DORA · Register & Vorfälle
Das Informationsregister (RoI) abgabefertig, die Meldekaskade fristensicher: 4 h / 72 h / 30 Tage – aus einer Datenbasis, mit signiertem Meldebericht.
Register und Meldekaskade hängen zusammen – bei der Aufsicht wie im Alltag.
„Bei mir ist es DORA, nicht NIS2 – das verwechseln die meisten Anbieter sofort." So beschreiben ICT-Risk-Verantwortliche in Banken ihre Erfahrung mit Compliance-Tools, die nicht für den Finanzsektor gebaut sind. DORA verlangt in Art. 28/29 ein vollständiges Register aller IKT-Drittdienstleistungsverträge — inklusive Kritikalitätseinstufung, LEI-Identifikation und Konzentrationsrisiko-Bewertung — das der Aufsicht im EBA-ITS-2024/2956-Format vorgelegt werden kann. Und Art. 19 verlangt, dass ein schwerwiegender IKT-bezogener Vorfall innerhalb von 4 Stunden nach Erkennung klassifiziert wird, gefolgt von einer Zwischenmeldung und einem Abschlussbericht an FMA oder BaFin.
Beides läuft in der Praxis über dieselbe Vendor-Datenbasis: Ein Vorfall bei einem kritischen IKT-Drittdienstleister berührt automatisch dessen Konzentrationsrisiko-Bewertung im RoI, und ein Register ohne saubere Kritikalitätseinstufung macht auch die Vorfallklassifizierung schwerer nachvollziehbar. Zwei getrennte Werkzeuge – ein Excel-Register hier, improvisierte Word-Dokumente unter Zeitdruck dort – reißen genau diesen Zusammenhang auseinander.
Was zählt, ist eine Lösung, die beides aus derselben Datenbasis bedient: das Register jederzeit abgabefertig, die Meldekaskade mit sichtbarem Countdown je Stufe, Threat-Led Penetration Testing (Art. 26/27) mit dokumentierter Planung – und jeder Stand kryptografisch versiegelt, unabhängig prüfbar.
Sechs Bausteine für ein abgabefertiges RoI und fristensichere Meldungen.
Vendor-Register mit Kritikalität & LEI
Jeder IKT-Drittdienstleister wird mit Kritikalitätseinstufung, LEI und Vertragsdaten strukturiert erfasst — statt in verstreuten Tabellen und Verträgen zu leben.
Konzentrationsrisiko-Flag
Cluster nach Service-Typ und Land, Single-Point-of-Failure über kritische Anbieter hinweg: Die Konzentrationsanalyse nach Art. 29 wird deterministisch aus dem Register berechnet und versiegelt — Resilienz-Antwort statt Excel-Anhang.
RoI versioniert & exportfertig (CSV T01/T02/T04 + XBRL)
Jede Fassung des Registers wird versiegelt und ist im Nachhinein nicht unbemerkt änderbar; die Abgabe erfolgt direkt im von der Aufsicht erwarteten Format — kein manuelles Nachbauen der ESMA-ITS-Tabellenstruktur kurz vor dem Stichtag.
Vorfallregister mit Meldefristen-Uhr 4 h / 72 h / 30 Tage
Jeder Vorfall durchläuft Erstmeldung, Zwischenmeldung und Abschlussbericht als geführten Prozess; ab Erkennung läuft der Countdown je Stufe sichtbar mit — statt aus dem Gedächtnis rekonstruiert zu werden.
Meldebericht als signiertes PDF
Der Meldebericht an die Aufsicht wird als signiertes PDF mit Vorab-Prüfung erzeugt — damit nichts unvollständig oder im falschen Format abgeschickt wird.
TLPT-Planung & -Nachverfolgung
Threat-Led-Penetration-Testing-Zyklen nach Art. 26/27 werden geplant und mit Status nachverfolgt — als eigenständiger, jederzeit vorzeigbarer Nachweis statt einer separaten Projektakte.
Mehr zu DORA und zur Engine dahinter.
Fristen, IKT-Risikomanagement, Meldepflichten und Primärquellen im Detail.
Regulierung im Detail →Wie das Vendor-Register, Security Ratings und die Risikobewertung zusammenspielen.
Funktion im Detail →Wie das dreistufige Melde-Protokoll und der Klassifizierungs-Countdown in workspace.reportact.com zusammenspielen.
Funktion im Detail →