DORA: Was als technischer Nachweis zählt
DORA gilt seit dem 17. Januar 2025. Der größte Teil betrifft Governance, Tests und Verträge. Ein schmaler Ausschnitt — Kryptografie, Zertifikate, das Bestandsverzeichnis und die Angaben, die Ihre Kunden aus dem Finanzsektor inzwischen schriftlich verlangen — hinterlässt Spuren, die jeder von außen beobachten kann. Dieser Leitfaden geht diesen Ausschnitt Artikel für Artikel durch und benennt ausdrücklich, wo er endet.
Verfasst vom SkyQon-Engineering-Team · Zuletzt geprüft am 6. August 2026
Was DORA tatsächlich verlangt
Der Digital Operational Resilience Act — die Verordnung (EU) 2022/2554 — ist eine Verordnung und keine Richtlinie. Es gibt keinen Umsetzungsschritt und keine nationale Variante zu prüfen: Derselbe Text gilt in jedem Mitgliedstaat, und zwar seit dem 17. Januar 2025.
Der Text gliedert sich in fünf Blöcke. Das IKT-Risikomanagement steht in den Artikeln 5 bis 16. Behandlung und Meldung von Vorfällen reichen von Artikel 17 bis Artikel 23. Tests der digitalen operationalen Resilienz umfassen die Artikel 24 bis 27. Das IKT-Drittparteienrisiko — dort begegnen die meisten Anbieter DORA zuerst — reicht von Artikel 28 über den Überwachungsrahmen bis Artikel 44. Der Informationsaustausch schließt die Reihe in Artikel 45 ab.
Zwei Bestimmungen geben den Ton an. Artikel 5 Absatz 2 verpflichtet das Leitungsorgan, den IKT-Risikomanagementrahmen festzulegen, zu genehmigen, zu überwachen und für seine Umsetzung verantwortlich zu sein — dieselbe persönliche Verantwortung, die NIS2 der Leitung in Artikel 20 auferlegt. Und Artikel 9 Absatz 1 verlangt von Finanzunternehmen, die Sicherheit und Funktionsfähigkeit ihrer IKT-Systeme fortlaufend zu überwachen und zu kontrollieren. Dieses Wort hat Gewicht: Eine als fortlaufend beschriebene Kontrolle wird nicht durch ein einmal jährlich erzeugtes Dokument belegt.
Offizieller Text: Regulation (EU) 2022/2554
Zwei Adressatenkreise — und der zweite ist meist überrascht
DORA bindet Finanzunternehmen unmittelbar — Banken, Versicherer und Rückversicherer, Wertpapierfirmen, Zahlungs- und E-Geld-Institute, Handelsplätze, Anbieter von Krypto-Dienstleistungen und den Rest der Liste in Artikel 2. Diese Unternehmen wissen, dass sie erfasst sind.
Bei IKT-Drittdienstleistern liegt der Fall anders. Sofern die Europäischen Aufsichtsbehörden Sie nicht nach Artikel 31 als kritisch einstufen, reguliert DORA Sie nicht unmittelbar. Es erreicht Sie über Ihre Kunden — und zwar deutlich. Artikel 28 Absatz 4 verlangt vom Finanzunternehmen eine Sorgfaltsprüfung vor Vertragsschluss. Artikel 28 Absatz 5 erlaubt Verträge nur mit Anbietern, die angemessene Informationssicherheitsstandards einhalten, und verlangt bei Diensten zur Unterstützung kritischer oder wichtiger Funktionen, die Nutzung der aktuellsten und hochwertigsten Informationssicherheitsstandards durch den Anbieter gebührend zu berücksichtigen. Artikel 30 legt anschließend fest, was der Vertrag enthalten muss.
Für die meisten Anbieter kommt DORA daher nicht als Schreiben einer Aufsichtsbehörde. Es kommt als Fragebogen mit fünfzig Punkten aus dem Einkauf eines Kunden, gefolgt von Vertragsklauseln, die Sie nicht entworfen haben, gefolgt vom selben Fragebogen des nächsten Kunden drei Wochen später.
Die praktische Folge sei klar benannt: Für einen Anbieter ist DORA-Bereitschaft zuerst ein Vertriebsthema und erst danach ein Compliance-Thema. Unternehmen, die schnell, einheitlich und mit einem überprüfbaren Beleg antworten, schließen schneller ab als jene, die jedes Mal die Tabelle neu öffnen.
