DORA verlangt zu wissen, welche IKT-Lieferanten Ihren Betrieb tragen.
Für ein Zahlungsinstitut, eine Verwaltungsgesellschaft, ein Versicherungs- oder Vermittlungsunternehmen ohne das Drittparteien-Engineering einer Großbank: Register der IKT-Lieferanten, Vorfallsklassifizierer und DORA-Kennzahlen im selben Risikokreislauf, mit Konzentration und Auswirkungsradius.
- FAIR-Band stets als simuliert und nicht kalibriert gekennzeichnet
- Daten in der EU (OVH, Gravelines); Cloudflare (USA) auf dem Anfragepfad
Was DORA verlangt, kurz gefasst
DORA bündelt die Anforderungen an die digitale Resilienz von Finanzunternehmen in einer Verordnung, nach dem Grundsatz der Verhältnismäßigkeit.
Informative Zusammenfassung, keine Rechtsberatung. Der für Ihr Unternehmen geltende Anwendungsbereich und die Verhältnismäßigkeit hängen vom geltenden Text und von Ihrer Aufsicht ab.
- Informationsregister
- Die Unternehmen führen ein Register aller ihrer vertraglichen Vereinbarungen mit IKT-Drittdienstleistern (Artikel 28 Absatz 3).
- Zentrale Vertragsklauseln
- Die Verträge enthalten unter anderem Ausstiegsstrategien sowie Zugangs-, Inspektions- und Prüfrechte (Artikel 30).
- Vorfälle klassifizieren und melden
- IKT-Vorfälle werden nach gemeinsamen Kriterien klassifiziert, und die schwerwiegenden werden der Aufsicht gemeldet (Artikel 17 bis 19).
- Konzentration und Abhängigkeit
- Vor Vertragsabschluss wird das Konzentrationsrisiko der IKT-Drittdienstleister bewertet (Artikel 29).
Die fünf Säulen von DORA und wo HodeiShield ansetzt
Wir decken nicht alles ab. Dies ist der Teil der Verordnung, an dem die Plattform arbeitet, und der, an dem sie es nicht tut.
II
IKT-Risikomanagement
Exposition in Euro je Lieferant und Risikoregister.
TeilweiseIII
Management, Klassifizierung und Meldung von Vorfällen
Klassifizierer mit den Kriterien von DORA und Kennzahl für schwerwiegende Vorfälle.
TeilweiseIV
Tests der digitalen operationalen Resilienz
Enthält weder Resilienztests noch bedrohungsorientierte Penetrationstests.
Nicht abgedecktV
Management des IKT-Drittparteienrisikos
Register der Lieferanten, Ausstiegspläne, Prüfrecht und Konzentration.
DirektVI
Informationsaustausch
Bedrohungsradar je Sektor als Eingangsgröße; keine Vereinbarung zum Austausch zwischen Unternehmen.
Nicht abgedeckt
Von jeder DORA-Pflicht zu einer Fähigkeit von HodeiShield
Mit Phase im Zyklus und Umfang. Nur das, was die Plattform stützt.
Direkt: Die Plattform erledigt es. Teilweise: Sie liefert Nachweise oder einen Teil, den Rest übernehmen Sie. Nicht abgedeckt: liegt außerhalb von HodeiShield.
- Pflicht:
Informationsregister zu den Vereinbarungen mit IKT-Drittdienstleistern
Art. 28 Abs. 3
Was HodeiShield leistet:Register der IKT-Lieferanten mit Kritikalität, Ausstiegsplänen und Prüfrecht. Die Einreichung des Registers bei der Aufsicht folgt den amtlichen Formaten und Kanälen; HodeiShield nimmt sie nicht für Sie vor.
Demo · DORA-AnsichtPhaseSENSEUmfangTeilweise - Pflicht:
Ausstiegsstrategie und Prüfrechte in den Verträgen
Art. 30
Was HodeiShield leistet:Zeigt je Lieferant, ob ein Ausstiegsplan und ein Prüfrecht bestehen, und berechnet die Abdeckung über die Gesamtheit. Die Klauseln zu verhandeln ist Ihre Aufgabe.
Docs · Compliance (öffnet sich in einem neuen Tab)PhaseSENSEPREDICTUmfangDirekt - Pflicht:
Konzentrationsrisiko der IKT-Drittdienstleister bewerten
Art. 29
Was HodeiShield leistet:HHI-Konzentration und Auswirkungsradius über 3 Sprünge auf dem Graphen der deklarierten Abhängigkeiten.
Docs · Grundkonzepte (öffnet sich in einem neuen Tab)PhasePREDICTUmfangDirekt - Pflicht:
IKT-Vorfälle klassifizieren und die schwerwiegenden erkennen
Art. 18
Was HodeiShield leistet:Klassifizierer mit den Kriterien von DORA: betroffene Nutzer, Dauer, Datenverlust, kritische Funktionen, Reputations- und wirtschaftliche Auswirkung.
