Wie Sie mit der DORA-Umsetzung mithilfe von KI beginnen

Übersicht

Sie erfahren, wie Sie KI nutzen können, um die Umsetzung des Digital Operational Resilience Act (DORA) zu beschleunigen – von der Feststellung, ob DORA auf Ihr Unternehmen zutrifft, bis zur Sicherung der Unterstützung auf Vorstandsebene, der Durchführung einer umfassenden Gap-Analyse gegenüber allen fünf DORA-Säulen und der Erstellung eines praktischen Umsetzungsfahrplans mit ISMS Copilot.

Zielgruppe

Dieser Leitfaden richtet sich an:

• Compliance-Beauftragte und Risikomanager bei Finanzinstituten, die sich auf DORA vorbereiten
• CISOs und IT-Leiter, die für das IKT-Risikomanagement in regulierten Finanzdienstleistungen verantwortlich sind
• Berater, die Banken, Versicherungen, Investmentfirmen und Zahlungsinstitute bei der DORA-Compliance beraten
• IKT-Drittanbieter, die gemäß DORAs Aufsichtsrahmen als kritisch eingestuft werden
• Vorstandsmitglieder und Führungskräfte, die ihre DORA-Governance-Pflichten verstehen möchten

Vorbereitungen

Sie benötigen:

• Ein ISMS Copilot-Konto (kostenlose Testversion verfügbar)
• Eine Kopie der Verordnung (EU) 2022/2554 (der DORA-Text) als Referenz
• Zugriff auf die aktuelle Dokumentation Ihres Unternehmens zum IKT-Risikomanagement
• Ein Verständnis Ihres Unternehmenstyps und der regulatorischen Einstufung nach EU-Finanzdienstleistungsrecht
• Zugang zu Vorstands- und Führungsebenen für Governance-Diskussionen
• Etwa 6–12 Monate für die vollständige Umsetzung (variiert je nach Unternehmensgröße und -komplexität)

DORA verstehen und warum KI wichtig ist

Was ist DORA?

Der Digital Operational Resilience Act (Verordnung (EU) 2022/2554) ist eine EU-Verordnung, die einen einheitlichen Rahmen für das Management von IKT-Risiken im Finanzsektor schafft. Veröffentlicht am 27. Dezember 2022 und anwendbar ab dem 17. Januar 2025, stellt DORA sicher, dass Finanzinstitute IKT-bedingten Störungen und Cyber-Bedrohungen standhalten, darauf reagieren und sich davon erholen können.

Im Gegensatz zu früheren Leitlinien und Richtlinien ist DORA eine direkt anwendbare Verordnung in allen EU-Mitgliedstaaten, was bedeutet, dass es keine Unterschiede bei der nationalen Umsetzung gibt. Die Verordnung legt verbindliche Anforderungen in fünf Säulen fest:

Säule

DORA-Artikel

Schwerpunkt

Hauptanforderung

1. IKT-Risikomanagement

Artikel 6–16

Rahmenwerk, Governance, Richtlinien

Umfassendes IKT-Risikomanagement-Rahmenwerk, genehmigt vom Leitungsorgan

2. Incident Reporting

Artikel 17–23

Klassifizierung, Meldung, Analyse

Meldung schwerwiegender IKT-Vorfälle innerhalb von 4 Stunden (erste Meldung), 72 Stunden (Zwischenmeldung), 1 Monat (abschließende Meldung)

3. Resilienz-Tests

Artikel 24–27

Testprogramm, TLPT

Regelmäßige Tests einschließlich TLPT alle 3 Jahre für bestimmte Unternehmen

4. IKT-Risiko durch Dritte

Artikel 28–30

Lieferantenmanagement, Verträge, Konzentrationsrisiko

Verzeichnis aller IKT-Drittanbieter mit verbindlichen Vertragsklauseln

5. Informationsaustausch

Artikel 45

Cyber-Bedrohungsinformationen

Freiwillige Teilnahme an Vereinbarungen zum Austausch von Bedrohungsinformationen

Wer muss DORA einhalten?