Welche Artikel von außen beobachtbare Spuren hinterlassen
Das meiste an DORA ist von außerhalb Ihres Perimeters unsichtbar, ebenso wie das meiste an NIS2. Eine Handvoll Bestimmungen bildet die Ausnahme, denn sie regeln genau das, was ein Client, ein Browser oder ein Mailserver selbst sehen kann.
| Vorschrift | Was sie verlangt | Von außen beobachtbar |
|---|---|---|
| Art. 8 | IKT-Assets und ihre Abhängigkeiten identifizieren, klassifizieren und dokumentieren; Bestandsverzeichnisse führen und aktuell halten. | Der von außen erreichbare Teil des Bestands und die kryptografischen Identitäten, die ihn bedienen. |
| Art. 9 | Fortlaufende Überwachung und Kontrolle; Integrität und Vertraulichkeit von Daten im Ruhezustand, in Verwendung und bei der Übertragung; Sicherheit der Übertragungswege; Schutz kryptografischer Schlüssel und Verschlüsselung. | Jeder TLS-Handshake, den Ihre öffentlichen Dienste abschließen, und die Zertifikate dahinter. |
| Art. 24–25 | Ein Programm für Resilienztests; Artikel 25 Absatz 1 nennt unter den geeigneten Tests ausdrücklich Schwachstellenbewertungen und -scans, Open-Source-Analysen und Netzsicherheitsbewertungen. | Fortlaufende externe Bewertung — ein Baustein des Programms, niemals das Programm selbst. |
| Art. 26–27 | Bedrohungsgeleitete Penetrationstests für Unternehmen, die dazu verpflichtet sind, samt Anforderungen an die Tester. | Nichts. TLPT ist eine abgegrenzte Übung mit einer Vereinbarung dahinter. |
| Art. 28–30 | Ein Informationsregister über alle vertraglichen IKT-Vereinbarungen; Sorgfaltsprüfung vor Vertragsschluss; verpflichtende Vertragsinhalte. | Die eigene externe Aufstellung eines Anbieters und die meisten technischen Angaben, die eine Registerzeile benötigt. |
| RTS Art. 6 | Eine dokumentierte Richtlinie zu Verschlüsselung und kryptografischen Kontrollen, einschließlich der Frage, wie kryptografische Technologie mit dem Fortschritt der Kryptoanalyse aktualisiert wird. | Die Algorithmen, Schlüssellängen und Protokollversionen, die Ihr Bestand tatsächlich aushandelt. |
| RTS Art. 7 | Ein Verzeichnis aller Zertifikate und zertifikatsspeichernden Geräte für Assets, die kritische oder wichtige Funktionen unterstützen, sowie zeitnahe Erneuerung vor Ablauf. | Ob das Verzeichnis der Realität entspricht und ob Erneuerungen tatsächlich rechtzeitig erfolgt sind. |
Alles Übrige — Vorfallklassifizierung, Geschäftsfortführung, Ausstiegspläne, Aufsicht durch das Leitungsorgan, vertragliche Auditrechte — ist intern oder vertraglich und für ein von außen blickendes Werkzeug unsichtbar. Ein Produkt, das DORA als Ganzes nachzuweisen behauptet, beschreibt etwas, das es nicht beobachten kann.
Die RTS sind konkreter als die Verordnung
Artikel 15 DORA beauftragte die Europäischen Aufsichtsbehörden, technische Standards zur Harmonisierung der Instrumente, Methoden, Prozesse und Leitlinien des IKT-Risikomanagements zu entwickeln. Das Ergebnis ist die Delegierte Verordnung (EU) 2024/1774 der Kommission vom 13. März 2024 — dort hören die Kryptografieanforderungen auf, abstrakt zu sein.
Artikel 6 verlangt eine dokumentierte Richtlinie zu Verschlüsselung und kryptografischen Kontrollen auf Grundlage einer genehmigten Datenklassifizierung und IKT-Risikobewertung. Artikel 6 Absatz 2 legt den Umfang fest: Verschlüsselung von Daten im Ruhezustand und bei der Übertragung, von Daten in Verwendung soweit erforderlich, von internen Netzverbindungen und vom Verkehr mit externen Parteien. Artikel 6 Absatz 3 verlangt Kriterien für die Auswahl kryptografischer Verfahren unter Berücksichtigung führender Praktiken und Normen und verpflichtet ein Unternehmen, das diese nicht einhalten kann, stattdessen Minderungs- und Überwachungsmaßnahmen zu ergreifen.
