Webinar
Informationssicherheit nach ISO 27001 und BSI pragmatisch umsetzen
Das ISMS-Modell, auf dem die DORA-Erweiterung aufsetzt.
Termine ansehenDie Anforderungen sind bekannt. In der Prüfung kommt es darauf an, ob Sie deren Umsetzung belegen können. CRISAM® führt IKT-Risiken, Kontrollziele, Vorfälle und Dienstleisterverträge in einem gemeinsamen Modell zusammen, von der Bewertung über Nachweis und Meldung bis zum Export.
Stand: 22. September 2026
| Abweichung | Bezug | Einstufung | Status |
|---|---|---|---|
| Informationsregister unvollständig | Art. 28 | offen | |
| Ausstiegsstrategie je kritischer Dienstleistung | Art. 28 | in Arbeit | |
| Testplan für kritische Systeme | Art. 24 | in Arbeit | |
| Klassifizierungskriterien Vorfälle | Art. 18 | erledigt |
DORA ist die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor. Sie verpflichtet Finanzunternehmen und ihre IKT-Dienstleister, IKT-Risiken zu steuern, schwerwiegende Vorfälle zu melden, die Resilienz regelmäßig zu testen und alle Verträge über IKT-Dienstleistungen in einem Informationsregister zu führen. Die Verordnung gilt unmittelbar in allen EU-Mitgliedstaaten und ist seit 17. Januar 2025 anzuwenden.
Konkretisiert wird sie durch technische Regulierungs- und Durchführungsstandards, kurz RTS und ITS. Diese regeln Klassifizierung, Meldeformate und das Informationsregister im Detail.
DORA ist kein einmaliges Projekt. Der Aufwand fällt laufend an, Quartal für Quartal.
KAIT, VAIT und ZAIT treten außer Kraft.
DORA ist unmittelbar anzuwenden, ohne nationale Umsetzung.
Schwerwiegende Vorfälle sind zu melden. In Stunden, nicht in Wochen.
Das Informationsregister geht an die zuständige Aufsicht.
Die BAIT werden vollständig aufgehoben.
Für weitere Aufsichtsobjekte gilt das IKT-Risikomanagement nach Artikel 16.
Der Anwendungsbereich endet nicht an Ihrer Unternehmensgrenze, sondern reicht bis zu den IKT-Dienstleistern und deren Unterauftragnehmern.
Ihre Verträge gehören in das Informationsregister Ihrer Kunden, bei kritischen oder wichtigen Funktionen samt der Unterauftragnehmer, die die Leistung erbringen. Wen die Europäischen Aufsichtsbehörden als kritischen IKT-Drittdienstleister einstufen, unterliegt zusätzlich einem eigenen Überwachungsrahmen.
Artikel 16 sieht statt der vollen Artikel 5 bis 15 einen vereinfachten IKT-Risikomanagementrahmen vor: für kleine und nicht verflochtene Wertpapierfirmen, ausgenommene Zahlungsinstitute nach Richtlinie (EU) 2015/2366, ausgenommene Institute nach Richtlinie 2013/36/EU, ausgenommene E-Geld-Institute nach Richtlinie 2009/110/EG und kleine Einrichtungen der betrieblichen Altersversorgung.
Vier davon verlangen laufende Nachweise, nicht einmalige Dokumente.
