DORA-Compliance für die Netzwerkinfrastruktur
Der Digital Operational Resilience Act (EU 2022/2554) verpflichtet Finanzunternehmen, IKT-Risiken zu steuern, ihre Resilienz zu testen und Vorfälle präzise zu melden. ConnectMyAssets unterstützt Sie bei der Netzwerkseite von DORA: ein vollständiges Inventar der IKT-Assets, laufende Compliance-Richtlinien, Konfigurationshistorie und Audit-Nachweise, alles On-Premises.
DORA-Nachweise für Ihr IKT-Netz.
Warum DORA-Compliance für Finanznetze zählt
DORA gilt für mehr als 22.000 Finanzunternehmen und IKT-Drittdienstleister in der EU und ist seit dem 17. Januar 2025 anzuwenden.
Kapitel II, IKT-Risikomanagement
Die Artikel 5 bis 16 verlangen einen umfassenden Rahmen für das IKT-Risikomanagement. Finanzunternehmen müssen alle IKT-Assets einschließlich der Netzwerkkomponenten identifizieren, klassifizieren und dokumentieren, Abhängigkeiten abbilden und Schutz- und Präventionsmaßnahmen umsetzen.
Kapitel III, Meldung von Vorfällen
Die Artikel 17 bis 23 verlangen die Klassifizierung IKT-bezogener Vorfälle nach festgelegten Kriterien (Dauer, Datenverlust, Auswirkungen auf Dienste) und ihre Meldung an die zuständigen Behörden innerhalb strenger Fristen. Protokolle der Netzwerkänderungen und Konfigurationsstände sind dabei entscheidende Nachweise.
Kapitel IV, Resilienztests
Die Artikel 24 bis 27 verlangen regelmäßige Tests der digitalen operationalen Resilienz, darunter Schwachstellenbewertungen und, für bedeutende Unternehmen, bedrohungsorientierte Penetrationstests (TLPT). Die Prüfung der Netzwerkkonfiguration und Failover-Tests sind zentrale Bestandteile.
Kapitel V, Drittparteienrisiko
Die Artikel 28 bis 44 schaffen einen Rahmen für das Management des Risikos durch IKT-Drittdienstleister. Finanzunternehmen müssen ein Register aller vertraglichen Vereinbarungen mit IKT-Drittdienstleistern führen und das Konzentrationsrisiko bewerten, insbesondere für kritische oder wichtige Funktionen.
DORA-Compliance-Funktionen für das Netzwerk
Kontrollen der Netzwerkinfrastruktur, den Kapiteln und Artikeln der DORA-Verordnung zugeordnet.
Inventar und Klassifizierung der IKT-Assets (Art. 8)
Ein zustandsloser Discovery-Durchlauf und die agentenlose Erfassung per SSH halten ein aktuelles Inventar von Routern, Switches, Firewalls und Access Points: Modell, Seriennummer, Firmware, Schnittstellen, VLANs, LLDP/CDP-Nachbarn. Kritikalität, benutzerdefinierte Attribute und Gerätegruppen klassifizieren jedes Gerät, und die tatsächliche Karte der verbundenen Geräte wird bei jedem Scan neu aufgebaut.
Schutz- und Präventionsrichtlinien (Art. 9)
Bilden Sie Ihre IKT-Sicherheitsrichtlinie als Compliance-Regeln ab: integrierter Katalog plus beliebige eigene Regeln in der Bedingungssprache. Die Regeln werden von Gerätegruppen geerbt, mit 0 bis 100 gewichtet und laufend ausgewertet. Firewall-Regelwerke werden auf verdeckte, widersprüchliche und any/any-Regeln analysiert.
Erkennung und Nachweise zu Vorfällen (Art. 10, 17 bis 19)
Soron erkennt Konfigurationsänderungen bei jedem regelmäßigen Scan (bis zu alle 5 Minuten), dazu unbekannte Geräte, MAC/IP-Wechsel, verbotene offene Ports und nicht erreichbare Hosts. Alarme erscheinen in der Anwendung, per E-Mail, Syslog oder Webhook. Konfigurationshistorie und Audit-Trail liefern Ihnen zeitgestempelte Nachweise für die Klassifizierung und Meldung von Vorfällen.
Sicherung und Wiederherstellung (Art. 11 und 12)
Jede Gerätekonfiguration wird per SSH erfasst, mit vollständiger Historie und zeilengenauem Diff zwischen zwei beliebigen Versionen. Zur Wiederherstellung spielen Sie eine frühere Version per ZTP erneut auf das Gerät ein. Resilienztests lassen sich leicht überprüfen: Vergleichen Sie die Konfiguration vor und nach dem Test.
Schwachstellen und Hersteller-Lebenszyklus (Art. 9, 28)
Firmware-Versionen werden mit CVEs aus der Cloud-Infrastruktur von ConnectMyAssets abgeglichen (CISA KEV, EPSS, EUVD mit dem Hinweis der ENISA). End of Life und End of Support werden mit Budgetprognosen verfolgt, sodass Herstellerkonzentration und Veralterung in Ihr Register der Drittparteienrisiken einfließen.
