Digitale operationale Resilienz für Finanzunternehmen — durchgängig automatisiert.
DORA verlangt von EU-Finanzunternehmen, ICT-Risikomanagement, Vorfallmeldung, Resilienztests und Drittparteien-Aufsicht jederzeit nachweisen zu können. Lojycal verwandelt jede Säule in einen live signierten Evidenz-Stream — damit der nächste Aufsichtsdialog ein Fünf-Minuten-Export ist, kein Sechs-Wochen-Projekt.
Was DORA wirklich verlangt
Verordnung (EU) 2022/2554 gilt seit dem 17. Januar 2025. Fünf Säulen, alle durchsetzbar, alle prüfbar durch EZB, EBA, ESMA, EIOPA oder die nationale Behörde.
ICT-Risikomanagement-Rahmen
Dokumentiertes, vom Leitungsorgan freigegebenes Rahmenwerk: Identifikation, Schutz, Erkennung, Reaktion, Wiederherstellung, Lernen und Kommunikation.
Meldung ICT-bezogener Vorfälle
Schwerwiegende Vorfälle nach RTS klassifiziert, mit Erst-, Zwischen- und Abschlussbericht innerhalb der Aufsichtsfristen.
Test der digitalen operationalen Resilienz
Risikobasiertes Testprogramm, fortgeschrittene TLPT (bedrohungsorientierte Penetrationstests) für signifikante Unternehmen alle drei Jahre.
ICT-Drittparteien-Risiko
Informationsregister zu vertraglichen Vereinbarungen mit ICT-Drittparteien — aktuell zu halten, an die Behörde meldbar.
Die Lojycal DORA-Engine
Vier verbundene Workspaces erzeugen jedes Artefakt, das die zuständige Behörde — oder Ihre ICT-Drittpartei — verlangt.
ICT-Risikoregister
Risikoinventar gemäß DORA-RTS-Taxonomie: ICT-Assets, Abhängigkeiten, Kritikalität, Behandlung, Restrisiko — vom Leitungsorgan unterzeichnet.
Trust Center
Vorfall-Klassifizierer & Report-Builder
Erkennungen fließen in das Vorfall-Ledger. Klassifizierung gegen DORA-Kriterien (betroffene Kunden, Dauer, geografische Verbreitung, Datenverluste, wirtschaftliche Auswirkung) automatisiert.
SIEM + Incident Ledger
TPP-Register
Informationsregister zu Drittanbietern, im exakten RTS-Template — Tagging kritisch-oder-wichtiger Funktionen, Unter-Outsourcing, Exit-Strategie.
Vendor Governance
Resilienztest-Ledger
Test-Inventar: Schwachstellenscans, Performance-Tests, Source-Code-Reviews, Szenario-Tests, TLPT. Jedes Ergebnis verknüpft mit Remediation-Tickets und Re-Test-Nachweis.
Trust Center → Pentest & Hardening
DORA-Säulen → Lojycal-Controls
Lojycal erzeugt automatisch Evidenz für die Mehrheit der DORA-Pflichten aus Titel II–V. Eine Auswahl:
| DORA-Bereich | Beispiel-Pflicht | Lojycal-Quelle |
|---|---|---|
| Titel II — ICT-Risiko | Art. 6 — ICT-Risikomanagement-Rahmen | Trust Center → Risk + Posture |
| Titel II — ICT-Risiko | Art. 9 — Schutz & Prävention (Krypto, Zugriff) | KMS + RBAC + AAL2 |
| Titel II — ICT-Risiko | Art. 12 — Backup, Restoration & Recovery | Asset Lifecycle + Backup-Evidenz |
| Titel III — Vorfälle | Art. 17 — ICT-Vorfallmanagement-Prozess | SIEM + Incident Ledger |
| Titel III — Vorfälle | Art. 19 — Meldung an Behörden (Erst/Zwischen/Abschluss) | Incident Ledger → Report Builder |
| Titel IV — Testing | Art. 24 — Resilienz-Testprogramm | Trust Center → Pentest & Reviews |
| Titel V — Drittparteien | Art. 28 — Informationsregister | Vendor Governance → TPP-Register |
| Titel V — Drittparteien | Art. 30 — Vertragliche Schlüsselbestimmungen & Exit-Strategie | Vendor Governance → Contract Ledger |
Stichprobe — nicht vollständig. Abdeckung hängt von aktivierten Modulen und Konnektoren ab.
Aufseher erwarten maschinenlesbare Evidenz
DORA gibt zuständigen Behörden und dem Lead Overseer für kritische ICT-Anbieter (CTPPs) weitreichende Informationsrechte. Das Informationsregister hat ein striktes RTS-Template — und es wird mit tausenden anderen verglichen.
