartetem Nachweis, jeweils als Frage mit Erklärung. Nachweise aus ISO 27001 lassen sich direkt mitverwenden.
Mehr erfahren →Dienstleister mit unterstützten Funktionen, Kritikalität, Verträgen und Nachweisen samt Gültigkeitsdatum. Neubewertungen kommen als Erinnerung. So wächst das Informationsregister aus der laufenden Pflege.
Mehr erfahren →Testprotokolle, Wiederherstellungstests und Beschlüsse mit Version und Gültigkeitsdatum. Läuft ein Nachweis ab, erscheint er als Aufgabe, bevor die Revision ihn findet.
Mehr erfahren →Befunde aus Tests, Prüfungen und fehlenden Vertragsklauseln werden zu Maßnahmen mit Verantwortlichem und Frist. Das Aktivitätsprotokoll zeigt, wer was wann erledigt hat.
Mehr erfahren →Regelmäßiger Abgleich mit Systemen wie SAP, Microsoft Dynamics, Microsoft Azure oder Jira. Assets, Nachweise und Aufgaben kommen aus den Systemen, in denen sie ohnehin gepflegt werden.
Mehr erfahren →Aufwand und Dauer
Die Spannen sind Erfahrungswerte, keine Zusage. Das Informationsregister und die Vertragsanpassungen bestimmen meist das Tempo, nicht die Software.
Was Sie lizenzieren · typisch Professional
Ein typisches Institut führt DORA zusammen mit ISO 27001 als Grundlage in der Edition Professional. Mit vielen IKT-Dienstleistern oder mehreren Gesellschaften ist Enterprise die passende Wahl. Ist ISO 27001 dabei, kostet DORA dauerhaft weniger.
Lizenz je Framework, Mindestlaufzeit ein Jahr, monatlich oder jährlich zahlbar. Alle Preise, Rabatte und einen Rechner finden Sie auf der Preisseite. Kosten einer Zertifizierungs- oder Prüfstelle kommen getrennt hinzu.
Die Verordnung schreibt keine Software vor. Sie verlangt einen dokumentierten Rahmen, ein vollständiges Informationsregister, nachvollziehbare Vorfallbehandlung und ein Testprogramm. Mit wenigen Dienstleistern geht das mit Tabellen. Mit vielen Verträgen, mehreren Beteiligten und jährlicher Einreichung lohnt sich ein System.
Für die erste Einreichung haben viele Institute Tabellen genutzt. Jede Vertragsänderung, jeder neue Dienstleister und jeder Test muss dann von Hand nachgetragen werden. Bestehende Listen lassen sich in Sightadel importieren.
Sightadel wird je Framework und Edition lizenziert, jährlich. Die aktuellen Beträge stehen auf der Preisseite. Ist ISO 27001 bereits lizenziert, kostet DORA dauerhaft weniger. Sie können 14 Tage kostenlos testen, ohne Zahlungsdaten.
Nein. Sightadel führt durch die Anforderungen und hält den Stand fest. Berater wählen Sie aus dem Partnernetzwerk in der App oder bringen Ihren eigenen mit. Prüfungen durch Revision, Abschlussprüfer und Aufsicht bleiben unberührt. Sightadel zertifiziert nicht und erhält keine Provision.
Es genehmigt den IKT-Risikomanagementrahmen, legt den Risikoappetit fest, beschließt die Einstufung kritischer oder wichtiger Funktionen und stellt Ressourcen bereit. Sightadel liefert Entwürfe und hält die Beschlüsse mit Datum fest. Die Entscheidungen trifft es selbst.
Nein. Den TLPT führen spezialisierte Tester durch. Sightadel hält Planung, Ergebnis und die Abarbeitung der Befunde fest. Mehr zu den Anforderungen auf der Seite zu DORA.
Sightadel wird in Deutschland entwickelt und betrieben.
14 Tage, voller Zugriff, keine Zahlungsdaten. Was Sie anlegen, bleibt im bezahlten Plan erhalten.