Berichte und Dashboards (Art. 5)
Anpassbare Dashboards, je Benutzergruppe geteilt, zeitgesteuerte E-Mail-Berichte für das Management, Druck und PDF-Export, CSV- und NDJSON-Exporte für Ihr GRC-Werkzeug. Jede Zahl öffnet die zugrunde liegenden Zeilen, sodass Vorstand und Prüfer dieselben Zahlen sehen.
In drei Schritten zur DORA-Compliance Ihres Netzwerks
Bewerten: IKT-Assets erfassen und Lücken erkennen
Installieren Sie ConnectMyAssets On-Premises, starten Sie eine Discovery und erfassen Sie Ihre Geräte per SSH. Inventar, integrierte Compliance-Richtlinien, Firewall-Analyse und CVE-Abgleich liefern Ihnen einen ersten, bewerteten Überblick über die Lücken gegenüber Ihrem IKT-Risikorahmen.
Umsetzen: Kontrollen und Funktionstrennung
Schreiben Sie die Regeln Ihrer Sicherheitsrichtlinie, sperren Sie sie für die richtigen Gruppen und trennen Sie Aufgaben mit 81 Berechtigungen, verschachtelten Benutzergruppen und SSO (LDAP, Active Directory, OpenID Connect) mit MFA. Schließen Sie die Lücken mit eigenen Skripten, mit Vorschau, Risikoregeln und Vorher-Nachher-Diff.
Aufrechterhalten: laufende Bewertung und Berichte
Die Compliance wird laufend ausgewertet, mit 365 Tagen Historie. Bei Abweichungen werden Alarme ausgelöst, zeitgesteuerte Berichte erreichen das Management, und Exporte versorgen Ihr aufsichtliches Meldewesen und die Auswertung Ihrer Resilienztests.
Zugehörige Funktionen der Plattform
FAQ zur DORA-Compliance
Häufige Fragen zur Einhaltung der DORA-Verordnung in der Netzwerkinfrastruktur.
Für wen gilt DORA?
DORA gilt für 21 Kategorien von Finanzunternehmen, darunter Kreditinstitute, Wertpapierfirmen, Versicherungsunternehmen, Zahlungsinstitute, Anbieter von Krypto-Dienstleistungen und Handelsplätze. Die Verordnung gilt auch für kritische IKT-Drittdienstleister, die von den Europäischen Aufsichtsbehörden (ESAs) benannt werden.
Ab wann ist DORA verbindlich?
DORA ist am 16. Januar 2023 in Kraft getreten, mit einer Umsetzungsfrist von zwei Jahren. Seit dem 17. Januar 2025 gilt die Verordnung unmittelbar in allen EU-Mitgliedstaaten. Anders als eine Richtlinie ist DORA eine Verordnung und muss nicht in nationales Recht umgesetzt werden: Sie gilt direkt.
Worin unterscheidet sich DORA von NIS2 für Finanzinstitute?
DORA ist eine sektorspezifische Verordnung (lex specialis) für den Finanzsektor, NIS2 dagegen eine sektorübergreifende Richtlinie. Wo die Anforderungen von DORA mindestens so streng sind wie die von NIS2, erfüllen Finanzunternehmen stattdessen DORA. DORA enthält genauere Vorgaben zu IKT-Risikomanagement, Klassifizierung von Vorfällen, Resilienztests und Überwachung von Drittdienstleistern als NIS2.
Welchen Rahmen für das IKT-Risikomanagement verlangt DORA?
Kapitel II (Artikel 5 bis 16) verlangt einen umfassenden Rahmen für das IKT-Risikomanagement, der Folgendes umfasst: Identifizierung und Klassifizierung der IKT-Assets (Art. 8), Schutz- und Präventionsmaßnahmen (Art. 9), Erkennungsfähigkeiten (Art. 10), Reaktions- und Wiederherstellungsverfahren (Art. 11), Sicherungsrichtlinien und Wiederherstellung (Art. 12) sowie Lern- und Weiterentwicklungsprozesse (Art. 13).
Welche Meldepflichten für Vorfälle sieht DORA vor?
Artikel 19 von DORA verpflichtet Finanzunternehmen, IKT-Vorfälle nach Kriterien wie Auswirkungen auf Kunden, Dauer, geografische Ausbreitung, Datenverluste und Kritikalität der betroffenen Dienste zu klassifizieren. Schwerwiegende Vorfälle sind den zuständigen Behörden mit einer Erstmeldung, einem Zwischenbericht und einem Abschlussbericht zu melden. Die genauen Fristen sind in technischen Regulierungsstandards (RTS) festgelegt.
Verlangt DORA Penetrationstests?
Ja. Artikel 26 verpflichtet bedeutende Finanzunternehmen, mindestens alle drei Jahre bedrohungsorientierte Penetrationstests (TLPT) nach dem TIBER-EU-Rahmenwerk durchzuführen. Alle Finanzunternehmen müssen nach Artikel 25 regelmäßige IKT-Schwachstellenbewertungen und szenariobasierte Tests durchführen. Die Prüfung der Netzwerkkonfiguration gehört in der Regel zum Testumfang.
DORA-Compliance für Ihr Netzwerk erreichen
Erfahren Sie, wie ConnectMyAssets Finanzinstitute mit automatisierter Netzwerk-Governance und IKT-Risikomanagement bei der Erfüllung der DORA-Anforderungen unterstützt.