DORA: Was die Verordnung verlangt und wie Sie die Einhaltung nachweisen
Kurze Antwort
DORA (Verordnung über die digitale operationale Resilienz) ist eine EU-Verordnung, die seit Januar 2025 für Finanzunternehmen in der EU und ihre kritischen IKT-Drittdienstleister gilt. Sie verlangt IKT-Risikomanagement (Artikel 5-16), die Klassifizierung und Meldung schwerwiegender IKT-Vorfälle (Artikel 17-23), mit einer Erstmeldung binnen 4 Stunden nach der Einstufung, einem Zwischenbericht binnen 72 Stunden und einem Abschlussbericht binnen 1 Monat, Resilienztests (Artikel 24-27) und das Management des Risikos von IKT-Drittanbietern (Artikel 28-44). ROOTKey bildet diese Anforderungen auf Ihre bestehende Infrastruktur ab, mit überprüfbaren, auditierbaren kryptografischen Nachweisen.
- Zwangsgeld für kritische IKT-Anbieter
- 1 %des durchschnittlichen weltweiten Tagesumsatzes, pro Tag, bis zu 6 Monate
- Erstmeldung
- 4 Std.nach Einstufung eines schwerwiegenden Vorfalls
- Einrichtungstypen
- 20+Finanzunternehmen, die unter die Verordnung fallen
- Verbindliche Anwendung
- Jan. 2025in der gesamten Europäischen Union in Kraft
Wer betroffen ist und was auf dem Spiel steht
DORA (Verordnung über die digitale operationale Resilienz) gilt seit Januar 2025. Sie betrifft Finanzunternehmen in der EU, darunter Banken, Versicherer, Wertpapierfirmen, Anbieter von Kryptowerte-Dienstleistungen und ihre kritischen IKT-Drittdienstleister. Die Sanktionen unterscheiden sich je nach Art des Unternehmens.
| Unternehmen | Sanktion |
|---|---|
| Kritische IKT-Drittdienstleister | Zwangsgelder von bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes im vorangegangenen Geschäftsjahr, täglich bis zur Einhaltung und höchstens sechs Monate lang (Art. 35 Abs. 7 und 8) |
| Finanzunternehmen | Verwaltungsrechtliche Sanktionen und Abhilfemaßnahmen, die jeder Mitgliedstaat festlegt (Art. 50); DORA legt keinen EU-weiten Betrag fest |
Quelle: Verordnung (EU) 2022/2554 auf EUR-Lex, Artikel 35 und 50.
DORA in fünf Minuten
Die Verordnung in klarer Sprache erklärt: wen sie betrifft, was sie verlangt und welche Rolle die Datenintegrität spielt.
NIS2, DORA und die DSGVO werden im gleichen Format in der Playlist Compliance auf unserem YouTube-Kanal erklärt.
Was DORA verlangt, Artikel für Artikel
DORA verlangt dokumentierte IKT-Risikomanagementrahmen, Business-Continuity-Pläne, Klassifizierung und Meldung von Vorfällen, Tests der digitalen operationalen Resilienz und das Management von IKT-Drittparteienrisiken mit unveränderlichen Audit-Nachweisen. So wird jede Anforderung auf ROOTKey abgebildet.
| Artikel | Anforderung | ROOTKey | Status |
|---|---|---|---|
| Artikel 5-16IKT-Risikomanagement | Finanzunternehmen müssen einen robusten IKT-Risikomanagementrahmen mit dokumentierten Richtlinien, Kontrollen und Kontinuitätsmechanismen einführen. | Unveränderliches Register von IKT-Richtlinien mit kryptografisch überprüfbarem Hash pro Version und verankertem Verlauf - nachträgliche Manipulation ist kryptografisch erkennbar. | Abgedeckt |
| Artikel 17-23Klassifizierung von Vorfällen | Klassifizierung, Überwachung und Meldung schwerwiegender IKT-Vorfälle mit definierten Kriterien und festgelegten Meldefristen. | Kryptografisch signierte Zeitstempel für jedes Ereignis. Überprüfbare Beweiskette mit strukturiertem Export für Aufsichtsbehörden in Sekunden. Der Bericht zeigt, was sich geändert hat, von wem, wann und wo. | Abgedeckt |
| Artikel 24-27Resilienztests | Programm für regelmäßige Tests der digitalen operationalen Resilienz, einschließlich Schwachstellenbewertungen und bedrohungsbasierter Tests. | Wiederherstellungspunkte mit kryptografischer Integritätsprüfung - überprüfbarer Nachweis, dass die Wiederherstellungssysteme vor dem Test nicht kompromittiert wurden. | Abgedeckt 26 · teilweise |
| Artikel 28-44Risiko durch IKT-Dritte | Strenges Management des Risikos von IKT-Drittanbietern, einschließlich Due Diligence, Verträgen und Prüfrechten. | Kryptografische Zugriffsprüfung von Grund auf: Jeder Zugriff durch Dritte wird mit kryptografischem Nachweis authentifiziert und unveränderlich protokolliert, ohne implizites Vertrauen. | Authentifiziert · unveränderlich protokolliert |
Artikel 19-20: Fristen für die Meldung von Vorfällen
DORA verpflichtet zur Meldung relevanter IKT-Vorfälle an die zuständigen Behörden. Die kryptografische Hash-Verankerung von ROOTKey erzeugt manipulationssichere Vorfallzeitleisten, die die Beweisgrundlage für die regulatorische Kommunikation bilden.
| Frist | Phase | Details |
|---|---|---|
| T0 | Erkennung und Einstufung | Protokolle mit unveränderlichen Zeitstempeln und strukturiertem Export - überprüfbarer Nachweis des Zeitpunkts von Erkennung und Einstufung, in Minuten bereit. |
| 4 Std. | Erstmeldung | Erstmeldung an die zuständige Behörde binnen 4 Stunden nach Einstufung eines schwerwiegenden Vorfalls. |
| 72 Std. | Zwischenbericht | Zwischenbericht binnen 72 Stunden nach der Erstmeldung. |
| 1 Monat | Abschlussbericht | Abschlussbericht binnen 1 Monat. |
Wie ROOTKey sich einfügt: auf Ihrer Infrastruktur, nicht an ihrer Stelle
ROOTKey ersetzt keine bestehenden Systeme. Es fügt über API eine kryptografische Verifizierungsschicht hinzu - ohne Migrationen, ohne Vendor-Lock-in.
- Prüfbare kryptografische Nachweise
- Jede kritische Aktion erzeugt einen unabhängigen Nachweis, den externe Prüfer verifizieren können, ohne auf die Originaldaten zuzugreifen.
- Überprüfbare Wiederherstellungspunkte
- Wiederherstellungspunkte mit kryptografisch verifizierter Integrität: Datum, Inhalt und Integrität, alles überprüfbar.
- Unveränderliche Zeitstempel
- Beweiskette für jedes Sicherheitsereignis, mit überprüfbarem Nachweis, wann es eingetreten ist.
Jede Datei, derselbe Beweis
PDF, Bilder, Word, Excel, PowerPoint, Tabellen und Datenbanken: Egal welche Datei, ROOTKey vergleicht sie mit dem versiegelten Original und zeigt nur, was verändert wurde.
- Bereitstellung
- SaaS · Private Cloud · On-Premise
- Konnektoren
- SharePoint · OneDrive · Amazon S3 · Cloudflare R2 · Tabellen und Datenbanken · REST API und Webhooks
Integration: in Tagen einsatzbereit, nicht in Monaten
Dokumentierte REST-API und Webhooks, dedizierter Enterprise-Support. ROOTKey passt sich Ihrer Infrastruktur an - nicht umgekehrt.
Integration per API
Dokumentierte REST-API und Webhooks. In Tagen einsatzbereit, ohne die bestehende Infrastruktur zu ersetzen.
Automatische Nachweise
Jedes kritische Ereignis erzeugt einen unveränderlichen, prüfbaren kryptografischen Nachweis, bei minimalem Betriebsaufwand.
Sofortige Berichte
Compliance-Dashboard in Echtzeit und Export von Nachweisen für Aufsichtsbehörden in Sekunden.
Häufig gestellte Fragen
Was ist DORA und wer muss sie einhalten?
DORA (Verordnung über die digitale operationale Resilienz) gilt seit Januar 2025. Sie betrifft Finanzunternehmen in der EU, darunter Banken, Versicherer, Wertpapierfirmen, Anbieter von Kryptowerte-Dienstleistungen und ihre kritischen IKT-Drittdienstleister.
Was verlangt DORA beim IKT-Risikomanagement?
DORA verlangt dokumentierte IKT-Risikomanagementrahmen, Business-Continuity-Pläne, Klassifizierung und Meldung von Vorfällen, Tests der digitalen operationalen Resilienz und das Management von IKT-Drittparteienrisiken mit unveränderlichen Audit-Nachweisen.
Wie unterstützt ROOTKey die DORA-Meldung von Vorfällen?
DORA verpflichtet zur Meldung relevanter IKT-Vorfälle an die zuständigen Behörden. Die kryptografische Hash-Verankerung von ROOTKey erzeugt manipulationssichere Vorfallzeitleisten, die die Beweisgrundlage für die regulatorische Kommunikation bilden.
Welche Sanktionen drohen bei Nichteinhaltung von DORA?
Kritischen IKT-Drittdienstleistern drohen Zwangsgelder von bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes im vorangegangenen Geschäftsjahr, täglich und höchstens sechs Monate lang (Art. 35). Die Sanktionen für Finanzunternehmen legt jeder Mitgliedstaat fest (Art. 50); DORA legt keinen EU-weiten Betrag fest.