Lojycal schreibt jeden Workflow-Lauf, jede Vier-Augen-Entscheidung, jede Vertragsänderung in ein WORM-Audit-Log (write-once, read-many). Das Trust Center bündelt gewählte Zeitfenster in ein signiertes Evidence Pack — JSON, CSV und PDF mit abgesetzter HMAC-Signatur je Organisation — und das TPP-Register exportiert im exakten ESA-RTS-Layout, bereit zur Einreichung.
Von der Gap-Analyse zur Aufsichtsreife — 90-Tage-Pfad
Die meisten Finanzunternehmen behandeln DORA noch als Dokumentationsübung. Lojycal komprimiert es in ein Quartal — Evidenz und TPP-Register erzeugen sich selbst.
- Tag 0–30
Phase 1 — Rahmen & Scope
Scope bestätigen (Kreditinstitut, Zahlungsinstitut, Versicherer etc.). DORA-Rahmen auf bestehende ICT-Controls mappen. Lojycal füllt Risikoregister vor und identifiziert kritisch-oder-wichtige Funktionen.
- Tag 31–60
Phase 2 — Vorfall & TPP-Register
SIEM/EDR-Egress mit Vorfall-Klassifizierer verbinden. TPP-Register aus Vertragsdaten und Lieferanteninventar befüllen. Kritisch-oder-wichtige Vereinbarungen taggen.
- Tag 61–90
Phase 3 — Testing & Aufsichts-Probelauf
Ersten Resilienz-Testzyklus durchlaufen. Signiertes Evidence Pack und TPP-Register-Export erzeugen. Erst-/Zwischen-/Abschluss-Meldefluss gegen ein Major-Incident-Szenario proben.
DORA Automation — häufige Fragen
Was ist DORA Automation?
DORA Automation bezeichnet die Praxis, ICT-Risikoregister-Einträge, Vorfallmeldungen, das Informationsregister zu ICT-Drittparteien-Vereinbarungen und Resilienztest-Evidenz direkt aus den live betriebenen Systemen zu erzeugen — statt sie vor jedem Aufsichtsdialog manuell zu bauen. Lojycal automatisiert alle vier Säulen durchgängig.
Gilt DORA für mein Unternehmen?
DORA gilt für eine breite Palette von EU-Finanzunternehmen: Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Krypto-Asset-Dienstleister, Zentralverwahrer, zentrale Gegenparteien, Handelsplätze, Versicherer, Rückversicherer, EbAV und weitere nach Artikel 2. Außerdem gilt es für vom Lead Overseer benannte kritische ICT-Drittanbieter (CTPPs).
Wie handhabt Lojycal das Informationsregister zu ICT-Drittparteien-Vereinbarungen?
Lojycals Vendor-Governance-Modul erzeugt das Register im exakten ESA-RTS-Template — jede vertragliche Vereinbarung, mit Kritikalitäts-Tag (kritisch-oder-wichtige Funktion oder nicht), Unter-Outsourcing-Kette, geografischer Datenverarbeitung und Exit-Strategie. Das Register wird täglich regeneriert und ist auf Abruf exportierbar.
Was ist mit TLPT (Threat-Led Penetration Testing)?
Signifikante Unternehmen müssen mindestens alle drei Jahre TLPT durchführen, durch unabhängige Tester. Lojycal führt das TLPT nicht selbst durch, nimmt aber seine Outputs auf — Scope, Threat-Szenarien, Findings, Remediation — in das Pentest-Modul des Trust Centers, wo jedes Finding mit einem Remediation-Ticket, einem Re-Test und einem signierten Abschluss verknüpft ist.
Wie werden schwerwiegende Vorfälle klassifiziert und gemeldet?
Erkennungen aus SIEM, EDR und SaaS-Konnektoren fließen in das Vorfall-Ledger. Lojycal wendet die DORA-RTS-Klassifizierungskriterien an (betroffene Kunden/Gegenparteien, Reputationsauswirkung, Dauer, geografische Verbreitung, Datenverluste, wirtschaftliche Auswirkung) und hebt Vorfälle hervor, die die Major-Incident-Schwelle überschreiten. Erst-, Zwischen- und Abschlussberichte werden im offiziellen Template vorausgefüllt.
Wie unterscheidet sich DORA von NIS2 in dem, was Lojycal automatisiert?
DORA ist Lex specialis für den EU-Finanzsektor — seine ICT-Vorfallmeldung und Drittparteien-Regeln gehen NIS2 für in-scope-Unternehmen vor. Die zugrundeliegende Evidenz (Vorfall-Timeline, Vendor-Register, Controls) ist in Lojycal weitgehend gemeinsam, aber DORA-Outputs folgen den strikten ESA-RTS-Templates und gehen in unterschiedliche Aufsichtskanäle (EZB / EBA / ESMA / EIOPA / nationale Behörde).
Den Aufsichtsdialog zum Export machen, nicht zum Projekt.
Jedes ICT-Risiko. Jeder schwerwiegende Vorfall. Jede Drittparteien-Vereinbarung. Eine signierte Source of Truth.