| Anforderungsbereich | Artikel | Geforderte Nachweise | So bilden Sie es in CRISAM® ab |
|---|---|---|---|
| IKT-Risikomanagement | Art. 5 bis 16 | IKT-Risikomanagementrahmen, Verantwortung des Leitungsorgans, Strategie für digitale operationale Resilienz, Verzeichnis der IKT-Assets, Klassifizierung kritischer oder wichtiger Funktionen | Das DORA Knowledge Pack bringt über 55 Bausteine und mehr als 700 Kontrollziele mit, gegliedert nach Unternehmensgröße und für IKT-Dienstleister. Kritische oder wichtige Funktionen werden klassifiziert, die abgeleiteten IKT-Dienstleistungen dokumentiert. |
| Behandlung, Klassifizierung und Meldung IKT-bezogener Vorfälle | Art. 17 bis 23 | Prozess für die Behandlung von Vorfällen, Klassifizierung nach den Kriterien der Delegierten Verordnung (EU) 2024/1772, Erst-, Zwischen- und Abschlussmeldung an die zuständige Behörde | Vorfälle werden revisionssicher erfasst und lassen sich direkt für die regulatorische Meldepflicht exportieren. Die Historie bleibt direkt am Vorfall dokumentiert. |
| Testen der digitalen operationalen Resilienz | Art. 24 bis 27 | Testprogramm, mindestens jährliche Tests aller IKT-Systeme und Anwendungen, die kritische oder wichtige Funktionen unterstützen, bedrohungsgeleitete Penetrationstests alle drei Jahre für bedeutende Finanzunternehmen | Befunde und Abweichungen werden als Maßnahmen geführt und nachverfolgt, im selben Modell wie die Kontrollziele. Die DORA-Erweiterung ist mit dem Audit-Modul verbunden. |
| Management des IKT-Drittparteienrisikos | Art. 28 bis 44 | Informationsregister über alle vertraglichen Vereinbarungen zu IKT-Dienstleistungen, bei kritischen oder wichtigen Funktionen samt der Unterauftragnehmer, jährliche Übermittlung an die Aufsicht, vertragliche Mindestinhalte, Ausstiegsstrategien | Das Informationsregister lässt sich auf Basis des bestehenden ISMS-Modells und mit Inhalten aus dem BCMS-Modul aufbauen, pflegen und exportieren. Ergänzend stehen Reports für Audits und Nachweispflichten bereit. |
| Vereinbarungen über den Informationsaustausch | Art. 45 | Freiwillig: Vereinbarungen über den Austausch von Informationen und Erkenntnissen zu Cyberbedrohungen innerhalb vertrauenswürdiger Gemeinschaften von Finanzunternehmen | Wenn Sie teilnehmen, hinterlegen Sie die Vereinbarung als Nachweis beim zugehörigen Kontrollziel. |
Von der Einordnung bis zum Informationsregister für die Aufsicht.
Der Assistent führt Sie durch die Einordnung und dokumentiert die Begründung. Sie bleibt im System gespeichert und steht im Audit zur Verfügung.
Artikel 16 gilt unter anderem für kleine und nicht verflochtene Wertpapierfirmen, ausgenommene Zahlungs- und E-Geld-Institute und kleine Einrichtungen der betrieblichen Altersversorgung.
Kritische oder wichtige FunktionEine Funktion, deren Ausfall die Finanzleistung, die Solidität oder die Einhaltung der Zulassungsbedingungen erheblich beeinträchtigen würde.
NachweisDie Begründung bleibt am Objekt und lässt sich im Audit jederzeit aufrufen.
Der Anforderungskatalog teilt die Artikel in Bausteine auf und berechnet den Erfüllungsgrad. So sehen Sie, wo Lücken bestehen: bei welchem Kontrollziel, in welchem Artikel und wie gravierend.
| Kontrollziel | Bezug | Ist | Soll | Schwere |
|---|---|---|---|---|
| Ausstiegsstrategie je kritischer IKT-Dienstleistung | Art. 28 | 1 | 4 | |
| Testplan für kritische Systeme | Art. 24 | 2 | 4 | |
| Unterauftragnehmer im Register | Art. 28 | 2 | 4 | |
| Klassifizierungskriterien Vorfälle | Art. 18 | 3 | 4 | |
| Verzeichnis der IKT-Assets | Art. 8 | 3 | 4 |
Informationen lassen sich gezielt und dezentral bei den Fachverantwortlichen einholen. Das reduziert den Aufwand bei Baseline-Audits, Reviews und Lieferantenbefragungen erheblich.