DORA gilt für eine breite Palette von Finanzinstituten, die in Artikel 2 definiert sind, darunter:

• Kreditinstitute (Banken)
• Zahlungsinstitute und E-Geld-Institute
• Wertpapierfirmen und Verwaltungsgesellschaften
• Anbieter von Krypto-Dienstleistungen
• Versicherungs- und Rückversicherungsunternehmen
• Betriebliche Pensionsfonds
• Ratingagenturen
• Handelsplätze und zentrale Gegenparteien
• Kritische IKT-Drittanbieter, die von europäischen Aufsichtsbehörden benannt werden

Die traditionelle Herausforderung bei der DORA-Umsetzung

Die Umsetzung von DORA ist anspruchsvoll aufgrund ihres Umfangs und ihrer Spezifität:

• Mehrsäuliger Umfang: Fünf miteinander verbundene Bereiche erfordern koordinierte Anstrengungen in den Bereichen IT, Risiko, Compliance, Recht und Betrieb
• Intensive Governance: Das Leitungsorgan trägt die direkte Verantwortung für das IKT-Risikomanagement (Artikel 5) und erfordert eine durchgehende Einbindung auf Vorstandsebene
• Dokumentationsvolumen: IKT-Risikomanagement-Rahmenwerke, Incident-Response-Verfahren, Testprogramme, Drittanbieterverzeichnisse und Vertragsanpassungen
• Strikte Meldefristen: Das 4-Stunden-Fenster für die erste Meldung schwerwiegender Vorfälle erfordert vorab erstellte Prozesse und Vorlagen
• Komplexität bei Drittanbietern: Überprüfung und Neuverhandlung jedes IKT-Anbietervertrags auf DORA-verpflichtende Klauseln
• Regulatorische technische Standards: Sich weiterentwickelnde RTS und ITS von EBA, ESMA und EIOPA fügen Details und Komplexität hinzu

Wie KI die DORA-Umsetzung beschleunigt

ISMS Copilot revolutioniert die DORA-Umsetzung, indem es Folgendes bietet:

• Regulatorisches Fachwissen auf Abruf: Zugang zu umfassendem DORA-Wissen, einschließlich artikelweiser Anleitung und RTS-Interpretation
• Schnelle Erstellung von Richtlinien: Entwurf von IKT-Risikomanagement-Richtlinien, Incident-Klassifizierungsmatrizen und Vorlagen für Drittanbieterbewertungen in Minuten
• Beschleunigte Gap-Analyse: Hochladen bestehender Dokumentation und Erhalt gezielter Gap-Bewertungen gegenüber spezifischen DORA-Artikeln
• Rahmenwerk-übergreifende Zuordnung: Verständnis, wie Ihre bestehenden ISO 27001-, NIS2- oder NIST-CSF-Kontrollen bereits DORA-Anforderungen erfüllen
• Konsistente Qualität: Erstellung prüfungsreifer Dokumentation, die über alle fünf Säulen hinweg abgestimmt bleibt
• Vorstandsreife Materialien: Erstellung von Governance-Berichten, Risikozusammenfassungen und Vorstandsbriefings, die auf Führungsebenen zugeschnitten sind

Schritt 1: Bestimmen Sie Ihren DORA-Anwendungsbereich

Anwendbarkeit bestätigen

Bevor Sie in die Umsetzung investieren, müssen Sie bestätigen, dass DORA auf Ihr Unternehmen zutrifft, und das Ausmaß Ihrer Verpflichtungen verstehen. Dies umfasst die Prüfung von Artikel 2 (Anwendungsbereich) und Artikel 4 (Verhältnismäßigkeit).

1. Öffnen Sie ISMS Copilot unter chat.ismscopilot.com

2. Bewerten Sie Ihren Unternehmenstyp:

   "Bewerten Sie die DORA-Anwendbarkeit für unser Unternehmen. Wir sind ein [Unternehmenstyp, z. B. Zahlungsinstitut / Versicherungsunternehmen / Wertpapierfirma], ansässig in [Land]. Wir bieten [Beschreibung der Dienstleistungen] für [Kundentypen] an. Wir haben [Anzahl] Mitarbeiter und einen Jahresumsatz von [Betrag]. Bestimmen Sie, welche DORA-Kapitel auf uns zutreffen, ob Verhältnismäßigkeitsbestimmungen gemäß Artikel 16 verfügbar sind und ob wir für Ausnahmen infrage kommen."