Dann folgt der Absatz, den man kennen sollte. Artikel 6 Absatz 4 verlangt, dass die Richtlinie Bestimmungen zur erforderlichenfalls vorzunehmenden Aktualisierung oder Änderung der kryptografischen Technologie auf der Grundlage von Entwicklungen in der Kryptoanalyse enthält. Das ist Krypto-Agilität im europäischen Finanzrecht, Jahre bevor sich irgendjemand auf ein Datum für die Post-Quanten-Migration einigt. Artikel 6 Absatz 5 vervollständigt dies: Jede nach Absatz 3 oder 4 ergriffene Minderungsmaßnahme ist samt begründeter Erläuterung aufzuzeichnen — eine Nachweispflicht, die im Text steht und nicht erst hineingelesen werden muss.
Artikel 7 behandelt das Schlüsselmanagement, und zwei seiner Absätze sind ungewöhnlich konkret. Artikel 7 Absatz 4 verlangt ein aktuell gehaltenes Verzeichnis aller Zertifikate und zertifikatsspeichernden Geräte, das mindestens IKT-Assets zur Unterstützung kritischer oder wichtiger Funktionen umfasst. Artikel 7 Absatz 5 verlangt die zeitnahe Erneuerung von Zertifikaten vor ihrem Ablauf. Beides ist messbar, beides an der Realität überprüfbar — und beides genau die Art von Angabe, die eine Tabelle schon ein Quartal nach ihrer Erstellung nicht mehr abbildet.
Offizieller Text: Delegated Regulation (EU) 2024/1774
Warum die Richtlinie nicht der Nachweis ist
Eine Richtlinie ist eine Kontrolle auf Konzeptebene: Sie sagt, was geschehen soll. Aufsicht und Kundenprüfung fragen dagegen, was tatsächlich geschehen ist — über den gesamten Zeitraum und den gesamten Bestand. Das ist Wirksamkeit im Betrieb, und dafür braucht es einen anderen Nachweis.
DORA ist hier ungewöhnlich ausdrücklich, was das Ziel leichter erreichbar macht als bei einem Text, der lediglich eine Richtlinie verlangt. Artikel 6 Absatz 5 der RTS verlangt, Minderungsmaßnahmen aufzuzeichnen und zu begründen. Artikel 28 Absatz 3 verlangt, das Informationsregister der zuständigen Behörde auf Anfrage vorzulegen. Artikel 24 Absatz 5 verlangt Verfahren, um jedes im Test aufgedeckte Problem zu priorisieren, einzuordnen und zu beheben — ein Behebungsnachweis, keine Befundliste.
Auf den kryptografischen Bestand angewendet, wird der Unterschied greifbar. Eine Richtlinie, die starke Transportsicherheit vorschreibt, ist Konzeption. Eine Aufzeichnung, die zeigt, was jeder öffentliche Endpunkt elf Monate lang Woche für Woche ausgehandelt hat, dass vier Ausnahmen an datierten Tagen auftraten und jede innerhalb einer definierten Frist geschlossen wurde, ist Wirksamkeit im Betrieb. Nur Letztere beantwortet die Bitte „Zeigen Sie es mir“.
Das Informationsregister — und warum die Fragebögen härter geworden sind
Artikel 28 Absatz 3 verpflichtet jedes Finanzunternehmen, ein Informationsregister über alle vertraglichen Vereinbarungen zu IKT-Diensten zu führen und zu aktualisieren — auf Unternehmensebene sowie teilkonsolidiert und konsolidiert — und dabei Vereinbarungen zur Unterstützung kritischer oder wichtiger Funktionen von den übrigen zu unterscheiden. Mindestens jährlich berichten sie ihrer zuständigen Behörde über neue Vereinbarungen, Anbieterkategorien und betroffene Dienste und müssen das vollständige Register auf Anfrage vorlegen.
Ein Register taugt nur so viel wie die Angaben in seinen Zeilen, und die meisten davon gehören dem Anbieter: Rechtsträger und Kennung, Art des IKT-Dienstes, Ort der Leistungserbringung sowie Ort der Datenverarbeitung und -speicherung, Unterauftragsvereinbarungen und die Bedingungen zu Audit, Ausstieg und Datenrückgabe. Artikel 30 Absatz 2 macht mehrere davon zu ausdrücklichen Vertragspflichten — darunter die Pflicht, die betroffenen Regionen oder Länder zu benennen und den Kunden über Änderungen vorab zu informieren.
