Präzise Scope-Bestimmung für DORA-Compliance
Der DORA-Anwendungsbereich umfasst 20 Arten von Finanzunternehmen, von Kreditinstituten und Versicherern bis hin zu Krypto-Dienstleistern und IKT-Drittanbietern.
Der Digital Operational Resilience Act (DORA) definiert einen spezifischen Anwendungsbereich, der verschiedene Kategorien von Finanzinstituten und deren Drittanbieter umfasst. Eine präzise Scope-Bestimmung ist entscheidend für die Entwicklung einer effektiven Compliance-Strategie und die Vermeidung regulatorischer Risiken.
Wir bieten umfassende Unterstützung bei der Bestimmung und Verwaltung des DORA-Anwendungsbereichs. Unser systematischer Ansatz gewährleistet eine vollständige Erfassung aller relevanten Entitäten und Services sowie eine effiziente Umsetzung der entsprechenden Compliance-Anforderungen.
6 Leistungsbausteine
Systematische Analyse und Klassifizierung aller Entitäten innerhalb Ihrer Organisation zur Bestimmung der DORA-Anwendbarkeit und spezifischen Anforderungen.
Umfassende Bewertung Ihres Drittanbieter-Ökosystems zur Identifikation kritischer IKT-Services und deren DORA-Implikationen.
Spezialisierte Analyse für internationale Konzernstrukturen zur Bestimmung der DORA-Anwendbarkeit in verschiedenen Jurisdiktionen.
Aufbau robuster Governance-Strukturen und Prozesse für die kontinuierliche Verwaltung und Überwachung des DORA-Anwendungsbereichs.
Etablierung systematischer Monitoring-Prozesse zur Gewährleistung der kontinuierlichen Aktualität und Vollständigkeit Ihrer DORA-Scope-Bestimmung.
Umfassende Bewertung Ihrer aktuellen Compliance-Position und Identifikation spezifischer Handlungsfelder basierend auf Ihrem individuellen DORA-Scope.
5 Phasen
Wir entwickeln mit Ihnen eine maßgeschneiderte Strategie zur präzisen Bestimmung und kontinuierlichen Verwaltung Ihres DORA-Anwendungsbereichs.
Ansprechpartner
Sarah Richter
Head of Informationssicherheit, Cyber Security
10+ Jahre Erfahrung, CISA, CISM, Lead Auditor, DORA, NIS2, BCM, Cyber- und Informationssicherheit
Eine präzise DORA-Scope-Bestimmung ist das Fundament jeder erfolgreichen Compliance-Strategie. Unsere systematische Herangehensweise gewährleistet, dass alle relevanten Entitäten und Abhängigkeiten erfasst werden, während gleichzeitig praktikable und effiziente Umsetzungswege entwickelt werden.
Eine unvollständige oder fehlerhafte Scope-Bestimmung kann zu erheblichen Compliance-Lücken führen. Besonders bei komplexen Konzernstrukturen und umfangreichen Drittanbieter-Ökosystemen ist eine systematische, dokumentierte Herangehensweise unerlässlich.
5 FRAGEN, KURZ BEANTWORTET
DORA erfasst nahezu alle regulierten Finanzunternehmen in der EU: Kreditinstitute, Wertpapierfirmen, Versicherungen, Zahlungs- und E-Geld-Institute, Krypto-Dienstleister und weitere in Art. 2 abschließend aufgezählte Kategorien. Zusätzlich fallen kritische IKT-Drittanbieter, die diese Unternehmen beliefern, unter die direkte EU-Aufsicht. Wer im Einzelfall betroffen ist, sollte anhand der eigenen Zulassungsart konkret geprüft werden, da die Liste sehr granular ist.
Ja, DORA sieht ein Proportionalitätsprinzip vor: Kleine und nicht komplexe Unternehmen können vereinfachte Anforderungen an bestimmte Elemente des IKT-Risikomanagements erfüllen. Das betrifft vor allem den Umfang und die Frequenz mancher Dokumentations- und Testpflichten, nicht aber die grundsätzliche Pflicht zur Umsetzung, eine vollständige Befreiung von DORA gibt es für regulierte Finanzunternehmen nicht.
Direkt reguliert werden nur als kritisch eingestufte IKT-Drittanbieter, die von der EU-Aufsicht (ESAs) benannt werden, für sie gelten eigene, direkte Aufsichtspflichten. Alle übrigen IKT-Drittanbieter fallen nicht direkt unter DORA, sind aber indirekt betroffen, da ihre Finanzunternehmens-Kunden vertragliche Anforderungen aus Art. 28‑30 an sie weiterreichen müssen.
DORA gilt grundsätzlich pro rechtlich eigenständiger, regulierter Einheit, nicht automatisch für den gesamten Konzern. Nicht-regulierte Konzerngesellschaften fallen nur dann unter DORA, wenn sie selbst eine erfasste Finanzdienstleistung erbringen oder als konzerninterner IKT-Dienstleister für regulierte Einheiten tätig sind, dann greifen die Drittanbieteranforderungen konzernintern.
DORA sieht keine automatische Übergangsfrist für neu hinzukommende Unternehmen vor, etwa durch Lizenzerwerb oder Wachstum über einen Schwellenwert. In der Praxis sollte die Umsetzung parallel zum Lizenzierungs- oder Zulassungsprozess vorbereitet werden, da die Aufsichtsbehörde in der Regel erwartet, dass die Anforderungen ab dem Zeitpunkt der Erfassung erfüllt sind, nicht erst nach einer Schonfrist.
Unsere Kunden vertrauen auf unsere Expertise in digitaler Transformation, Informationssicherheit, Compliance und Risikomanagement
Vereinbaren Sie jetzt ein strategisches Beratungsgespräch mit unseren Experten
Strategiegespräch buchen30 Minuten • Unverbindlich • Sofort verfügbar
Direkte Hotline für Entscheidungsträger
Strategische Anfragen per E-Mail
Für komplexe Anfragen oder wenn Sie spezifische Informationen vorab übermitteln möchten