3. Regulatorische Beziehungen abbilden:

   "Identifizieren Sie unsere zuständige nationale Behörde für die DORA-Compliance basierend auf unserem Unternehmenstyp als [Unternehmenstyp], tätig in [EU-Mitgliedstaat]. Erläutern Sie die aufsichtsrechtlichen Erwartungen und Meldepflichten, die für unsere Aufsichtsbehörde spezifisch sind."

4. Status als IKT-Drittanbieter bewerten:

   "Wir bieten [Cloud-Dienste / Managed Security / Datenanalysen] für [Anzahl] Finanzinstitute in der EU an. Bewerten Sie, ob wir gemäß DORA-Artikeln 31–44 als kritischer IKT-Drittanbieter benannt werden könnten. Welche Kriterien verwenden die europäischen Aufsichtsbehörden für die Benennung, und welche zusätzlichen Verpflichtungen würden gelten?"

Das Verhältnismäßigkeitsprinzip verstehen

DORA gilt verhältnismäßig, was bedeutet, dass Tiefe und Komplexität Ihrer Umsetzung dem Profil Ihres Unternehmens entsprechen sollten. Nutzen Sie ISMS Copilot, um zu verstehen, wo vereinfachte Ansätze möglich sind:

"Erläutern Sie das Verhältnismäßigkeitsprinzip von DORA gemäß Artikel 4 für ein [Unternehmenstyp] mit [Größenmerkmalen]. Welche DORA-Anforderungen können wir in vereinfachter Form umsetzen? Wo müssen wir unabhängig von der Größe die vollen Anforderungen erfüllen? Erstellen Sie eine Verhältnismäßigkeitsbewertungsmatrix."

Schritt 2: Sichern Sie die Unterstützung auf Vorstandsebene

Warum die Verantwortung des Leitungsorgans unverhandelbar ist

Artikel 5 von DORA weist die Verantwortung für das IKT-Risikomanagement explizit dem Leitungsorgan (Vorstand oder Äquivalent) zu. Dies ist keine delegierbare Pflicht. Das Leitungsorgan muss:

• Das IKT-Risikomanagement-Rahmenwerk definieren, genehmigen, überwachen und dafür verantwortlich sein
• Die IKT-Risikotoleranz festlegen
• IKT-Geschäftskontinuitätspläne und Notfallwiederherstellungspläne genehmigen
• IKT-Prüfpläne und Ergebnisse der internen Prüfung genehmigen und überprüfen
• Ausreichendes Budget und Ressourcen für die IKT-Sicherheit bereitstellen
• Über IKT-Vorfälle und die Reaktion darauf informiert werden
• Eine angemessene Schulung absolvieren, um IKT-Risiken zu verstehen und zu bewerten

Den DORA-Geschäftsfall mit KI aufbauen

Nutzen Sie ISMS Copilot, um Materialien für die Vorstandsebene vorzubereiten:

1. Erstellen Sie eine Executive-Briefing:

   "Erstellen Sie eine Executive-Briefing auf Vorstandsebene zur DORA-Compliance für ein [Unternehmenstyp] mit [Größe]. Enthalten sein sollten: regulatorischer Überblick, unsere spezifischen Verpflichtungen, Strafen bei Nichteinhaltung (bis zu 2 % des weltweiten Jahresumsatzes), strategische Vorteile der Compliance, geschätzter Zeitplan und Budget für die Umsetzung sowie wichtige Entscheidungen, die das Leitungsorgan treffen muss. Format für eine 30-minütige Vorstandspräsentation."

2. Bereiten Sie eine Risikobewertung für den Vorstand vor:

   "Erstellen Sie eine Risikobewertung der DORA-Nichteinhaltung zur Vorstandsprüfung. Enthalten sein sollten: regulatorisches Risiko (Geldstrafen, Sanktionen, Lizenzentzug), operationelles Risiko (unbewältigte IKT-Bedrohungen), Reputationsrisiko (öffentliche Durchsetzungsmaßnahmen) und Wettbewerbsrisiko (Unfähigkeit, EU-Finanzmärkte zu bedienen). Quantifizieren Sie, wo möglich, für ein [Unternehmenstyp] unserer Größe."

