KATALOGE · DORA

DORA: digitale operationale Resilienz im Finanzsektor.

Die Verordnung (EU) 2022/2554 gilt seit dem 17. Januar 2025 für Finanzunternehmen in der EU. Varmo enthält ihre Pflichten als Katalog, aufgeteilt so, dass jede Pflicht einzeln belegt werden kann.

Plattform-Katalog ab Paket Pro

Demo anfragen Kostenlos starten

Umfang

IKT-Risikomanagement (Art. 5–16), Behandlung, Klassifizierung und Meldung IKT-bezogener Vorfälle (Art. 17–23), Tests der digitalen operationalen Resilienz (Art. 24–27), IKT-Drittparteienrisiko (Art. 28–30) und Informationsaustausch (Art. 45). Absätze mit mehreren Pflichten sind in Teil-Anforderungen zerlegt.

Wortlaut und Fundstelle aus dem Amtsblatt der EU
Eigene Umsetzungshinweise mit Verweisen auf die technischen Standards
Vereinfachter Rahmen (Art. 16) und TLPT (Art. 26, 27) als eigene Kapitel

Je System und je Dienstleister

Pflichten der Leitung, Strategie, Vorfallmanagement und Testprogramm gelten für die Organisation. Schutz, Erkennung und Sicherung prüft der Eigentümer je System, Vertragsinhalte nach Art. 30 je IKT-Dienstleister. Varmo schlägt die passenden Kapitel je Asset-Kategorie vor.

Sicherheitsverfahren eines Systems: Anforderungen aus NIST SP 800-53 passend zum Schutzbedarf mit Umsetzungsstand. — Welche Anforderungen gelten, ergibt sich aus Kategorie und Schutzbedarf des Systems.

Schwerwiegende Vorfälle melden

Für schwerwiegende IKT-Vorfälle verlangt DORA eine Erstmeldung, eine Zwischenmeldung und eine Abschlussmeldung mit festen Fristen. Legen Sie die Meldepflicht für Ihre Organisation fest, entscheidet die verantwortliche Person je Vorfall und erhält Pendenzen mit den Fristen.

Sicherheitsvorfall „Virenschutz meldet Fund auf Messrechner“ in Bearbeitung, mit nächstem Schritt, Beurteilung und Protokoll. — Der Vorfall zeigt den nächsten Schritt, die Beurteilung und jede Meldung im Protokoll.

Relevanz für die Schweiz

DORA gilt für Finanzunternehmen in der EU. Schweizer Unternehmen betrifft sie, wenn sie in der EU tätig sind oder IKT-Dienstleistungen für Finanzunternehmen in der EU erbringen: Diese müssen die Vertragsinhalte nach Art. 30 mit ihren Dienstleistern vereinbaren.

Finanzinstitute
FINMA, DORA und Meldepflichten in einem ISMS.
NIS2
Die Pflichten der Einrichtungen in der EU.

Häufige Fragen

Ist DORA dasselbe wie NIS2?

Nein. Für Finanzunternehmen geht DORA als spezielleres Recht NIS2 vor. Viele Pflichten entsprechen sich; über die Zuordnungen sehen Sie, wo eine Umsetzung beide betrifft.

Wie nah sind Sie an ISO/IEC 27001?

In einer persönlichen Demo zeigen wir Ihnen den Weg bis zum Readiness-Bericht, unverbindlich. Oder Sie starten sofort mit dem Paket Free.