Vorfälle werden revisionssicher erfasst und für die Meldung exportiert. Die Fristen sind hinterlegt: vier Stunden ab der Klassifizierung, spätestens 24 Stunden ab Entdeckung, danach 72 Stunden und ein Monat.
| Meldung | Frist | Status |
|---|---|---|
| Erstmeldung | 4 Stunden ab Klassifizierung, spätestens 24 Stunden ab Kenntnis | |
| Zwischenmeldung | 72 Stunden nach der Erstmeldung | |
| Abschlussmeldung | spätestens einen Monat nach der letzten Zwischenmeldung |
Aus Befunden werden Maßnahmen mit Verantwortlichem und Termin, geführt im selben Modell wie die Kontrollziele. Der Bericht zeigt, was geplant, durchgeführt und noch offen ist.
| System oder Anwendung | Testart | Durchgeführt | Befunde | Status |
|---|---|---|---|---|
| Kernbanksystem | Szenariobasiert | 12.03.2026 | 3 | |
| Zahlungsverkehrsplattform | Penetrationstest | 28.04.2026 | 5 | |
| Online-Banking | Schwachstellenscan | 02.07.2026 | 2 | |
| Kartenautorisierung | Wiederherstellung | 19.08.2026 | 1 | |
| Kundenportal | Schwachstellenscan | 05.09.2026 | 4 | |
| Meldewesen | Szenariobasiert | geplant 11/2026 | 0 |
Das Informationsregister bauen Sie aus dem bestehenden ISMS-Modell und den Inhalten des BCMS-Moduls auf, pflegen es dort und exportieren es. Ergänzend stehen Reports für Audits und Nachweispflichten bereit.
| IKT-Dienstleister | Dienstleistung | Funktion | Unterauftragnehmer | Land | Status |
|---|---|---|---|---|---|
| Nord IT Services | Rechenzentrumsbetrieb | kritisch | 2 | DE | |
| Pay Core | Kartenautorisierung | kritisch | 3 | AT | |
| Cloud Alpine | Cloud-Infrastruktur | wichtig | 4 | IE | |
| Secure Mail Group | E-Mail-Sicherheit | wichtig | 1 | DE | |
| Core Banking Solutions | Kernbanksystem | kritisch | 2 | DE | |
| Identity Hub | Authentifizierung | wichtig | 0 | AT | |
| Data Vault | Archivierung | nicht kritisch | 0 | DE | |
| Analytics Partner | Berichtswesen | nicht kritisch | 1 | PL |
| Ausgabe | Zweck | Stand |
|---|---|---|
| Informationsregister, strukturierte Datei | Übermittlung an die Aufsicht | bereit |
| Informationsregister-Report | Interne Revision und Audit | bereit |
| IKT-Vorfallsmeldung, Exportdatei | Meldung an die Aufsicht | bereit |
IKT-Risikomanagementrahmen, Erkennung und Wiederherstellung.
Einordnung neben NIS-2 und ISO/IEC 27001, Bericht an das Leitungsorgan.
Prüfung der Nachweise bis zum Einzelfall.
Register, Vertragsinhalte, Unterauftragnehmer.
Wer ein Informationssicherheits-Managementsystem nach ISO/IEC 27001 betreibt, hat einen Teil der DORA-Nachweise bereits erbracht. CRISAM® bildet Mehrfachanforderungen über das Mapping der Kontrollzielfragen auf die Einzelnormen ab.
Eine beantwortete Kontrollzielfrage gilt zugleich für DORA, ISO/IEC 27001 und NIS-2.
Mehrfachanforderungen lassen sich gemeinsam steuern, gerade in Lieferketten mit vielen IKT-Dienstleistern.
CRISAM® ergänzt Ihre vorhandenen Systeme und bindet sie über Schnittstellen an.
Die DORA-Erweiterung ist vollständig in ISMS, Business Continuity Management, Risikomanagement und Audit integriert.
DORA ist nach Artikel 1 Absatz 2 in Bezug auf Finanzunternehmen ein sektorspezifischer Rechtsakt. Die DORA-Vorgaben haben deshalb Anwendungsvorrang gegenüber den NIS-2-Vorgaben zum Cybersicherheitsrisikomanagement und zum Meldewesen und verdrängen diese insoweit. Für Finanzunternehmen gelten in diesen Bereichen also die Anforderungen von DORA.
