Wofür dieser Kompass da ist
DORA verlangt keinen einmaligen Bericht, sondern einen dauerhaft nachweisbaren IKT-Betrieb. Der Kompass führt in fünf Schritten von der Frage, welche Regeln überhaupt gelten, bis zu den Nachweisen, die bei einer Prüfung vorliegen müssen.
Die Reihenfolge ist bewusst gewählt: Erst einordnen und Zuständigkeiten klären, dann die Pflichten der fünf DORA-Säulen bearbeiten.
- Ausgangspunkt: BaFin-zugelassenes Wertpapierinstitut
- Rechtsgrundlage: DORA, VO (EU) 2022/2554, anwendbar seit 17.01.2025
- Datenbasis: öffentlich verfügbare Informationen
- Stand: 10.11.2026
Arbeitsweg in fünf Schritten
Jeder Schritt beantwortet eine Frage und verweist auf die Seite, auf der weitergearbeitet wird.
1EinordnenWelche Vorschriften gelten für Aramea, und welche Erleichterungen kommen in Frage (Art. 4 Verhältnismäßigkeit, Art. 16 vereinfachter Rahmen)?Gilt für Aramea?
2Zuständigkeit klärenWer trägt die Verantwortung? Das Leitungsorgan ist nach Art. 5 verantwortlich; die IT-Koordination steuert und dokumentiert.Rollen
3Pflichten bearbeitenDie fünf Säulen von DORA, verknüpft mit ISO 27001 und konkreten IT-Nachweisen.Fünf Säulen & Themenmatrix
4Prüfen & nachweisenAcht Kernfragen und zehn Prüffelder: Was muss belegt werden können?Kernfragen
5Umsetzen & pflegenInformationsregister führen, Lücken schließen und den Stand laufend aktuell halten.Praxis & Register
Schritt 3 · Die fünf Säulen von DORA
Erst nach Einordnung und Rollenklärung sinnvoll. Jede Säule mit der Leitfrage, die intern beantwortet werden muss.
Säule 1IKT-RisikomanagementArt. 5–16Gibt es einen dokumentierten IKT-Risikomanagementrahmen, für den die Geschäftsleitung verantwortlich ist?Art. 16: vereinfachter Rahmen prüfen
Säule 2IKT-VorfälleArt. 17–23Werden IKT-Vorfälle erkannt, klassifiziert und schwerwiegende Vorfälle fristgerecht gemeldet?
Säule 3ResilienztestsArt. 24–27Gibt es ein risikobasiertes Testprogramm mit dokumentierten Ergebnissen und Maßnahmen?TLPT nur bei Auswahl durch die Aufsicht
Säule 4IKT-DrittdienstleisterArt. 28–44Sind alle IKT-Dienstleister im Informationsregister erfasst und die Verträge DORA-konform?Art. 31–44: Aufsicht über kritische Anbieter, betrifft Aramea indirekt
Säule 5InformationsaustauschArt. 45Beteiligt sich Aramea am Austausch von Bedrohungsinformationen?Freiwillig; Teilnahme ist der Aufsicht mitzuteilen
Nachschlagen
Hintergrundwissen und Originalquellen, unabhängig vom Arbeitsweg.