DORA, die Verordnung (EU) 2022/2554, gilt seit 17. Januar 2025 unmittelbar für Finanzunternehmen im Sinne von Artikel 2: Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Krypto-Dienstleister, Handelsplätze, Versicherungen und Rückversicherungen, Versicherungsvermittler ab bestimmter Größe, Einrichtungen der betrieblichen Altersversorgung, Ratingagenturen und weitere. Als kritisch eingestufte ICT-Drittdienstleister werden zusätzlich direkt beaufsichtigt. Das Verhältnismäßigkeitsprinzip in Artikel 4 erlaubt eine Umsetzung nach Größe und Risikoprofil.

Was sind die fünf Säulen von DORA?

DORA gliedert sich in fünf Säulen: ICT-Risikomanagement (Artikel 5 bis 16), Behandlung und Meldung ICT-bezogener Vorfälle (Artikel 17 bis 23), Tests der digitalen operationalen Resilienz (Artikel 24 bis 27), Management des ICT-Drittparteienrisikos (Artikel 28 bis 30) und Informationsaustausch. Die technischen Regulierungsstandards (RTS) konkretisieren unter anderem, wie oft Schwachstellen-Scans stattfinden müssen. blacklens.io unterstützt die ersten vier Säulen technisch, ersetzt aber weder Ihr ICT-Risikomanagement noch Ihre Meldeprozesse.

Wie oft müssen Schwachstellen-Scans nach DORA stattfinden?

Die RTS zum ICT-Risikomanagement-Rahmen verlangen automatisierte Schwachstellen-Scans in einer Frequenz, die der Klassifizierung und dem Risikoprofil des ICT-Assets angemessen ist, für Assets kritischer oder wichtiger Funktionen mindestens wöchentlich. blacklens.io erfasst die externe Angriffsfläche laufend und dokumentiert jeden Scan, was den Nachweis einfach macht.

Ersetzt PTaaS von blacklens.io den TLPT?

Nein. TLPT nach Artikel 26 ist ein von der Aufsicht bestimmtes Verfahren nach TIBER-EU, das ausgewählte Finanzunternehmen mindestens alle drei Jahre durchführen, mit qualifizierten Testern nach Artikel 27 und Threat-Intelligence-Anbietern. Es deckt kritische oder wichtige Funktionen in der Produktivumgebung ab. blacklens.io PTaaS unterstützt den regulären Testbedarf nach Artikel 25 und liefert Vorbereitung und Nachverfolgung für den TLPT. Wir sagen das so deutlich, weil eine Verwechslung im Audit teuer wird.

Gilt DORA auch für unseren ICT-Dienstleister?

Vertraglich ja: Artikel 30 verlangt bestimmte Vertragsinhalte mit ICT-Drittdienstleistern, darunter Sicherheitsanforderungen, Auditrechte und Ausstiegsstrategien. Direkt beaufsichtigt werden nur als kritisch eingestufte Drittdienstleister. Mit der Lieferanten-Watchlist überwachen Sie, ob ein Dienstleister von Ransomware oder Datenlecks betroffen ist.

Wie unterstützt blacklens.io das Informationsregister?

Das Register nach Artikel 28 Absatz 3 führen Sie in Ihrem GRC-Werkzeug. blacklens.io liefert Zulieferungen dafür: das Technologie- und Anbieter-Inventar, die Lieferanten-Watchlist und das Asset-Inventar als CSV, damit die technische Sicht mit der vertraglichen übereinstimmt.

Was bedeutet DORA für kleinere Institute und Versicherungsvermittler?

DORA sieht in Artikel 16 einen vereinfachten ICT-Risikomanagement-Rahmen für bestimmte kleine und nicht verflochtene Unternehmen vor, und Artikel 4 verlangt eine verhältnismäßige Umsetzung. Kontinuierliches Scanning der externen Angriffsfläche und ein dokumentierter Finding-Lebenszyklus sind auch im vereinfachten Rahmen eine belastbare Grundlage.

Compliance

DORA: ICT-Risikomanagement technisch belegen

Seit 17. Januar 2025 gilt DORA für Finanzunternehmen. blacklens.io unterlegt Inventar, Schwachstellen-Scans, Drittparteienrisiko und Tests; TLPT bleibt ein gesondertes Verfahren.

Kostenlos testen Demo buchen

DORA-Nachweiseals PDF

Asset-InventarDORA Art. 8laufend

Schwachstellen-ScansRTS (EU) 2024/1774 Art. 10wöchentlich

Lieferanten-WatchlistDORA Art. 28etwa alle 30 Min.