3. Definieren Sie die Governance-Struktur:

   "Definieren Sie eine DORA-Governance-Struktur für ein [Unternehmenstyp] mit [Anzahl] Mitarbeitern. Enthalten sein sollten: Verantwortlichkeiten des Leitungsorgans gemäß Artikel 5, Rollen des CISO/CRO, Geschäftsordnung des IKT-Risikoausschusses, Berichtslinien an den Vorstand, Schulungsanforderungen für Mitglieder des Leitungsorgans zu IKT-Risiken und eine RACI-Matrix, die alle fünf DORA-Säulen abdeckt."

Einrichtung des Schulungsprogramms für das Leitungsorgan

Artikel 5(4) verlangt, dass Mitglieder des Leitungsorgans spezifische Schulungen absolvieren, um mit IKT-Risiken Schritt zu halten. Nutzen Sie ISMS Copilot, um dieses Programm zu gestalten:

"Gestalten Sie ein Schulungsprogramm für das Leitungsorgan zu IKT-Risiken, das DORA-Artikel 5(4) erfüllt. Enthalten sein sollten: Schulungsthemen (IKT-Risikolandschaft, DORA-Verpflichtungen, Vorfallszenarien, Drittanbieterrisiken), Durchführungsformat, Häufigkeit, Bewertungsmethoden und Anforderungen an die Dokumentation. Anpassen an Vorstandsmitglieder aus der [Branche], die möglicherweise keinen technischen Hintergrund haben."

Schritt 3: Führen Sie Ihre DORA-Gap-Analyse durch

Strukturierung der Gap-Analyse über fünf Säulen

Eine gründliche Gap-Analyse vergleicht Ihre aktuellen Praktiken im IKT-Risikomanagement mit jeder DORA-Anforderung. Dies ist die Grundlage Ihres Umsetzungsfahrplans. Strukturieren Sie Ihre Analyse um die fünf Säulen von DORA und bewerten Sie jede systematisch.

1. Bereiten Sie Ihre Dokumentation zum aktuellen Stand vor:

   Sammeln Sie Ihre bestehenden IKT-Richtlinien, Risikoregister, Incident-Response-Verfahren, Testberichte und Verträge mit Drittanbietern. Laden Sie diese in ISMS Copilot hoch, um eine kontextbezogene Analyse zu ermöglichen.

2. Führen Sie die umfassende Gap-Analyse durch:

   "Führen Sie eine umfassende DORA-Gap-Analyse für unser [Unternehmenstyp] durch. Hier ist unser aktueller Stand in den fünf Säulen: IKT-Risikomanagement: [Beschreibung des aktuellen Rahmenwerks, Richtlinien, Governance]. Incident Reporting: [Beschreibung der aktuellen Incident-Response- und Meldefähigkeiten]. Resilienz-Tests: [Beschreibung der aktuellen Testaktivitäten]. IKT-Risiko durch Dritte: [Beschreibung der aktuellen Lieferantenmanagement-Praktiken]. Informationsaustausch: [Beschreibung der Teilnahme an Bedrohungsinformationen]. Bewerten Sie für jeden DORA-Artikel innerhalb jeder Säule: aktuellen Compliance-Status (konform, teilweise konform, nicht konform), spezifische Lücken, Risikobewertung (kritisch, hoch, mittel, niedrig), Aufwand für die Behebung und Priorität."

3. Vertiefende Analyse jeder Säule:

   "Für DORA-Säule 1 (IKT-Risikomanagement, Artikel 6–16) führen Sie eine artikelweise Gap-Analyse durch. Listen Sie für jeden Artikel die spezifischen Anforderungen, die Nachweise, die wir zur Demonstration der Compliance benötigen, und wo unsere aktuellen [Beschreibung der Praktiken] Defizite aufweisen. Priorisieren Sie nach regulatorischem Risiko."