Deshalb erhalten Zulieferer des europäischen Finanzsektors heute von jedem Kunden denselben strukturierten Fragenkatalog, mehrmals im Jahr, in leicht abweichenden Vorlagen. Die Angaben ändern sich selten. Der Aufwand steckt vollständig im erneuten Beantworten.
Eine Grenze sei offen benannt: Das Register ist eine Pflicht des Finanzunternehmens und nicht delegierbar. Ein Anbieter kann sie nicht erfüllen. Er kann sie aber billig machen — die Antworten einmal veröffentlichen, aktuell halten und Nachweise beifügen, die ein Prüfer ohne Rückfrage verifizieren kann.
Die vierte Partei hinter Ihrem Drittanbieter
Artikel 29 trägt den Titel „Vorläufige Bewertung des IKT-Konzentrationsrisikos auf Unternehmensebene“, und seine beiden Absätze stellen verschiedene Fragen. Artikel 29 Absatz 1 betrifft die Konzentration auf den unmittelbaren Anbieter: Führt die Vereinbarung dazu, einen nicht leicht ersetzbaren Anbieter zu beauftragen oder mehrere kritische Vereinbarungen beim selben oder bei eng verbundenen Anbietern zu bündeln? Artikel 29 Absatz 2 betrifft, was hinter diesem Anbieter steht: Erlaubt ein Vertrag die Unterauftragsvergabe einer kritischen oder wichtigen Funktion, muss das Unternehmen Nutzen und Risiken abwägen, Unterauftragnehmer in Drittländern berücksichtigen und prüfen, ob lange oder komplexe Unterauftragsketten seine Fähigkeit zur Überwachung der Funktion überhaupt beeinträchtigen.
In der Vertrauensschicht nimmt diese abstrakte Frage eine sehr konkrete Form an. Welche Zertifizierungsstelle die Zertifikate im gesamten Bestand signiert. Auf wessen Nameserver die Zonen delegieren. Auf wessen Mail-Infrastruktur die Domains angewiesen sind. Das sind gemeinsame vorgelagerte Abhängigkeiten, die niemand bewusst vertraglich vereinbart hat, und sie konzentrieren sich unbemerkt: Ein Vertrauensentzug bei einer Zertifizierungsstelle oder ein Ausfall bei einem DNS-Anbieter reißt alles Abhängige gleichzeitig mit.
Das Nützliche daran: Genau diese Konzentration lässt sich von außen messen — für Ihren Bestand und den Ihrer Anbieter, ohne dass jemand mitwirken muss. Ob eine bestimmte Konzentration akzeptabel ist, bleibt Ihre Risikoentscheidung — aber Sie können sie nicht über eine Abhängigkeit treffen, die Sie nie gezählt haben.
Was SkyQon nachweist — genau benannt
Die DORA-Nachweise von SkyQon umfassen acht Kategorien. Jede nennt die Vorschrift, auf die sie einzahlt, und einen Abdeckungsgrad, der auf dem Dokument selbst steht; der Wortlaut stammt aus einer versionierten Zuordnung, die wörtlich in den signierten Bericht übernommen wird — was Sie hier lesen, liest ein Prüfer also auch dort.
| Nachweiskategorie | Vorschrift | Abdeckung |
|---|---|---|
| Kryptografie und Krypto-Agilität — Post-Quanten-Bereitschaft des Zertifikatsbestands und die Fähigkeit zur Migration bei fortschreitender Kryptoanalyse | Art. 9 / RTS Art. 6 | Direkt |
| Transport- und Zertifikatshygiene — Protokollversionen, Gültigkeit und Ablauf, Schlüssel- und Signaturstärke, eIDAS-Qualifizierung | Art. 9 | Direkt |
| E-Mail-Authentifizierung — SPF-, DKIM-, DMARC- und TLS-RPT-Status über die überwachten Domains | Art. 9 | Direkt |
| DNS-Sicherheit — DNSSEC, CAA und DNS-Hygiene über die überwachten Domains | Art. 9 | Direkt |
| Fortlaufender Nachweis der Angriffsfläche — Schatten-, fehlkonfigurierte und tote Assets als Zulieferung zur Schwachstellenbewertung im Testprogramm | Art. 24–25 | Unterstützend |
| Überwachungskontinuität — nachgewiesene Kontinuität der externen Überwachung über den Zeitraum | Art. 24–25 | Unterstützend |
| Verzeichnis kryptografischer Identitäten — ein dedupliziertes Verzeichnis jedes Zertifikats und jeder Identität über gescannte, automatisch erneuerte, entdeckte und Nicht-TLS-Assets | Art. 8 | Unterstützend |
| Vierte Partei und Konzentration — gemeinsame vorgelagerte Abhängigkeiten bei Zertifizierungsstelle, DNS und E-Mail und deren Konzentrationsgrad | Art. 28–30 | Unterstützend |
Vier direkt, vier unterstützend, keine als Compliance bezeichnet. Direkt bedeutet, dass unsere Telemetrie der primäre Nachweis für diese Vorschrift ist. Unterstützend bedeutet, sie ist einer von mehreren Bausteinen, die Sie weiterhin selbst zusammentragen müssen.
