Vorbereitung Ihres Unternehmens prüfen
Wir prüfen, wie Ihre Organisation IT-Risiken, Vorfälle und Abhängigkeiten von Dienstleistern steuert. Dokumentation und Praxis werden mit dem vereinbarten Umfang der DORA-Anforderungen verglichen. Sie erhalten einen Bericht, Prioritäten und Änderungsvorschläge für Geschäftsleitung und IT. Den Umfang passen wir an DORA-pflichtige Finanzunternehmen oder IKT-Dienstleister an, die Anforderungen ihrer Finanzkunden erfüllen müssen.
Kunden
Eine Sicherheitsrichtlinie allein zeigt nicht, ob ein Team einen Vorfall melden, einen Dienst wiederherstellen oder auf Probleme bei einem Anbieter reagieren kann. Wir sprechen mit Verantwortlichen aus Fachbereichen, IT und Compliance. Geprüft werden benannte Systeme, Verträge, Testergebnisse und Aufzeichnungen durchgeführter Tätigkeiten, nicht nur Dokumenttitel. Im vereinbarten Umfang prüfen wir das IKT-Risikoregister und die Risikobewertung, die Freigabe des Risikorahmens durch die Leitung, die gewählten Schutzmaßnahmen und die Kompetenzen des zuständigen Teams.
Der Bericht trennt Feststellungen von Verbesserungsarbeiten. Umsetzung, Verfahren und Tests können separat im vereinbarten Umfang beauftragt werden.
Das Informationssicherheitsmanagementsystem von Virtline ist durch TÜV NORD Polska nach PN-EN ISO/IEC 27001:2023-08 zertifiziert. Geltungsbereich und Gültigkeit stehen im veröffentlichten Zertifikat. Das Zertifikat betrifft das Managementsystem von Virtline und bestätigt keine DORA-Konformität des Kunden.
Zertifikat von Virtline ansehenZunächst vereinbaren wir Gegenstand und Bewertungsgrundlage. Systemzugriffe, Testumfang und der sichere Austausch vertraulicher Unterlagen werden vor Beginn geklärt.
Wir klären Geschäftstätigkeit, wichtige Dienste und IT-Anbieter. Anforderungen, Unterlagen und Zugriffsgrenzen werden abgestimmt. Wir benennen die Verantwortlichen der einzelnen Bereiche, mit denen wir die Dokumentation und die praktische Umsetzung der Schutzmaßnahmen besprechen.
Wir untersuchen IT-Risikomanagement, Vorfälle, Wiederherstellung, Tests und Anbietersteuerung. Dokumente vergleichen wir mit Einstellungen und verfügbaren Tätigkeitsaufzeichnungen. Bei Vorfällen untersuchen wir Erkennung, Klassifizierung, Dokumentation, fristgerechte gesetzlich und vertraglich erforderliche Meldungen und die Auswertung nach dem Ereignis. Außerdem prüfen wir, wie das Unternehmen Warnungen verifiziert und darauf reagiert, wenn es Informationsaustausch, ISAC-Gruppen oder Threat-Intelligence-Quellen nutzt. Gesetzliche Meldefristen sind vertraglich nicht verhandelbar.
Wir ordnen Feststellungen nach ihrer Bedeutung und erläutern die Grundlagen. Ihr Unternehmen kann Umstände erklären und fehlende Unterlagen ergänzen, bevor weitere Arbeiten vereinbart werden.
Wir besprechen Prioritäten mit Leitung und Team. Zuständigkeiten für Änderungen und deren Prüfung werden festgelegt; spätere Umsetzung oder Nachprüfung haben einen eigenen Umfang.
Praktischer Umfang
Der Bericht soll Entscheidungen unterstützen. Jede Feststellung sollte ihre Grundlage, die Bedeutung für das Unternehmen und einen nächsten Schritt nennen.
Liste der einbezogenen Dienste, Systeme, Dokumente und Anbieter. Nicht geprüfte Bereiche und wegen fehlender Informationen nicht verifizierbare Sachverhalte werden klar gekennzeichnet. Beim Testprogramm berücksichtigen wir Umfang, Häufigkeit und Kompetenzen der Prüfenden. Bei Anbietern prüfen wir das Diensteregister, die Bewertung vor der Zusammenarbeit sowie Vertragsregelungen zu Auditrechten, Eskalation, Verarbeitungsorten und zum Ausstieg aus dem Dienst.
Erkannte Lücken und Risiken für den Geschäftsbetrieb. Wir unterscheiden fehlende Dokumentation von unwirksamer Praxis und benennen die Aufzeichnungen und Tests, auf denen die Bewertung beruht.
Vorgeschlagene Maßnahmen und deren Reihenfolge. Zuständigkeiten, Abhängigkeiten und Prüfverfahren stimmen wir mit Ihnen ab, statt jeder Organisation denselben starren 30-Tage-Plan vorzugeben.
Ein Gespräch mit Entscheidern und Ausführenden. Wir erläutern Folgen, zusätzliche Arbeiten und Fragen, die rechtliche Beratung oder weitere Tests benötigen.
DORA gilt seit dem 17. Januar 2025. Die maßgeblichen Pflichten hängen jedoch vom Unternehmen und seiner Tätigkeit ab. Unser Bericht beschreibt die Prüfung und ihre Grenzen. Er ersetzt weder eine Aufsichtsentscheidung noch Rechtsberatung oder die Verantwortung der Geschäftsleitung für die Einhaltung der Anforderungen.
Quelle
Amtlicher Text der DORA-Verordnung in EUR-Lex.
Quelle öffnenDiese Rollen sind zu unterscheiden. Ein Finanzunternehmen bleibt auch bei externen Leistungen für seine DORA-Anforderungen verantwortlich. Anbieter können vertragliche Anforderungen ihrer Kunden erhalten; für benannte kritische Anbieter besteht eine gesonderte Überwachung. Der konkrete Umfang muss vor der Prüfung geklärt werden.
Nein. DORA enthält sektorale Anforderungen für erfasste Finanzunternehmen, unter anderem zu IT-Risiken und Vorfällen. Die NIS2-Pflichten eines Anbieters heben die DORA-Anforderungen an Verträge und Drittparteirisiken des Finanzunternehmens nicht auf. Eine NIS2-Erklärung allein belegt keine DORA-Konformität.
TLPT (Threat-Led Penetration Testing) sind Penetrationstests auf Basis von Informationen über reale Cyberbedrohungen. Technische Tests werden gesondert vereinbart. Dokumentenprüfung, gewöhnlicher Penetrationstest und formale TLPT sind unterschiedliche Tätigkeiten. Wir stellen einen normalen Anwendungstest nicht als TLPT dar und versprechen keine aufsichtsrechtliche Anerkennung.
Davon gehen wir nicht aus. Wir vereinbaren notwendige Unterlagen, Rechte und sichere Austauschwege. Genügen Erläuterungen, Stichproben oder anonymisierte Aufzeichnungen, begrenzen wir den Datenzugriff. Nicht verifizierbare Bereiche stehen im Bericht.
Beschreiben Sie Tätigkeit, Prüfbedarf und gegebenenfalls eine Frist eines Kunden oder der Aufsicht. Nennen Sie bisherige Bewertungen und wichtige Systeme. Senden Sie keine vertraulichen Verträge über das Formular.
DORA-Audit besprechen