DORA · Verordnung (EU) 2022/2554
DORA-Compliance, von der Verordnung zu den Systemen
DORA (Digital Operational Resilience Act) verlangt von Finanzunternehmen den Nachweis, dass ihre IKT-Systeme Vorfällen standhalten, dass Vorfälle erkannt und fristgerecht gemeldet werden und dass sich die Dienste wiederherstellen lassen. AtWorkStudio setzt den technischen Teil um: plant, implementiert und betreibt die Maßnahmen und erstellt die Nachweise für Prüfungen, an der Seite Ihrer Compliance-Funktion und Ihrer Berater. Mit einem Managementsystem, zertifiziert nach ISO/IEC 27001, 27017, 27018 und ISO 9001.
Wo anfangen? Mit einer Bestandsaufnahme Ihrer Kontrollen
Das kostenlose Assessment auf Basis des NIST Cybersecurity Framework 2.0 misst den Reifegrad Ihrer Sicherheitskontrollen. Es ist der erste Schritt der technischen Gap-Analyse gegenüber den DORA-Anforderungen.
106 Fragen · Ergebnis online · Unverbindlich
Was AtWorkStudio für jede DORA-Säule umsetzt
IKT-Risikomanagement
Inventar von Assets, Funktionen und Abhängigkeiten, Risikoanalyse, Härtung, Identitäts- und Privileged-Access-Management, phishingresistente MFA, Schutz von Endgeräten und Servern. Kapitel II von DORA und Delegierte Verordnung (EU) 2024/1774.
Backup, Kontinuität und Wiederherstellung
Unveränderliche Backups, getrennt von der Produktion, Disaster Recovery mit festgelegten RTO und RPO für jede kritische Funktion, regelmäßige Wiederherstellungstests mit Protokoll. Die Kontinuitätsrichtlinien der Artikel 11 und 12, nachprüfbar gemacht.
Erkennung und Behandlung von Vorfällen
Log-Erfassung, Erkennung mit EDR/XDR, Reaktions- und Wiederherstellungsverfahren, technische Daten zur Klassifizierung des Vorfalls und für Erstmeldung, Zwischen- und Abschlussbericht. Die Meldung bleibt beim Unternehmen: Die technischen Fakten bereitet AtWorkStudio vor.
Tests der operationalen Resilienz
Kontinuierliche Schwachstellenanalyse, Penetrationstests an exponierten und internen Systemen, Wiederherstellungs- und Kontinuitätstests, mit Korrekturen bis zum Abschluss nachverfolgt. Für TLPT-pflichtige Unternehmen Vorbereitung der Umgebung und Umsetzung der Korrekturen.
IKT- und Cloud-Dienstleister
Wahl des Hostings mit Daten in der Europäischen Union oder ausschließlich in Italien, Architekturen, die die Abhängigkeit von einem einzigen Anbieter verringern, eine erprobte Ausstiegsstrategie, technische Daten zu den IKT-Diensten für das Informationsregister.
Schulung und Sensibilisierung
Sensibilisierungsprogramme für alle Mitarbeitenden und eigene Sitzungen für das Leitungsorgan, das nach Artikel 5 ausreichende Kenntnisse über IKT-Risiken aufrechterhalten muss. Phishing-Simulationen und gemessene Ergebnisse.
Für kleinere Unternehmen: der vereinfachte Rahmen, richtig umgesetzt
Was verpflichtend bleibt
Angemessene Maßnahmen, betrieben
Dokumentation, die der Prüfung standhält
Ein Dienstleister, der Ihre Due Diligence besteht
Daten und Unterauftragnehmer offengelegt
Vier Hosting-Optionen, jeweils mit Speicherort der Daten und Rechtsordnung des Anbieters. Die Liste der Unterauftragnehmer ist öffentlich und versioniert: Die Unterauftragskette für Ihr Register ist bereits dokumentiert.