Pentest-ReportDORA Art. 24 und 25nach jedem Test

Was DORA verlangt

Die Verordnung (EU) 2022/2554 gilt unmittelbar, ohne nationale Umsetzung. Vier ihrer fünf Säulen betreffen die Technik direkt.

Art. 5 bis 16

ICT-Risikomanagement

Assets identifizieren, schützen und überwachen; Scans für kritische oder wichtige Funktionen mindestens wöchentlich.

Art. 17 bis 23

Vorfälle melden

ICT-bezogene Vorfälle erkennen, klassifizieren und schwerwiegende der zuständigen Behörde melden.

Art. 24 bis 27

Resilienz testen

Ein laufendes Testprogramm, für ausgewählte Unternehmen zusätzlich TLPT mindestens alle drei Jahre.

Art. 28 bis 30

ICT-Drittparteienrisiko

Dienstleister überwachen, Informationsregister führen, Verträge mit Mindestinhalten schließen.

Technische Orientierung, keine Rechtsberatung. Welche Pflichten für Sie gelten, klären Sie mit Rechtsabteilung, Auditor oder Aufsichtsbehörde.

DORA-Anforderungen auf blacklens.io abgebildet

Die Zuordnung folgt der Verordnung und den RTS zum ICT-Risikomanagement-Rahmen (Delegierte Verordnung (EU) 2024/1774).

Art. 8

Neu entdeckte Assets+4 seit gestern

beispiel-gmbh.atRoot-Domain

vpn.beispiel-gmbh.atFortiGate SSL-VPN 7.0.12Kritisch

dev-old.beispiel-gmbh.atGitLab 15.2Shadow ITHoch

mail.beispiel-gmbh.atExchange Server 2019Mittel

203.0.113.24OpenSSH 8.9NeuInfo

Art. 9; RTS Art. 10

Zuerst behebennach Risiko sortiert

1CVE-2024-21762vpn.beispiel-gmbh.atKEV

2CVE-2024-21410mail.beispiel-gmbh.atKEV

3TLS 1.0 aktivshop.beispiel-gmbh.atMittel

Art. 10; Art. 17 bis 19

Frühwarnungvor 47 Min.

CVE-2024-21762FortiOS SSL-VPNKritisch

CVE veröffentlicht08:12
2 Assets im Inventar betroffen09:00
Per PoC-Scan bestätigt09:26
Alert in Microsoft Teams09:27

Art. 24 und 25

Penetrationstestmanuell validiert

Authentifizierung umgehbarportal.beispiel-gmbh.atVerifiziert

Fremde Datensätze über API abrufbarapi.beispiel-gmbh.atRetest bestanden

Keine Begrenzung von Login-Versuchenshop.beispiel-gmbh.atIn Prüfung

Art. 28 bis 30

Lieferanten-Watchlist12 Lieferanten

Logistik Partner GmbHEintrag auf Ransomware-Leak-Site, vor 30 Min.Kritisch

Software Zulieferer AGSoftwareKeine Treffer

Muster SteuerberatungSteuerberatungKeine Treffer

Darstellungen mit Beispieldaten.

So sieht die Umsetzung aus

1
Kritische Funktionen abbilden
Domains, Cloud-Konten und Netzsegmente in den Prüfumfang aufnehmen und per Tag kennzeichnen.
2
Scan-Rhythmus festlegen
Extern laufend, Cloud wöchentlich, Sentry nach Zeitplan. Kritische Funde gehen an das ICT-Risikomanagement.
3
Drittparteien überwachen
Lieferanten aus dem Informationsregister als CSV importieren und den Leak-Site-Abgleich aktivieren.
4
Nachweise automatisieren
Berichte monatlich, Pentest-Reports je Zyklus, Query-Reports für Fragen der Aufsicht.

TLPT: was blacklens.io leistet und was nicht

TLPT nach Artikel 26 ordnet die Aufsicht für ausgewählte Finanzunternehmen an; es folgt TIBER-EU und wird von qualifizierten Testern nach Artikel 27 durchgeführt. blacklens.io ersetzt TLPT nicht, unterstützt aber davor, dazwischen und danach.

Vorbereitung
Inventar der externen Angriffsfläche und Darknet-Signale fließen in die Bedrohungsanalyse ein.
Zwischen den Zyklen
Scans und PTaaS unterstützen das regelmäßige Testprogramm nach Artikel 25.
Nachverfolgung
Funde aus dem TLPT laufen im selben Workflow bis zum Retest.

