Services / DORA

DORA · Register & Vorfälle

Informationsregister (RoI) abgabefertig, Meldekaskade fristensicher: 4 h / 72 h / 30 Tage, aus einer Datenbasis, mit signiertem Meldebericht.

Jetzt kostenlos starten Demo buchen

Die Anforderung

Was das Regelwerk verlangt

Adressiert sind Banken, Versicherungen, Zahlungsdienstleister, Krypto-Dienstleister und ihre kritischen IKT-Drittanbieter. Die Verordnung (EU) 2022/2554 gilt seit dem 17.01.2025 unmittelbar.

IKT-Risikomanagement

Rahmen für Identifikation, Schutz, Erkennung, Reaktion und Wiederherstellung, mit Verantwortung des Leitungsorgans.

VO (EU) 2022/2554 · IKT-Risikomanagementrahmen

Drittanbieter-Register (RoI)

Ein laufend aktuelles Register aller IKT-Drittdienstleister inklusive Konzentrationsrisiko-Bewertung — der Aufsicht auf Anfrage bzw. nach ITS-Vorgaben bereitzustellen.

Art. 28 DORA · EBA-ITS 2024/2956

Meldekaskade schwerer Vorfälle

Erstmeldung binnen 4 Stunden nach Klassifizierung, Zwischenbericht binnen 72 Stunden, Abschlussbericht binnen einem Monat.

Art. 19 DORA · Del. VO (EU) 2025/301

Resilienz-Testing (TLPT)

Regelmäßige Resilienztests, für bedeutende Institute inklusive bedrohungsorientierter Penetrationstests.

Art. 26, 27 DORA

Unsere Lösung

Register und Meldekaskade hängen zusammen – bei der Aufsicht wie im Alltag.

DORA verlangt in Art. 28/29 ein Register aller IKT-Drittdienstleistungsverträge mit Kritikalitätseinstufung, LEI-Identifikation und Konzentrationsrisiko-Bewertung, vorlegbar im Format des EBA-ITS 2024/2956. Art. 19 verlangt, dass ein schwerwiegender IKT-bezogener Vorfall binnen vier Stunden nach Erkennung klassifiziert wird, gefolgt von einer Zwischenmeldung und einem Abschlussbericht an FMA oder BaFin.

Beides läuft über dieselbe Vendor-Datenbasis: Ein Vorfall bei einem kritischen IKT-Drittdienstleister berührt dessen Konzentrationsrisiko-Bewertung im RoI, und ohne saubere Kritikalitätseinstufung ist auch die Vorfallklassifizierung schwerer nachvollziehbar. Zwei getrennte Werkzeuge, Excel-Register hier und Word-Dokumente dort, reißen diesen Zusammenhang auseinander.

Das Service bedient beides aus derselben Datenbasis: Register jederzeit abgabefertig, Meldekaskade mit sichtbarem Countdown je Stufe, Threat-Led Penetration Testing (Art. 26/27) mit dokumentierter Planung. Jeder Stand ist kryptografisch versiegelt und unabhängig prüfbar.

Was Sie bekommen

Die Bausteine für ein abgabefertiges RoI und fristensichere Meldungen.

31 Pflichten aus DORA, im Framework-Pack hinterlegt

4 h bis zur Erstmeldung eines schwerwiegenden Vorfalls

47 Vertragsklauseln nach Art. 30, KI-geprüft

Kern dieses Service

Lieferantenregister mit Kritikalität & LEI

Jeder IKT-Drittdienstleister wird mit Kritikalitätseinstufung, LEI und Vertragsdaten strukturiert erfasst.

Drittanbieter- & Konzentrationsrisiko

Cluster nach Service-Typ und Land, Single-Point-of-Failure über kritische Anbieter hinweg: Die Konzentrationsanalyse nach Art. 29 wird deterministisch aus dem Register berechnet und versiegelt.

RoI versioniert & exportfertig (CSV T01/T02/T04 + XBRL)

Jede Fassung des Registers wird versiegelt und ist im Nachhinein nicht unbemerkt änderbar; die Abgabe erfolgt direkt im erwarteten Format der ESMA-ITS-Tabellenstruktur.

Vorfallregister mit Meldefristen-Uhr 4 h / 72 h / 1 Monat

Jeder Vorfall durchläuft Erstmeldung, Zwischenmeldung und Abschlussbericht als geführten Prozess; ab Erkennung läuft der Countdown je Stufe sichtbar mit.

Meldebericht als signiertes PDF

Der Meldebericht an die Aufsicht wird als signiertes PDF mit Vorab-Prüfung erzeugt, damit nichts unvollständig oder im falschen Format abgeschickt wird.

TLPT-Planung & -Nachverfolgung

Threat-Led-Penetration-Testing-Zyklen nach Art. 26/27 werden geplant und mit Status nachverfolgt, als jederzeit vorzeigbarer Nachweis.

Versiegelte Nachweiskette

Jeder Nachweis wird mit SHA-256 gehasht, mit dem RSA-Schlüssel Ihrer Organisation signiert und mit einem RFC-3161-Zeitstempel einer unabhängigen Stelle versehen. Die Einträge hängen aneinander: Wird einer verändert, bricht die Kette sichtbar; ein beigelegter Offline-Verifier prüft das ohne Zugriff auf ReportAct.

Außerdem in diesem Service enthalten