Verträge, die DORA sprechen
Service-Levels, Unterstützung bei Vorfällen, Prüfungsrechte, Kündigung und Ausstiegsstrategie mit Rückgabe der Daten: Die Bestimmungen des Artikels 30 werden vor Beginn besprochen und schriftlich festgehalten, nicht danach.
Von Dritten geprüfte Kontrollen
Ein Managementsystem, zertifiziert nach ISO/IEC 27001, 27017, 27018 und ISO 9001, und drei von der Nationalen Agentur für Cybersicherheit Italiens (ACN) auf Stufe QC1 qualifizierte Dienste. Zertifikate und Einträge einsehbar.
Aus der Praxis
Eine Ausstiegsstrategie aus der Public Cloud, geplant bis zum letzten Kabel.
DORA verlangt von Finanzunternehmen eine Ausstiegsstrategie für IKT-Dienste, die kritische oder wichtige Funktionen unterstützen (Artikel 28). Lange vor der Verordnung hat eine Bank in Rom AtWorkStudio genau damit beauftragt: alle Anwendungen aus der Public Cloud zurück on-premises zu holen und die Cloud nur noch für das Disaster Recovery zu nutzen.
Die vollständige Geschichte mit allen Projektschritten steht auf der Seite Cloud-IT-Services.
413
virtuelle Maschinen
1.288
vCPUs
537 TB
nutzbarer Storage
18
vSAN-Knoten
40 GbE
Spine-Leaf-Netz
76 kW
Leistungsaufnahme
- 1
Die Bestandsaufnahme
Netze, Firewall-Regeln, 413 virtuelle Maschinen mit Ressourcen und Abhängigkeiten, rund vierzig nach Kritikalität eingestufte Anwendungen: dieselbe Abbildung von Funktionen und Abhängigkeiten, die DORA heute verlangt.
- 2
Die Ausführungsplanung
Zwei vSAN-Cluster auf 18 Knoten, ein Spine-Leaf-Netz mit 40 GbE, Strom, Kühlung, eine Verbindung für das Disaster Recovery und eine Stückliste für die Ausschreibung. Ein ausführbarer Plan, keine Absichtserklärung.
- 3
Die Entscheidung
Mit allen Kosten auf dem Tisch, einschließlich der Mitarbeitenden für den Betrieb eines eigenen Rechenzentrums, hat sich die Bank eigenständig entschieden, in der Public Cloud zu bleiben. Mit dem genauen Wissen, wie sie sie verlassen kann.
Eine Ausstiegsstrategie muss sich an den Zahlen bewähren, nicht nur im Vertrag stehen.
Von der Gap-Analyse zu den Nachweisen
1. Technische Gap-Analyse
2. Maßnahmenplan
3. Umsetzung und Betrieb
4. Tests und Nachweise
Häufige Fragen zu unseren DORA-Leistungen
Die Fragen, die uns Finanzunternehmen und die für sie tätigen IT-Unternehmen am häufigsten stellen. Zu den Pflichten von Unternehmen im Anwendungsbereich von NIS2 siehe die Seite NIS2-Umsetzung.
Nein, und niemand kann das: Für DORA gibt es keine Zertifizierung. Die Konformität bleibt in der Verantwortung des Finanzunternehmens und seines Leitungsorgans und wird von der Aufsichtsbehörde geprüft. AtWorkStudio setzt die technischen Maßnahmen um, betreibt sie und erstellt die Nachweise (Konfigurationen, Protokolle, Testergebnisse), die das Unternehmen in Prüfungen vorlegt.
Die Verordnung (EU) 2022/2554 gilt seit dem 17. Januar 2025 für die in Artikel 2 genannten Finanzunternehmen: Kreditinstitute, Wertpapierfirmen, Verwaltungsgesellschaften, Zahlungs- und E-Geld-Institute, Versicherungs- und Rückversicherungsunternehmen, Einrichtungen der betrieblichen Altersversorgung, Anbieter von Krypto-Dienstleistungen und weitere. Für bestimmte kleinere Unternehmen sieht Artikel 16 einen vereinfachten IKT-Risikomanagementrahmen vor. IT-Unternehmen, die diese Finanzunternehmen bedienen, unterliegen DORA nicht direkt, erhalten die Anforderungen aber über ihre Verträge.