Nutzung bestehender Rahmenwerke

Wenn Ihr Unternehmen bereits nach ISO 27001 zertifiziert ist, dem NIST CSF folgt oder NIS2 einhält, können Sie bestehende Kontrollen den DORA-Anforderungen zuordnen, um zu identifizieren, was Sie bereits umgesetzt haben:

"Ordnen Sie unsere bestehenden ISO 27001:2022-Kontrollen den DORA-Anforderungen in allen fünf Säulen zu. Geben Sie für jeden DORA-Artikel an: welche ISO 27001-Kontrollen die Anforderungen teilweise oder vollständig erfüllen, Lücken, die ISO 27001 nicht abdeckt (insbesondere Meldefristen für Vorfälle, TLPT und Anforderungen an das Drittanbieterverzeichnis), und zusätzlichen Aufwand, der erforderlich ist. Stellen Sie dies als Kreuzreferenzmatrix dar."

"Wir erfüllen auch NIS2 für unseren [Sektor]. Ordnen Sie unsere NIS2-Compliance-Maßnahmen den DORA-Anforderungen zu und identifizieren Sie, wo DORA über NIS2 hinausgeht, insbesondere im IKT-Risikomanagement durch Dritte und bei Resilienz-Tests."

Priorisierung von Lücken nach Risiko und Aufwand

Nutzen Sie ISMS Copilot, um Ihre Gap-Analyse in eine umsetzbare Prioritätenmatrix zu verwandeln:

"Erstellen Sie basierend auf den Ergebnissen der DORA-Gap-Analyse eine Priorisierungsmatrix für die Behebung. Bewerten Sie jede Lücke nach: regulatorischem Risiko (Wahrscheinlichkeit und Schwere von Durchsetzungsmaßnahmen), Umsetzungsaufwand (Zeit, Kosten, Komplexität), Abhängigkeiten von anderen Aktivitäten und Potenzial für schnelle Erfolge. Gruppieren Sie in: Sofortmaßnahmen (0–3 Monate), kurzfristige Maßnahmen (3–6 Monate) und mittelfristige Maßnahmen (6–12 Monate)."

Schritt 4: Richten Sie Ihren ISMS Copilot-Arbeitsbereich für DORA ein

Erstellen eines dedizierten DORA-Arbeitsbereichs

Die Organisation Ihrer DORA-Umsetzung in einem dedizierten Arbeitsbereich stellt sicher, dass alle KI-Interaktionen den Kontext Ihres Unternehmens berücksichtigen und konsistente Ergebnisse liefern.

1. Melden Sie sich bei ISMS Copilot unter chat.ismscopilot.com an
2. Klicken Sie auf das Arbeitsbereichs-Dropdown in der Seitenleiste
3. Wählen Sie "Neuen Arbeitsbereich erstellen"
4. Benennen Sie Ihren Arbeitsbereich mit einer klaren Konvention:

• "DORA-Umsetzung - [Unternehmensname]"
• "DORA-Compliance-Programm 2025"
• "Kunde: [Name] - DORA-Projekt"

5. Fügen Sie benutzerdefinierte Anweisungen hinzu, um alle KI-Antworten anzupassen:

Konzentrieren Sie sich auf die DORA-Compliance (Verordnung (EU) 2022/2554) für ein Finanzinstitut vom Typ [Unternehmenstyp].

Organisationskontext:
- Unternehmenstyp: [z. B. Kreditinstitut, Zahlungsinstitut, Versicherungsunternehmen]
- Größe: [Mitarbeiter, verwaltete Vermögenswerte, Jahresumsatz]
- EU-Präsenz: [Mitgliedstaaten, Niederlassungen, grenzüberschreitende Dienstleistungen]
- Zuständige Behörde: [nationale Aufsichtsbehörde]
- Technologie-Stack: [Kernbanksystem, Cloud-Anbieter, kritische IKT-Dienste]
- Bestehende Rahmenwerke: [ISO 27001 / NIS2 / EBA-Leitlinien / NIST CSF]
- Aktuelle Reife: [Beschreibung der IKT-Risikomanagement-Reife]