| Kriterium | DORA | NIS-2 | ISO/IEC 27001 |
|---|---|---|---|
| Rechtsnatur | EU-Verordnung, unmittelbar geltend, keine nationale Umsetzung nötig | EU-Richtlinie, nationale Umsetzung nötig | Internationale Norm, freiwillig und zertifizierbar |
| Wer betroffen ist | Die in Artikel 2 aufgezählten Finanzunternehmen und ihre IKT-Drittdienstleister | Wesentliche und wichtige Einrichtungen in den in der Richtlinie genannten Sektoren | Jede Organisation, die ein Managementsystem betreiben oder zertifizieren lassen will |
| Verhältnis zueinander | Sektorspezifischer Rechtsakt mit Anwendungsvorrang für Finanzunternehmen | Wird für Finanzunternehmen beim Risikomanagement und beim Meldewesen verdrängt | Keine Kollision, liefert die Struktur für beide Nachweiswege |
| Meldepflicht | Erstmeldung binnen 4 Stunden ab Klassifizierung und spätestens 24 Stunden ab Entdeckung, Zwischenmeldung nach 72 Stunden, Abschlussmeldung binnen eines Monats | Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats | Keine behördliche Meldepflicht |
| Testen | Mindestens jährlich für IKT-Systeme kritischer oder wichtiger Funktionen, bedrohungsgeleitete Penetrationstests alle drei Jahre für bedeutende Finanzunternehmen | Keine vergleichbare Testvorgabe, die Wirksamkeit der Maßnahmen ist zu bewerten | Interne Audits und Managementbewertung |
| Drittparteien | Informationsregister, vertragliche Mindestinhalte, Ausstiegsstrategien, Überwachungsrahmen für kritische IKT-Drittdienstleister | Sicherheit der Lieferkette als Risikomanagementmaßnahme | Lieferantenbeziehungen als Maßnahmen im Anhang A |
| Nachweis | Nachweis gegenüber der Aufsicht, eine Zertifizierung ist nicht vorgesehen | Nachweis gegenüber der zuständigen nationalen Behörde | Zertifikat einer akkreditierten Zertifizierungsstelle |
| Aufsicht | BaFin und FMA, dazu die Europäischen Aufsichtsbehörden für kritische IKT-Drittdienstleister | Zuständige nationale Behörden | Akkreditierte Zertifizierungsstellen |
KAIT, VAIT und ZAIT sind mit Ablauf des 16. Januar 2025 außer Kraft getreten. Die BAIT gelten übergangsweise für Aufsichtsobjekte weiter, die bisher die BAIT angewendet haben und noch kein IKT-Risikomanagement nach DORA betreiben müssen. Mit Ablauf des 31. Dezember 2026 werden die BAIT vollständig aufgehoben. Ab dem 1. Januar 2027 gilt für die betroffenen Aufsichtsobjekte Artikel 16 DORA. Eine Übersicht aller Regelwerke, die CRISAM® abdeckt, finden Sie unter Normen und Standards.
In den Webinaren sehen Sie die Modelle live, auf denen auch die DORA-Erweiterung aufbaut.
Das ISMS-Modell, auf dem die DORA-Erweiterung aufsetzt.
Termine ansehen
In je einer Fassung für Deutschland und für Österreich.
Termine ansehenWebinare und Schulungen im Überblick, dazu die selbstgesteuerten Kurse der CRISAM® Academy und die Produktunterlagen im Downloadcenter.
AcademyDownloadcenterDer erste Schritt hängt davon ab, wo Sie heute stehen.
Dann bauen Sie auf Vorhandenem auf. Die DORA-Erweiterung setzt auf dem bestehenden ISMS-Modell auf, das Informationsregister lässt sich daraus und aus dem BCMS-Modul gezielt aufbauen. Bereits beantwortete Kontrollzielfragen gelten weiter.
Sie beginnen nicht bei null. Das DORA Knowledge Pack bringt über 55 Bausteine und mehr als 700 Kontrollziele mit, gegliedert nach Unternehmensgröße. Sie arbeiten einen vorhandenen Katalog ab, statt ihn selbst zu erstellen.
Sie liefern die Nachweise, die Ihre Kunden für ihr Informationsregister benötigen. Das Knowledge Pack enthält dafür eigene Inhalte für IKT-Dienstleister.