Die Vertragsbestimmungen des Artikels 30 (Leistungsbeschreibung, Orte der Datenverarbeitung, Service-Levels, Unterstützung bei Vorfällen, Prüfungsrechte, Kündigung und Ausstiegsstrategie) sowie die Angaben, die das Unternehmen in sein Informationsregister eintragen muss, einschließlich der Unterauftragskette. Die direkte Überwachung durch die europäischen Behörden betrifft nur als kritisch eingestufte Anbieter: Die erste Liste, von den ESA am 18. November 2025 veröffentlicht, umfasst 19 Anbieter. AtWorkStudio hilft auch IT-Unternehmen, belastbare Antworten und technische Maßnahmen vorzubereiten.
Nach der Delegierten Verordnung (EU) 2025/301: Erstmeldung innerhalb von 4 Stunden nach der Einstufung als schwerwiegend und spätestens 24 Stunden, nachdem das Unternehmen Kenntnis vom Vorfall erlangt hat, Zwischenbericht innerhalb von 72 Stunden nach der Erstmeldung, Abschlussbericht innerhalb eines Monats nach dem letzten Zwischenbericht. Die Meldung obliegt dem Unternehmen; AtWorkStudio liefert die technischen Daten für die Klassifizierung und die Berichte.
Die Alarme analysiert das AtWorkStudio-Team während der Geschäftszeiten. Außerhalb der Geschäftszeiten übernimmt die Automatisierung: Sie isoliert das Gerät, sperrt das kompromittierte Konto, beendet schädliche Prozesse und benachrichtigt die vom Unternehmen benannten Ansprechpartner. Für Unternehmen, die einen Vorfall auch außerhalb der Geschäftszeiten klassifizieren können müssen, werden Rufbereitschaft und erweiterte Abdeckung im Vertrag festgelegt, zusammen mit dem Eskalationsverfahren zu den Personen, die über Klassifizierung und Meldung entscheiden.
Bedrohungsorientierte Penetrationstests (TLPT, Artikel 26) sind nur für von der Behörde bestimmte Unternehmen vorgeschrieben, mindestens alle drei Jahre, und müssen von Testern durchgeführt werden, die die Anforderungen des Artikels 27 erfüllen. AtWorkStudio führt Schwachstellenanalysen, Penetrationstests und Wiederherstellungstests durch, bereitet die Umgebung auf den TLPT vor und setzt die daraus folgenden Korrekturen um.
Für den Finanzsektor ist DORA das sektorspezifische Gesetz und hat beim IKT-Risikomanagement und bei der Meldung von Vorfällen Vorrang vor NIS2. Viele technische Maßnahmen sind gleich (Backup, Identitätsmanagement, Erkennung, Lieferantenmanagement), sodass eine Gruppe mit Gesellschaften in beiden Anwendungsbereichen ein einziges technisches Programm aufsetzen kann.
Nein. ISO/IEC 27001 deckt einen großen Teil des IKT-Risikomanagements ab, DORA ergänzt jedoch eigene Pflichten: Klassifizierung und Meldung von Vorfällen mit festen Fristen, ein Programm für Resilienztests, ein Informationsregister über IKT-Dienstleister, verpflichtende Vertragsbestimmungen. Das Managementsystem von AtWorkStudio, zertifiziert nach ISO/IEC 27001, 27017, 27018 und ISO 9001, ist eine solide Grundlage für die Due-Diligence-Prüfung, die das Unternehmen bei uns durchführt.
DORA verlangt Nachweise, keine Erklärungen
Erzählen Sie uns, wie Ihr Unternehmen aufgestellt ist, welche Funktionen kritisch sind und wer Ihre Systeme heute betreibt. AtWorkStudio schlägt Ihnen vor, wo Sie anfangen.