Gilt DORA, wenn wir nur einen Cloud-Provider nutzen?

Ja. Konzentrationsrisiko auf einen Provider muss DORA-konform bewertet und dokumentiert werden. Single-Cloud ist legitim - undokumentierte Abhängigkeit ist das Problem.

Ist DORA-Readiness dasselbe wie eine Zertifizierung?

Nein. Es gibt kein DORA-Zertifikat. Readiness heißt: Rahmen, Nachweise und Verträge halten einer aufsichtlichen Prüfung stand.

DORA-Readiness-Checkliste (Tool)

Nur zur Selbsteinschätzung. Es gibt kein DORA-Zertifikat; Readiness heißt, Rahmen und Nachweise halten einer aufsichtlichen Prüfung stand.

Säule 1: IKT-Risikomanagement

Aktuelles Inventar der IKT-Assets und Cloud-Accounts, mit Verantwortlichen.
Dokumentierte Identifikation kritischer Funktionen und unterstützender Systeme.
Nachweise zum Zugriffsmanagement: SSO, Least Privilege, Joiner-Mover-Leaver, keine geteilten Langzeit-Credentials.
Backup- und Restore-Richtlinie mit Nachweisen aus getesteten Restores - nicht nur Backup-Job-Logs.
Business-Continuity- und Disaster-Recovery-Plan mit definierten RTO/RPO für kritische Funktionen.

Säule 2: Incident-Management & Meldung

IKT-Incident-Klassifizierungskriterien dokumentiert und an regulatorische Schwellen angeglichen.
On-Call-Runbook definiert, wer Schweregrade entscheidet und wann Meldefristen starten.
Monitoring- und Alerting-Abdeckung für produktionskritische Cloud-Dienste dokumentiert.
Tabletop-Übung durchgeführt mit aufbewahrtem Entscheidungsprotokoll.

Säule 3: Resilienz-Tests

Dokumentiertes Programm zum Testen der digitalen operationalen Resilienz mit festem Rhythmus.
Schwachstellenanalysen in festem Turnus.
Szenario-, Failover- oder Chaos-Übungen mit abgelegten Nachweisen.
Restore-Tests mit Nachweisen über Backup-Job-Logs hinaus.

Säule 4: Drittparteien-Risiko & Register

Register aller IKT-Drittdienstleister, die Produktion berühren.
Kritikalitäts-Mapping verknüpft Provider mit kritischen Geschäftsfunktionen.
Artikel-30-Vertrags-Gap-Analyse für Provider kritischer Funktionen.
Financial-Services-Vertragszusätze der Hyperscaler unterzeichnet und abgelegt, wo zutreffend.

Ihr Fortschritt

0/17 · 0%

Frühe Phase - starten Sie mit Asset- und Provider-Inventar, dann Incident-Klassifizierung und Vertragslücken.

Quick Assessment buchen DORA-Artikel lesen DORA-Readiness-Leistung