02 / Compliance und Zertifizierung
DORA, für die Systeme, die das Geld bewegen
Wir helfen Finanzunternehmen, ihr IKT-Risikomanagement an der Verordnung zu messen, Vorfallsbehandlung und Dienstleistersteuerung zu straffen und die Resilienztests durchzuführen, die dahinterstehen.
Überblick
Was DORA von Ihnen verlangt
Die Verordnung über die digitale operationale Resilienz im Finanzsektor (DORA), Verordnung (EU) 2022/2554, gilt für eine breite Palette von Finanzunternehmen. Sie verlangt einen IKT-Risikomanagementrahmen in der Verantwortung des Leitungsorgans, die Klassifizierung und Meldung schwerwiegender IKT-bezogener Vorfälle, ein Programm zum Testen der digitalen operationalen Resilienz und die Steuerung des Risikos durch IKT-Drittdienstleister.
Anders als NIS-2 ist DORA eine Verordnung und gilt unmittelbar in allen Mitgliedstaaten. Die Einzelheiten stehen in technischen Standards und in den Erwartungen Ihrer zuständigen Behörde, und die Verhältnismäßigkeit zählt: Ein kleines Institut schuldet nicht dasselbe wie eine Großbank.
Black Fox ist weder Kanzlei noch Aufsicht. Bedrohungsorientierte Penetrationstests (TLPT), die für bestimmte Unternehmen vorgeschrieben sind, folgen einem eigenen Rahmenwerk mit Anforderungen an die Tester und unter Beteiligung der Behörde. Als TLPT-Anbieter treten wir nicht auf. Wir unterstützen bei den Tests und der Vorbereitung rund darum.
Für wen es gedacht ist
Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Versicherer, Anbieter von Krypto-Dienstleistungen und die weiteren Finanzunternehmen, die DORA nennt. Außerdem IKT-Dienstleister, die für sie arbeiten und deren Fragen, Prüfungen und Vertragsklauseln beantworten müssen.
Die Arbeit, von der Abgrenzung des Umfangs bis zu den Nachweisen.
Was wir tun
Gap-Analyse des IKT-Risikomanagements
Eine Prüfung Ihres Rahmens gegen die Verordnung: Governance, Identifizierung von IKT-Assets und Funktionen, Schutz, Erkennung, Reaktion und Wiederherstellung sowie Lernen aus Vorfällen.
Vorfallsmanagement und Meldung
Ein Prozess, um schwerwiegende IKT-bezogene Vorfälle zu erkennen, zu klassifizieren und zu melden, mit klaren Zuständigkeiten und einem Entscheidungsweg, der auch unter Druck funktioniert.
Resilienztests
Tests, die zu Ihrer Größe und Ihrem Risiko passen, zum Beispiel Schwachstellenbewertungen, Netzwerk- und Anwendungs-Penetrationstests, szenariobasierte Tests und Quellcodeprüfungen, mit Nachverfolgung bis zur Behebung.
IKT-Drittparteienrisiko
Unterstützung beim Informationsregister zu vertraglichen Vereinbarungen, bei Dienstleisterbewertungen, Vertragsklauseln und Ausstiegsplänen für Anbieter, die kritische oder wichtige Funktionen unterstützen.
Betriebskontinuität
IKT-Geschäftsfortführungs- und Wiederherstellungspläne, die getestet und nicht nur geschrieben sind und abbilden, wovon Ihre kritischen Funktionen tatsächlich abhängen.
Leitungsorgan
Schulungen und Briefings, damit das Leitungsorgan den Rahmen, für den es verantwortlich ist, festlegen, billigen und überwachen kann.
So läuft der Auftrag ab
Auftakt
Wir vereinbaren Umfang, beteiligte Gesellschaften und Ansprechpartner und unterzeichnen auf Wunsch vorab eine Vertraulichkeitsvereinbarung.
Bestandsaufnahme
Wir erfassen Ihre kritischen oder wichtigen Funktionen, die IKT-Systeme dahinter und die Dienstleister, die sie betreiben.
Gap-Analyse
Interviews, Dokumentenprüfung und technische Stichproben gegen die Verordnung, am Ende ein priorisierter Bericht.