Projektziele:
- Compliance-Status: [Neuumsetzung / Nachbesserung / Verbesserung]
- Hauptprioritäten: [Incident Reporting / Drittanbieterrisiko / TLPT-Vorbereitung]
- Einbindung des Vorstands: [erste Sensibilisierung / aktiv beteiligt / geschult]
- Zeitplan: [Zieldatum für den Abschluss]

Präferenzen:
- Betonen Sie prüfungsreife, aufsichtsbehördengerichtete Ausgaben
- Verweisen Sie auf spezifische DORA-Artikel und RTS/ITS, wo zutreffend
- Berücksichtigen Sie die Verhältnismäßigkeit basierend auf unserer Unternehmensgröße und unserem Risikoprofil
- Geben Sie Anleitungen zur Beweiserhebung für aufsichtsrechtliche Prüfungen
- Verknüpfen Sie mit verwandten EU-Finanzdienstleistungsvorschriften, wo relevant

Organisation der Gespräche nach Säulen

Erstellen Sie separate Gesprächsstränge innerhalb Ihres Arbeitsbereichs für jede DORA-Säule:

• Governance und Rahmenwerk: Verantwortlichkeiten des Leitungsorgans, IKT-Risikostrategie, Organisationsstruktur
• IKT-Risikomanagement: Risikoidentifikation, Schutzmaßnahmen, Erkennung, Reaktion, Wiederherstellung
• Incident Reporting: Klassifizierung, Meldung, Ursachenanalyse, Lessons Learned
• Resilienz-Tests: Testprogramm, Schwachstellenbewertungen, TLPT-Vorbereitung
• IKT-Risiko durch Dritte: Anbieterverzeichnis, Verträge, Konzentrationsrisiko, Exit-Strategien

Diese Struktur spiegelt die eigene Organisation von DORA wider und erleichtert das Auffinden spezifischer Arbeitsergebnisse bei der Vorbereitung auf aufsichtsrechtliche Prüfungen.

Schritt 5: Erstellen Sie Ihren DORA-Umsetzungsfahrplan

Phasen der Umsetzung verstehen

Eine gut strukturierte DORA-Umsetzung folgt aufeinander aufbauenden Phasen:

Phase

Wichtige Aktivitäten

DORA-Artikel

Typische Dauer

Grundlagen

Anwendungsbereichsbewertung, Vorstandsverpflichtung, Governance-Struktur, Gap-Analyse

Art. 2, 4, 5

4–8 Wochen

IKT-Risikorahmenwerk

Risikomanagement-Rahmenwerk, Richtlinien, Asset-Inventar, Kontrollen

Art. 6–16

8–12 Wochen

Incident-Management

Klassifizierungskriterien, Meldeverfahren, Vorlagen, Eskalation

Art. 17–23

4–6 Wochen

Resilienz-Tests

Testprogramm, Schwachstellenbewertungen, TLPT-Vorbereitung

Art. 24–27

6–10 Wochen

Risiko durch Dritte

Anbieterverzeichnis, Vertragsprüfung, Konzentrationsrisiko, Exit-Pläne

Art. 28–30

8–12 Wochen

Integration und Überprüfung

Abstimmung über alle Säulen, Überprüfung durch das Leitungsorgan, Prüfungsbereitschaft

Alle

4–6 Wochen

Erstellen Sie Ihren maßgeschneiderten Fahrplan mit KI

Fragen Sie in Ihrem DORA-Arbeitsbereich:

"Erstellen Sie einen detaillierten DORA-Umsetzungsfahrplan für unser [Unternehmenstyp] mit [Beschreibung von Größe und Komplexität]. Wir haben [Beschreibung bestehender Rahmenwerke und Reife]. Unsere wichtigsten Lückenbereiche sind [Liste aus der Gap-Analyse]. Enthalten sein sollten: Phasenaufschlüsselung mit spezifischen Meilensteinen, Ergebnisse für jede Phase, zugeordnet zu DORA-Artikeln, Ressourcenanforderungen (VZÄ, Budgetschätzungen, Bedarf an externer Unterstützung), Abhängigkeiten zwischen Phasen und Aktivitäten, Risikofaktoren und Minderungsstrategien sowie parallele Arbeitsströme, wo möglich. Format als strukturierter Projektplan."

Folgen Sie mit spezifischen Planungsanfragen:

• "Unterteilen Sie die Phase des IKT-Risikorahmenwerks in zweiwöchentliche Sprints mit spezifischen Ergebnissen und verantwortlichen Rollen"
• "Identifizieren Sie, welche DORA-Umsetzungsaktivitäten parallel über die Säulen hinweg durchgeführt werden können, um unseren Zeitplan zu beschleunigen"
• "Erstellen Sie einen Ressourcenallokationsplan, der zeigt, welche Teammitglieder (CISO, Compliance, Recht, IT-Betrieb) in jeder Phase und zu welchem Zeitanteil benötigt werden"
• "Listen Sie die Top 10 Quick Wins auf, die wir in den ersten 30 Tagen der DORA-Umsetzung erreichen können, um dem Vorstand Fortschritte zu demonstrieren"

Häufige Umsetzungsrisiken angehen

Bitten Sie ISMS Copilot, Ihnen zu helfen, gängige DORA-Umsetzungsherausforderungen vorherzusehen und zu mindern:

"Welche sind die häufigsten DORA-Umsetzungsfehler, die bei [Unternehmenstyp]-Organisationen beobachtet werden? Geben Sie für jedes Risiko an: Ursache, Warnsignale, Minderungsstrategien und Notfallpläne. Berücksichtigen Sie Herausforderungen in den Bereichen Vorstandseinbindung, Neuverhandlung von Verträgen mit Drittanbietern, TLPT-Logistik, Vorbereitung auf Incident Reporting und abteilungsübergreifende Koordination."

Festlegung von KPIs und Fortschrittsverfolgung

Definieren Sie messbare Indikatoren, um den Fortschritt Ihrer DORA-Umsetzung zu verfolgen:

"Definieren Sie eine Reihe von KPIs und Metriken, um den Fortschritt der DORA-Umsetzung für die Vorstandsberichterstattung zu verfolgen. Enthalten sein sollten: Compliance-Abdeckungsprozentsatz pro Säule, Rate der Lückenschließung, Fertigstellungsgrad der Richtliniendokumentation, Status der Vertragsanpassungen mit Drittanbietern, Vorbereitungsstand des Testprogramms, Reife der Incident-Response-Fähigkeiten und Schulungsabschlussraten. Geben Sie Zielwerte und Messhäufigkeit an."

Schritt 6: Richten Sie Ihr DORA-Dokumentationsrahmenwerk ein

Erforderliche Dokumentation unter DORA

DORA verlangt umfangreiche Dokumentation über alle fünf Säulen hinweg. Die frühzeitige Einrichtung Ihres Dokumentationsrahmenwerks gewährleistet Konsistenz und Vollständigkeit:

"Erstellen Sie ein DORA-Dokumentationsinventar, das jedes von der Verordnung (EU) 2022/2554 geforderte Dokument auflistet. Geben Sie für jedes Dokument an: den DORA-Artikel, der es verlangt, Dokumententitel, Zweck, Verantwortlicher, Überprüfungsfrequenz, Genehmigungsinstanz und Aufbewahrungsanforderungen. Organisieren Sie nach Säulen und geben Sie an, welche Dokumente wir von Grund auf neu erstellen müssen und welche wir aus bestehenden [ISO 27001 / NIS2]-Dokumenten anpassen können."