Kompromittierte Identitäten3 neue Treffer

m.hu•••@beispiel-gmbh.atStealer-Log, vor 2 Std.Mitarbeiter

Session-Cookie Microsoft 365Stealer-Log, vor 5 Std.Mitarbeiter

k.wa•••@gmx.atCombolist, vor 3 TagenKunde

Häufige Fragen

: DORA, die Verordnung (EU) 2022/2554, gilt seit 17. Januar 2025 unmittelbar für Finanzunternehmen im Sinne von Artikel 2: Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Krypto-Dienstleister, Handelsplätze, Versicherungen und Rückversicherungen, Versicherungsvermittler ab bestimmter Größe, Einrichtungen der betrieblichen Altersversorgung, Ratingagenturen und weitere. Als kritisch eingestufte ICT-Drittdienstleister werden zusätzlich direkt beaufsichtigt. Das Verhältnismäßigkeitsprinzip in Artikel 4 erlaubt eine Umsetzung nach Größe und Risikoprofil.
: DORA gliedert sich in fünf Säulen: ICT-Risikomanagement (Artikel 5 bis 16), Behandlung und Meldung ICT-bezogener Vorfälle (Artikel 17 bis 23), Tests der digitalen operationalen Resilienz (Artikel 24 bis 27), Management des ICT-Drittparteienrisikos (Artikel 28 bis 30) und Informationsaustausch. Die technischen Regulierungsstandards (RTS) konkretisieren unter anderem, wie oft Schwachstellen-Scans stattfinden müssen. blacklens.io unterstützt die ersten vier Säulen technisch, ersetzt aber weder Ihr ICT-Risikomanagement noch Ihre Meldeprozesse.
: Die RTS zum ICT-Risikomanagement-Rahmen verlangen automatisierte Schwachstellen-Scans in einer Frequenz, die der Klassifizierung und dem Risikoprofil des ICT-Assets angemessen ist, für Assets kritischer oder wichtiger Funktionen mindestens wöchentlich. blacklens.io erfasst die externe Angriffsfläche laufend und dokumentiert jeden Scan, was den Nachweis einfach macht.
: Nein. TLPT nach Artikel 26 ist ein von der Aufsicht bestimmtes Verfahren nach TIBER-EU, das ausgewählte Finanzunternehmen mindestens alle drei Jahre durchführen, mit qualifizierten Testern nach Artikel 27 und Threat-Intelligence-Anbietern. Es deckt kritische oder wichtige Funktionen in der Produktivumgebung ab. blacklens.io PTaaS unterstützt den regulären Testbedarf nach Artikel 25 und liefert Vorbereitung und Nachverfolgung für den TLPT. Wir sagen das so deutlich, weil eine Verwechslung im Audit teuer wird.
: Vertraglich ja: Artikel 30 verlangt bestimmte Vertragsinhalte mit ICT-Drittdienstleistern, darunter Sicherheitsanforderungen, Auditrechte und Ausstiegsstrategien. Direkt beaufsichtigt werden nur als kritisch eingestufte Drittdienstleister. Mit der Lieferanten-Watchlist überwachen Sie, ob ein Dienstleister von Ransomware oder Datenlecks betroffen ist.
: Das Register nach Artikel 28 Absatz 3 führen Sie in Ihrem GRC-Werkzeug. blacklens.io liefert Zulieferungen dafür: das Technologie- und Anbieter-Inventar, die Lieferanten-Watchlist und das Asset-Inventar als CSV, damit die technische Sicht mit der vertraglichen übereinstimmt.
: DORA sieht in Artikel 16 einen vereinfachten ICT-Risikomanagement-Rahmen für bestimmte kleine und nicht verflochtene Unternehmen vor, und Artikel 4 verlangt eine verhältnismäßige Umsetzung. Kontinuierliches Scanning der externen Angriffsfläche und ein dokumentierter Finding-Lebenszyklus sind auch im vereinfachten Rahmen eine belastbare Grundlage.

Weiterführende Seiten

Compliance & Audit

Überblick über NIS2, ISO 27001, TISAX, DORA und KRITIS.

Supply-Chain-Monitoring

ICT-Drittparteien gegen Ransomware und Darknet abgleichen.

Penetration Testing

PTaaS für das Testprogramm nach Artikel 25.

ISO 27001

Annex-A-Controls mit denselben Nachweisen belegen.

DORA-Nachweise ohne Tabellenpflege

Sehen Sie in einer Demo, wie Inventar, wöchentliche Scans und Drittparteien-Überwachung dokumentiert werden. Oder starten Sie mit Ihren Domains.

Demo buchen 14 Tage kostenlos testen

14 Tage kostenlos, voller Funktionsumfang
Keine Kreditkarte nötig
Erste Funde besprechen wir gemeinsam

DORA: ICT-Risiko­management technisch belegen