Sie benötigen dafür die CRISAM® GRC Plattform, das CRISAM® ISMS Modul und das DORA Knowledge Pack. In der Demo besprechen wir Ihre Ausgangslage und zeigen, was davon bei Ihnen bereits vorhanden ist.
DORA ist die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor. Sie verpflichtet Finanzunternehmen und ihre IKT-Dienstleister, IKT-Risiken zu steuern, schwerwiegende Vorfälle zu melden, die Resilienz regelmäßig zu testen und alle Verträge über IKT-Dienstleistungen in einem Informationsregister zu führen. Die Verordnung gilt unmittelbar in allen EU-Mitgliedstaaten und ist seit 17. Januar 2025 anzuwenden.
DORA gilt für die in Artikel 2 aufgezählten Finanzunternehmen, darunter Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Versicherungs- und Rückversicherungsunternehmen, Einrichtungen der betrieblichen Altersversorgung und Anbieter von Krypto-Dienstleistungen. Sie gilt außerdem für IKT-Drittdienstleister, die diesen Unternehmen Dienstleistungen bereitstellen.
Artikel 16 sieht für bestimmte kleinere Unternehmen einen vereinfachten IKT-Risikomanagementrahmen anstelle der Artikel 5 bis 15 vor. Genannt sind kleine und nicht verflochtene Wertpapierfirmen, ausgenommene Zahlungsinstitute, ausgenommene Institute nach Richtlinie 2013/36/EU, ausgenommene E-Geld-Institute und kleine Einrichtungen der betrieblichen Altersversorgung.
Nach der Delegierten Verordnung (EU) 2025/301 erfolgt die Erstmeldung innerhalb von vier Stunden ab der Klassifizierung als schwerwiegend und spätestens 24 Stunden ab Entdeckung. Die Zwischenmeldung folgt 72 Stunden nach der Erstmeldung, auch wenn sich der Status nicht geändert hat. Die Abschlussmeldung darf nicht später als einen Monat ab der aktuellsten Zwischenmeldung erfolgen.
Das Informationsregister erfasst nach Artikel 28 alle vertraglichen Vereinbarungen über IKT-Dienstleistungen von Drittdienstleistern. Bei Verträgen, die kritische oder wichtige Funktionen unterstützen, gehören auch die Unterauftragnehmer dazu, die die Erbringung der IKT-Dienstleistung sicherstellen. Das Register ist der Aufsicht jährlich zu übermitteln.
Alle IKT-Systeme und Anwendungen, die kritische oder wichtige Funktionen unterstützen, sind mindestens einmal jährlich angemessen zu testen. Bedeutende Finanzunternehmen führen zusätzlich alle drei Jahre bedrohungsgeleitete Penetrationstests durch. Die Kriterien dafür stehen in Artikel 26 Absatz 8 und in der Delegierten Verordnung (EU) 2025/1190.
DORA ist nach Artikel 1 Absatz 2 in Bezug auf Finanzunternehmen ein sektorspezifischer Rechtsakt. Die DORA-Vorgaben haben deshalb Anwendungsvorrang gegenüber den NIS-2-Vorgaben zum Cybersicherheitsrisikomanagement und zum Meldewesen und verdrängen diese insoweit. Für Finanzunternehmen gelten in diesen Bereichen also die Anforderungen von DORA.
KAIT, VAIT und ZAIT sind mit Ablauf des 16. Januar 2025 außer Kraft getreten. Die BAIT gelten übergangsweise für Aufsichtsobjekte weiter, die bisher die BAIT angewendet haben und noch kein IKT-Risikomanagement nach DORA betreiben müssen. Mit Ablauf des 31. Dezember 2026 werden die BAIT vollständig aufgehoben, ab dem 1. Januar 2027 gilt für die betroffenen Aufsichtsobjekte Artikel 16 DORA.
Die regulatorischen Angaben auf dieser Seite stammen aus den folgenden Quellen.
Stand dieser Seite: 22. September 2026. Die Angaben geben den Stand der genannten Quellen zu diesem Datum wieder.
In der Demo gehen wir Ihren Fall durch: Betroffenheit, Gap-Analyse, Vorfallsmeldung und Informationsregister.
Bleiben wir in Kontakt
Telefon
Newsletter
Sie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen