Das IKT-Risikobild ist zersplittert
Assets, kritische oder wichtige Funktionen, Kontrollen und Maßnahmen werden in getrennten Registern geführt.
Regulatorik · DORA
DORA-Anforderungen in prüfbare IKT-Risiko- und Betriebsmaßnahmen übersetzen.
Wir unterstützen Finanzunternehmen und ihre Dienstleister dabei, Umsetzungslücken in IKT-Risikomanagement, Resilienz, Incident- und Drittparteiensteuerung zu schließen – technisch und organisatorisch.
Stand 04.08.2026
Die Verordnung (EU) 2022/2554 über digitale operationale Resilienz im Finanzsektor wird seit dem 17. Januar 2025 angewendet. Sie betrifft definierte Finanzunternehmen und schafft einheitliche Anforderungen an IKT-Risiken, Vorfälle, Tests und IKT-Drittdienstleister.
Typische Maßnahmenlücken
Wo Anforderungen im IT-Alltag häufig nicht durchgängig umgesetzt sind.
Incident-Daten sind nicht ausreichend strukturiert
Klassifizierung, Zeitpunkte, Auswirkungen, Eskalation und Nachweise lassen sich nicht zuverlässig zusammenführen.
Wiederherstellung ist ungeprüft
Backup existiert, aber Wiederanlauf, RPO/RTO, Berechtigungen und Fachabnahme sind ungeübt.
Das Informationsregister ist lückenhaft
Verträge, Leistungen, Subdienstleister, Kritikalität und Exit-Abhängigkeiten sind nicht aktuell verknüpft.
Changes und Lifecycle erzeugen Risiken
Abgekündigte Systeme (End of Life), Ausnahmen und Änderungen werden nicht ausreichend mit kritischen oder wichtigen Funktionen und Risikoakzeptanz verbunden.
Nachweise sind nicht betriebsnah
Kontrollnachweise entstehen erst kurz vor der Prüfung – der Regelbetrieb erzeugt sie nicht von selbst.
Ausgewählte Umsetzungsbeiträge
Maßnahmen statt allgemeiner Compliance-Versprechen.
Manche Maßnahmenbereiche setzen wir unmittelbar um, für andere schaffen wir Voraussetzungen oder liefern Beiträge im passenden Kontext.
IKT-Risikomanagement
Assets, Funktionen, Risiken, Kontrollen und Maßnahmen werden in einem gemeinsamen Steuerungsmodell verbunden.
Primärer BeitragIKT-Incident-Management
Erfassung, Klassifizierung, Eskalation, Kommunikation und Review werden als durchgängiger Prozess gestaltet.
Primärer BeitragBusiness Continuity, Backup und Restore
Wiederanlaufziele, Runbooks und Tests werden aus Kritikalität abgeleitet.
Primärer BeitragResilienztests
Technische Tests und organisatorische Übungen erzeugen dokumentierte Findings und Verbesserungen.
UnterstützendIKT-Drittdienstleister
Inventar, Kritikalität, Nachweise, Monitoring, Verträge und Exit werden integriert gesteuert.
Primärer BeitragAsset, Change und Lifecycle
Assets, Abhängigkeiten, Änderungen und Risiken abgekündigter Systeme werden nachvollziehbar kontrolliert.
UnterstützendTechnische und organisatorische Maßnahmen
Ein verbundenes Umsetzungsmodell.
Produktkonfigurationen wirken erst, wenn Richtlinien, Owner, Freigaben, Kontrollrhythmen und Incident-Wege dieselbe Zielsetzung tragen.
Technische Komponenten
Kontrollen und Plattformfunktionen
- Microsoft Entra, Intune, Defender und Purview für kontrollierte IKT-Nutzung
- Microsoft 365 Backup oder AvePoint Cloud Backup für definierte Wiederherstellungsszenarien
- Jira Service Management und Assets für Incidents, Changes, Register und Maßnahmen
- LocateRisk für externe Angriffsflächen- und Lieferantenbeobachtung
- AvePoint Governance und Migration für M365-Lifecycle- und Transformationsszenarien
Organisatorische Maßnahmen
Verantwortung und Nachweis
- IKT-Risikomanagementrahmen und benannte Verantwortlichkeiten
- Kritische oder wichtige Funktionen, Assets und Abhängigkeiten
- Incident-Klassifizierung, Eskalation und Review
- Business-Continuity-, RPO/RTO- und Testprozesse
- Informationsregister, Kritikalität, Monitoring und Exit
- Kontrollnachweise und Management-Reporting aus dem Regelbetrieb
Passende Lösungen
Von der DORA-Anforderung zur umsetzbaren Lösung.
Lösung
Berechtigungsmanagement
Jeder Zugriff besitzt einen nachvollziehbaren Zweck, eine verantwortliche Freigabe und ein überprüfbares Ende.
LösungUser Lifecycle Management
Ein HR-Ereignis löst eine verantwortete, fristgerechte und überprüfbare Kette technischer und organisatorischer Maßnahmen aus.
LösungAsset-Management
Assets sind gezählt und mit Verantwortung, Kritikalität, Services, Risiken und Lebenszyklus verbunden.
LösungM365 Workspace-Governance
Jeder Workspace besitzt einen erkennbaren Zweck, verantwortliche Owner, passende Schutzregeln und einen definierten Lebenszyklus.
LösungBackup & Cyber Resilience
Kritische Daten und Identitätskonfigurationen lassen sich nach definierten Prioritäten, Rollen und Zeitvorgaben wiederherstellen.
LösungEndpoint Management
Nur geeignete, verwaltete oder angemessen geschützte Geräte greifen auf Unternehmensdaten zu – ohne den Arbeitsalltag unnötig zu blockieren.
LösungIT-Vendormanagement
Kritische IT-Dienstleister werden nach einheitlichen Kriterien ausgewählt, überwacht, gesteuert und bei Bedarf kontrolliert abgelöst.
LösungIT-Risikoanalyse
Risiken sind nachvollziehbar bewertet, einem Verantwortlichen zugeordnet und mit priorisierten Maßnahmen oder dokumentierter Akzeptanz verbunden.
LösungIT-Service-, Incident-, Change-Management
Anfragen, Störungen und Änderungen folgen verständlichen Wegen, nutzen denselben Servicekontext und erzeugen nachweisbare Verbesserungen.
LösungSystem Lifecycle Management
Lebenszyklusrisiken werden frühzeitig sichtbar und in Wartung, Investition, Ablösung oder kontrollierte Stilllegung übersetzt.
LösungM365 für Carve-outs & Spin-offs
Die neue Organisation ist am Day 1 arbeitsfähig und verlässt Übergangsleistungen mit kontrollierten Daten, Identitäten und Betriebsprozessen.
Primärquellen
Lesen Sie im Original nach.
- Verordnung (EU) 2022/2554 – DORAEUR-Lex
- EUR-Lex Zusammenfassung: Digitale operationale ResilienzEuropäische Union
- BSI: Zusammenspiel von DORA und NIS-2Bundesamt für Sicherheit in der Informationstechnik
Externe Quellen öffnen in einem neuen Tab.
FAQ
Fragen vor dem Start.
Ist DORA nur ein IT-Sicherheitsstandard?
Nein. DORA ist eine EU-Verordnung für digitale operationale Resilienz im Finanzsektor und verbindet Governance, IKT-Risikomanagement, Vorfälle, Tests, Drittparteien und Aufsicht.
Ersetzt NIS2 die DORA-Anforderungen?
Nein. Für bestimmte Finanzunternehmen wirkt DORA als sektorspezifischer Rahmen. Abgrenzung und mögliche zusätzliche Pflichten müssen im Einzelfall geprüft werden.
Kann ein Backup-Produkt DORA erfüllen?
Nein. Backup ist ein Baustein. DORA-bezogene Resilienz umfasst auch Governance, Kritikalität, Wiederanlauf, Incident-Verfahren, Tests, Drittparteien und Nachweise.
Eine Maßnahmenlücke in einen umsetzbaren Auftrag übersetzen.
Sie schildern die Lücke, wir ordnen betroffene Systeme und Verantwortlichkeiten ein – und benennen ein prüfbares Ergebnis.