Typische Schlüsseldokumente umfassen:

• IKT-Risikomanagement-Rahmenwerk (Artikel 6)
• IKT-Sicherheitsrichtlinien (Artikel 9)
• IKT-Asset-Inventar und -Klassifizierung (Artikel 8)
• IKT-Geschäftskontinuitätsrichtlinie (Artikel 11)
• IKT-Notfallwiederherstellungsplan (Artikel 11)
• Verfahren zur Klassifizierung und Meldung von Vorfällen (Artikel 17–20)
• Programm für digitale operationelle Resilienztests (Artikel 24)
• Verzeichnis der IKT-Drittanbieter (Artikel 28)
• IKT-Risikorichtlinie für Dritte (Artikel 28)
• Exit-Strategien für kritische IKT-Anbieter (Artikel 28)
• Schulungsunterlagen des Leitungsorgans (Artikel 5)
• Berichte zur Nachbereitung von Vorfällen (Artikel 13)

Einrichtung von Dokumentvorlagen und -standards

Nutzen Sie ISMS Copilot, um standardisierte Vorlagen zu erstellen, die die Konsistenz Ihrer DORA-Dokumentation gewährleisten:

"Erstellen Sie einen DORA-Dokumentvorlagenstandard für unsere Organisation. Enthalten sein sollten: Standarddokumentstruktur (Zweck, Geltungsbereich, Rollen, Verfahren, Überprüfung), Versionskontrollanforderungen, Genehmigungsworkflow, Klassifizierungs- und Handhabungsmarkierungen, Querverweiskonventionen zu DORA-Artikeln und Integration in unser bestehendes [Dokumentenmanagementsystem]. Stellen Sie eine Vorlage für IKT-Risikomanagementrichtlinien als Beispiel bereit."

Nächste Schritte in Ihrer DORA-Umsetzung

Sie haben nun die Grundlage für Ihr DORA-Compliance-Programm geschaffen:

• DORA-Anwendbarkeit und -Umfang für Ihr Unternehmen bestätigt
• Unterstützung auf Vorstandsebene mit Artikel-5-Governance-Struktur gesichert
• Umfassende Gap-Analyse über alle fünf Säulen abgeschlossen
• ISMS Copilot-Arbeitsbereich für DORA-spezifische Arbeiten konfiguriert
• Umsetzungsfahrplan mit phasenweisen Meilensteinen erstellt
• Dokumentationsrahmenwerk eingerichtet

Setzen Sie Ihre DORA-Umsetzung mit den nächsten Leitfäden dieser Serie fort:

• Wie Sie ein DORA-IKT-Risikomanagement-Rahmenwerk mit KI aufbauen – Vertiefung in die Artikel 6–16, die Risikoidentifikation, Schutz, Erkennung, Reaktion, Wiederherstellung und kontinuierliche Verbesserung abdecken
• Wie Sie DORA-Incident-Reporting mit KI umsetzen – Beherrschen Sie die Meldefristen von 4 Stunden/72 Stunden/1 Monat mit Klassifizierungsmatrizen und Meldevorlagen
• Wie Sie DORA-Resilienztests mit KI planen – Gestalten Sie Ihr Testprogramm einschließlich Schwachstellenbewertungen, Penetrationstests und TLPT-Vorbereitung
• Wie Sie das DORA-IKT-Risiko durch Dritte mit KI managen – Erstellen Sie Ihr Anbieterverzeichnis, überprüfen Sie Verträge, bewerten Sie Konzentrationsrisiken und entwickeln Sie Exit-Strategien

Für einsatzbereite Prompts zu jedem DORA-Artikel siehe die DORA-Compliance-Prompt-Bibliothek. Für einen hochrangigen regulatorischen Überblick verweisen Sie auf den DORA-Compliance-Leitfaden für Finanzinstitute.

Hilfe erhalten

Für zusätzliche Unterstützung bei Ihrer DORA-Umsetzung:

• Fragen Sie ISMS Copilot: Nutzen Sie Ihren dedizierten DORA-Arbeitsbereich für laufende Fragen, während Sie jede Säule durcharbeiten
• Dokumente hochladen: Erhalten Sie gezielte Gap-Analysen, indem Sie Ihre bestehenden IKT-Richtlinien, Risikoregister und Verträge mit Anbietern hochladen
• Rahmenwerke zuordnen: Bitten Sie ISMS Copilot, Ihre bestehende ISO 27001- oder NIS2-Compliance den DORA-Anforderungen zuzuordnen
• Ausgaben überprüfen: Überprüfen Sie immer die von KI generierte DORA-Dokumentation anhand des Verordnungstextes und der relevanten RTS/ITS, bevor Sie sie an Ihre zuständige Behörde übermitteln