Begleitung der Umsetzung
Wir arbeiten mit Ihren Verantwortlichen an Rahmenwerk, Vorfallsprozess, Dienstleistersteuerung und Notfallplänen.
Tests
Vorab vereinbarte Resilienztests mit Management- und technischem Bericht sowie Proofs of Concept für jede Feststellung.
Übergabe und Nachbetreuung
Empfehlungen und ein Behebungsplan, danach auf Wunsch Nachtests und regelmäßige Überprüfungen, während das Programm reift.
Was Sie erhalten
- Gap-Analyse gegen die Anforderungen von DORA
- Priorisierter Behebungsplan
- Verfahren zur Klassifizierung und Meldung von Vorfällen
- Zuarbeit für Ihr Informationsregister zu IKT-Dienstleistern
- Berichte zu Resilienztests mit Proofs of Concept
- Schulungsunterlagen für das Leitungsorgan
Black Fox bereitet Sie vor und unterstützt Sie, stellt aber selbst keine Zertifikate, Testate oder offiziellen Bewertungen aus. Ist ein Zertifikat oder Bericht das Ziel, koordinieren wir das Audit mit unseren langjährigen Zertifizierungspartnern oder einer Stelle Ihrer Wahl, sodass die Arbeit in einem Auftrag von Anfang bis Ende läuft.
Fragen
Führen Sie TLPT durch?
Nein. Bedrohungsorientierte Penetrationstests nach DORA betreffen von den Behörden bestimmte Unternehmen und folgen einem Rahmenwerk mit besonderen Anforderungen an die Tester und den Ablauf. Wir helfen bei der Arbeit rund darum, etwa Vorbereitung, weitere Resilienztests und Behebung von Feststellungen.
Worin unterscheidet sich DORA von NIS-2?
DORA ist eine Verordnung speziell für den Finanzsektor und gilt unmittelbar in der gesamten EU. NIS-2 ist eine sektorübergreifende Richtlinie und wirkt über nationales Recht. Für Finanzunternehmen im Anwendungsbereich von DORA hat DORA beim IKT-Risiko Vorrang.
Wir nutzen einen Cloud-Anbieter. Ist das unser Problem oder seins?
Beides. Für ausgelagerte Risiken bleiben Sie verantwortlich. DORA verlangt, Dienstleister zu bewerten, bestimmte Klauseln zu vereinbaren, ein Register der Vereinbarungen zu führen und den Ausstieg zu planen. Bestimmte kritische Anbieter werden zusätzlich direkt auf EU-Ebene beaufsichtigt.
Macht uns ein Penetrationstest DORA-konform?
Kein einzelner Test tut das. Tests sind ein Teil der Verordnung, neben Risikomanagement, Meldewesen und Drittparteienrisiko. Ein Test liefert Nachweise und eine Liste von Dingen, die zu beheben sind.
Verwandte Leistungen
- Offensive SicherheitPenetrationstestsPenetrationstests von Black Fox Security: Black-, Grey- und White-Box-Tests im vereinbarten Umfang, Management- und Technikbericht sowie Nachtest Ihrer Korrekturen.
- Governance und RisikoLieferantenrisikomanagementLieferantenrisikomanagement mit Black Fox Security: Inventar, Einstufung, Fragebögen, Prüfung von Nachweisen und Vertragsklauseln, ausgerichtet an NIS2 und DORA.
- Governance und RisikoNotfallmanagement und WiederherstellungBCP und DRP mit Black Fox Security: Business-Impact-Analyse, Notfall- und Wiederanlaufpläne, Tests von Backup und Wiederherstellung und Planspiele, die den Plan prüfen.
- Compliance und ZertifizierungNIS-2NIS-2 mit Black Fox Security: Betroffenheitsprüfung, Gap-Analyse gegen die Risikomanagementmaßnahmen, Meldeprozess, Lieferkette und Schulung der Leitung.
Beginnen Sie mit den Funktionen, auf die es ankommt
Sagen Sie uns, welche Art von Unternehmen Sie sind und was bereits vorhanden ist. Wir zeigen Ihnen, wo Verordnung und Rahmenwerk auseinandergehen.