Auf Anbieterseite speist dieselbe Telemetrie eine teilbare Trust-Seite, die Ihre Finanzkunden ohne Konto lesen können, einen Feldsatz für das Informationsregister, den Sie einmal ausfüllen, ein generiertes Addendum nach Artikel 30 und einen signierten Nachweisbericht mit einem Inhalts-Hash, den jeder gegen unseren öffentlichen Verifier nachrechnen kann. Selbst registrierte Anbieter werden anhand derselben öffentlichen Signale bewertet, sodass sich die Konzentrationsfrage eine Ebene weiter außen stellen lässt.
Was es nicht nachweist
Die Meldung von Vorfällen nach den Artikeln 17 bis 23 liegt außerhalb des Produkts. Wir erkennen und versehen mit Zeitstempeln; wir übermitteln nichts an eine zuständige nationale Behörde. Diese Übermittlungen folgen der Abfolge nach Artikel 19 — Erstmeldung, Zwischenbericht und Abschlussbericht — auf Vorlagen und innerhalb von Fristen, die nach Artikel 20 festgelegt werden.
Bedrohungsgeleitete Penetrationstests nach den Artikeln 26 und 27 liegen vollständig außerhalb des Umfangs. Ebenso die Käuferseite des Registers: SkyQon liefert Nachweise auf Anbieterseite und ist keine Governance-Plattform, die das Informationsregister eines Finanzunternehmens für dieses führt.
Zwei Grenzen innerhalb dessen, was wir abdecken. Die Konzentrationsanalyse misst Abhängigkeiten bei Zertifizierungsstelle, DNS und E-Mail; Konzentration bei Hosting, auf Netzebene und bei Content-Delivery ist nicht enthalten, weil uns dafür eine verlässliche Quelle fehlt und eine schlechte Schlussfolgerung schlimmer wäre als eine erklärte Lücke. Und die Anbieterbewertung misst eine externe Vertrauensoberfläche — kein Security-Rating auf Basis von Breach- oder Botnet-Telemetrie; das ist eine andere Produktkategorie mit anderen Daten dahinter.
Schließlich die Rahmung. Alles wird als an DORA ausgerichtet beschrieben, nie als DORA-Konformität oder -Zertifizierung. Artikel 5 Absatz 2 legt Genehmigung und Aufsicht in die Hände Ihres Leitungsorgans, und kein Dokument irgendeines Anbieters verschiebt das.
Eine praktische Reihenfolge
- Klären Sie, auf welcher Seite des Vertrags Sie stehen. Die Pflichten treffen die Finanzunternehmen. Anbieter erben sie über die Artikel 28 bis 30. Viele Unternehmen sind beides, und die beiden Rollen brauchen aus denselben Daten unterschiedliche Nachweise.
- Bauen Sie das Zertifikatsverzeichnis auf, bevor jemand danach fragt. RTS-Artikel 7 Absatz 4 verlangt eines, das mindestens kritische oder wichtige Funktionen abdeckt und aktuell gehalten wird. Jeder ernsthafte Due-Diligence-Fragebogen bittet um dessen Beschreibung. Wochen kostet die Bestandsermittlung.
- Machen Sie den Erneuerungsnachweis zum Nebenprodukt. Artikel 7 Absatz 5 will zeitnahe Erneuerung vor Ablauf. Der Beleg ist eine datierte Aufzeichnung rechtzeitig erfolgter Erneuerungen — die man automatisch erfassen sollte, denn nachträglich lässt sie sich nicht rekonstruieren.
- Beantworten Sie die Klausel zur Krypto-Agilität mit einem Plan, nicht mit einer Behauptung. Artikel 6 Absatz 4 erwartet Regelungen zum Wechsel der kryptografischen Technologie im Takt der Kryptoanalyse. Wenn Sie das noch nicht können, erwartet Artikel 6 Absatz 5, dass Minderungsmaßnahme und Begründung schriftlich festgehalten werden. Ein Inventar dessen, was Sie heute betreiben, ist die erste Hälfte beider Antworten.