Demo · VorfallsregisterPhaseAußerhalb des ZyklusUmfangTeilweise - Pflicht:
Schwerwiegende Vorfälle der Aufsicht melden
Art. 19
Was HodeiShield leistet:Dasselbe einzige Register, das NIS2 und DSGVO speist. Inhalt und Versand der Meldung bereiten Sie vor und nehmen Sie selbst vor.
Demo · VorfallsregisterPhaseAußerhalb des ZyklusUmfangTeilweise - Pflicht:
Rahmen für das IKT-Risikomanagement
Art. 6 und 8
Was HodeiShield leistet:FAIR-ALE in Euro mit simuliertem Unsicherheitsband (nicht kalibriert), deterministischer Simulator mit 7 Szenarien und auf 9 Ziele geroutete Warnungen.
Docs · Risiko-Engine (öffnet sich in einem neuen Tab)PhasePREDICTACTUmfangTeilweise - Pflicht:
Überwachung der IKT-Drittdienstleister
Art. 28
Was HodeiShield leistet:Fragebögen per Token mit Erinnerungen, periodischer externer Scan, tägliche CVE und SBOM der Lieferanten.
Docs · Risiko-Engine (öffnet sich in einem neuen Tab)PhaseSENSEUmfangTeilweise - Pflicht:
Kennzahlen und Nachweise für Leitung und Aufsicht
Art. 5
Was HodeiShield leistet:Sechs DORA-Kennzahlen (Lieferanten, kritische, Ausstiegspläne, Prüfrechte, Vorfälle und schwerwiegende), Executive-Dashboard und ATTEST-Attestierung je Rahmenwerk-Band.
Demo · DORA-AnsichtPhaseATTESTUmfangTeilweise - Pflicht:
Tests der digitalen operationalen Resilienz
Kap. IV
Was HodeiShield leistet:Außerhalb von HodeiShield.
PhaseAußerhalb des ZyklusUmfangNicht abgedeckt
Was HodeiShield bei DORA nicht leistet
Was außerhalb bleibt, vor der Demo gesagt.
Reicht das Register nicht bei der Aufsicht ein
Es führt das Register der Lieferanten und deren Kennzahlen. Die Einreichung im amtlichen Format und über den amtlichen Kanal ist keine Funktion, die wir behaupten.
Führt keine Resilienztests durch
Weder Szenariotests noch TLPT. Sie sind eine eigene Säule von DORA und bleiben außerhalb.
FAIR ist keine Wahrscheinlichkeit für einen Sicherheitsvorfall
Es ist eine parametrische Punktschätzung in Euro mit einem simulierten Unsicherheitsband (nicht kalibriert), mit sektoralen Parametern des Modells.
Ist keine Echtzeit
Der Agent meldet pro Zyklus, die Lieferantenscans sind periodisch und die CVE-Synchronisierung ist täglich.
Fragen zu DORA
Antworten mit dem genauen Umfang.
Erzeugt HodeiShield das Informationsregister, das der Aufsicht vorgelegt wird?
Es führt das Register Ihrer IKT-Lieferanten mit Kritikalität, Ausstiegsplänen und Prüfrecht und berechnet die Kennzahlen. Die Einreichung des Registers im amtlichen Format und über den amtlichen Kanal behaupten wir nicht: Dieser Teil bleibt Ihre Aufgabe.
Welche Unternehmen und ab wann?
DORA, die Verordnung (EU) 2022/2554, gilt seit dem 17. Januar 2025 für die in ihrem Artikel 2 aufgezählten Finanzunternehmen. Verhältnismäßigkeit und vereinfachte Regelungen hängen vom jeweiligen Unternehmen ab.
Wie wird FAIR berechnet?
Als parametrische Punktschätzung in Euro, stets begleitet von einem simulierten Unsicherheitsband (nicht kalibriert) und mit sektoralen Parametern des Modells. Es wird nicht als kalibriert oder validiert dargestellt.
Läuft es in Echtzeit?
Nein. Der Agent meldet pro Zyklus, die Lieferantenscans sind periodisch und die CVE-Synchronisierung ist täglich.
Deckt es die Resilienztests ab?
Nein. HodeiShield arbeitet am Drittparteienrisiko, an den Vorfällen und an den Kennzahlen. Die Tests der operationalen Resilienz bleiben außerhalb.
Verwandte Lösungen
Gehen Sie Ihr IKT-Register mit einem kritischen Lieferanten durch
In der Demo sehen wir einen Fall mit kritischem Lieferanten und Konzentration: vom Register über die Kennzahl bis zum Nachweis für die Aufsicht.
Unverbindlich. Beispieldaten.