- Schreiben Sie Ihre Registerantworten einmal. Rechtsträger, Dienstart, Standorte, Unterauftragsverarbeiter, Sicherheitskontakt, Meldefristen, Wiederherstellungsziele, Ausstiegsbedingungen. Veröffentlichen Sie sie dort, wo ein Kunde sich selbst bedienen kann — dann kostet der fünfte Fragebogen so viel wie der erste: nichts.
- Zählen Sie Ihre vorgelagerte Konzentration, bevor ein Kunde es für Sie tut. Eine Zertifizierungsstelle, ein DNS-Anbieter und eine Mail-Plattform hinter einem ganzen Bestand sind eine vertretbare Entscheidung und eine unvertretbare Überraschung. Der Unterschied liegt darin, ob Sie die Zahl in die Sitzung mitgebracht haben.
Häufige Fragen
Gibt es so etwas wie eine DORA-Zertifizierung?
Nein. DORA verpflichtet Finanzunternehmen und schafft ein Überwachungsregime für nach Artikel 31 als kritisch eingestufte Anbieter. Nichts darin bescheinigt jemandem Konformität, und kein Anbieter kann einen solchen Status verleihen. Werten Sie die Behauptung als Hinweis auf den Anbieter.
Gilt DORA für mich, wenn ich einer Bank lediglich Software verkaufe?
Nicht unmittelbar, sofern Sie nicht als kritischer IKT-Drittdienstleister eingestuft sind. Es erreicht Sie über die Pflichten Ihres Kunden nach den Artikeln 28 bis 30: Sorgfaltsprüfung vor Vertragsschluss, konkrete Vertragsklauseln und eine Registerzeile, die aktuell zu halten ist.
Welcher Artikel behandelt Kryptografie?
Artikel 9 auf Ebene 1 — insbesondere Absatz 2 zu Daten im Ruhezustand, in Verwendung und bei der Übertragung, Absatz 3 Buchstabe a zur Sicherheit der Übertragungswege und Absatz 4 Buchstabe d zu Schlüsselschutz und Verschlüsselung. Das praktisch entscheidende Detail steht in den RTS: Artikel 6 zu Verschlüsselung und kryptografischen Kontrollen, Artikel 7 zu Schlüssel- und Zertifikatsmanagement.
Wo passt Post-Quanten-Kryptografie hinein?
In RTS-Artikel 6 Absatz 4, der Regelungen zur Aktualisierung kryptografischer Technologie im Takt der Kryptoanalyse verlangt. Post-Quanten-Kryptografie wird nicht namentlich genannt — das war nicht nötig. Ein Migrationsplan ist die naheliegende Antwort, und ein Inventar des heutigen Bestands ist dessen Voraussetzung.
Genügt ein externer Scan für die Artikel 24 und 25?
Nein. Artikel 25 Absatz 1 nennt Schwachstellenbewertungen und -scans unter vielen Testarten, innerhalb eines Programms, das Artikel 24 zu konzipieren, mit unabhängigen Testern durchzuführen und mindestens jährlich auf Systeme kritischer oder wichtiger Funktionen anzuwenden verlangt. Fortlaufende externe Bewertung speist es; sie ersetzt es nicht.
Worin unterscheidet sich das von NIS2?
Anderer Anwendungsbereich, andere Aufsicht, darunter aber weitgehend dieselben technischen Nachweise. DORA ist eine unmittelbar geltende Verordnung seit Januar 2025; NIS2 ist eine Richtlinie, die Sie über nationales Recht bindet. Wer bereits für das eine Nachweise erzeugt, kann das meiste davon für das andere erneut nutzen.
Den begleitenden Leitfaden lesen: NIS2 Artikel 21(2) — was als Nachweis zählt
Erzeugen Sie diesen Nachweis für Ihren eigenen Bestand
Das Add-on DORA Trust Center macht aus fortlaufender Überwachung eine teilbare Seite zur Anbieterbereitschaft, Unterstützung für das Informationsregister, ein generiertes Addendum nach Artikel 30 und einen signierten, per Hash überprüfbaren Nachweisbericht — mit ehrlich ausgewiesenen Abdeckungsgraden auf dem Dokument selbst. Es ist als Add-on in jedem kostenpflichtigen Tarif erhältlich. Beginnen Sie mit einer kostenlosen Prüfung, um zu sehen, wie Ihrer derzeit aussieht.