DORA: Wer ist vom Digital Operational Resilience Act betroffen?

DORA verlangt von Finanzinstituten beispiellose digitale Resilienz. Erfahren Sie, wie Sie IKT-Risiken minimieren und die Komplexität souverän meistern.

Inhalt

1. Was ist DORA?
2. Warum DORA?
3. Wer ist betroffen?
4. DORA für Finanzinstitute
5. DORA vs. NIS2
6. Zeitplan
7. DORA Compliance: Erste Schritte
8. Mit SoSafe zur DORA-Compliance

Überblick: DORA

• Digitale Widerstandsfähigkeit im europäischen Finanzsektor rechtssicher standardisieren
• IKT-Risiken durch klare Vorgaben für das Risikomanagement proaktiv minimieren
• Meldeprozesse für IT-Sicherheitsvorfälle auf europäischer Ebene einheitlich strukturieren
• Risiken durch externe IKT-Dienstleister vertraglich und technisch konsequent überwachen
• Sicherheitskultur der Belegschaft durch das Security-Awareness-Training von SoSafe stärken

Was ist DORA?

Der Digital Operational Resilience Act (DORA) ist eine Verordnung der Europäischen Union, die die operationale Resilienz des europäischen Finanzsektors stärken soll. DORA soll Finanzinstitutionen dazu befähigen, ihren Schutz vor Cyberbedrohungen, IT-Zwischenfällen und anderen Betriebsrisiken zu verbessern – und sich im Fall der Fälle schnell davon erholen zu können.

Digitale Prozesse bieten Angriffsfläche. Finanzinstitute arbeiten heute fast vollständig vernetzt und werden so zum idealen Ziel für Kriminelle. Dringen Angreifer in ein System ein, stoppen sie meist den kompletten Geschäftsbetrieb. Das kostet die Unternehmen viel Geld. Es ruiniert Vertrauen und zieht fast immer juristische Verfahren nach sich. Die Europäische Union reagiert auf diese Entwicklung. Sie macht den Schutz der IT mit DORA zur gesetzlichen Pflicht. Dänemark liefert ein warnendes Beispiel für die reale Gefahr. Täter drangen dort in die Zentralbank ein und blockierten noch am selben Tag sieben weitere Privatbanken. Anschließend brauchten die betroffenen Teams viele Wochen, um alle Server überhaupt wieder sicher ans Netz zu bringen.

Obwohl die Cyber-Bedrohungslage den Finanzsektor unter großen Druck setzt, gewährte die Europäische Kommission eine 24-monatige Frist ab dem 16. Januar 2023 für die Implementierung der Anforderungen. Während der Zeitrahmen auf den ersten Blick großzügig erscheint, ist es betroffenen Finanzunternehmen dennoch anzuraten, bereits jetzt mit der Implementierung aller notwendigen Maßnahmen zu beginnen.

Warum DORA? Ein Blick auf die Lage des Finanzsektors

Die wachsende Vernetzung und Abhängigkeit des Finanzsektors von digitalen Lösungen macht ihn zur Zielscheibe für verschiedene Cybertaktiken. Einer Erhebung von Statista zufolge zählte der Finanzsektor zusammen mit der Versicherungsbranche zu den Sektoren, die 2022 am stärksten von Cyberangriffen betroffen waren.

Finanzinstitute verarbeiten tagtäglich große Mengen sensibler und vertraulicher Daten, wie personenbezogene Finanzdaten, Kontoinformationen und Sozialversicherungsnummern, um nur einige wenige zu nennen. Dass sie das zu einem lukrativen Ziel für Cyberkriminelle macht, ist längst kein Geheimnis mehr. Während einige Organisationen bereits verschiedene Cyber-Sicherheitsmaßnahmen implementiert haben, trifft das bei Weitem noch nicht auf alle zu. Eine Umfrage des International Monetary Fund (IMF) ergab:

• 56% der Zentralbanken und Aufsichtsbehörden lenken den Finanzsektor ohne eine nationale Cyberstrategie
• 42% der Länder definieren überhaupt keine Vorgaben für das Cybersicherheits- und Risikomanagement
• Verbindliche Sicherheitsprüfungen fordern 64% der Staaten gar nicht erst ein
• Ein fest etabliertes Incident-Reporting-System fehlt bei 54% komplett
• Fast die Hälfte (48%) arbeitet im Alltag völlig ohne Cyber-Sicherheitsrichtlinien

Diese Situation bietet perfekte Voraussetzungen für Cyberkriminelle: Sie nutzen die fehlende Vereinheitlichung in Bezug auf Sicherheitsrichtlinien aus und gehen besonders aggressiv gegen den Finanzsektor vor. Im Februar 2022 fiel so beispielsweise die Moskauer Börse und die SberBank, die größten Kreditgeber Russlands, einem DDoS-Angriff zum Opfer. Ihre Webseiten waren drei Tage lang nicht zugänglich. Infolge dieses Zwischenfalls und weiterer weltweiter Sanktionen fielen in London notierte Aktien der SberBank um fast 80 Prozent ab und die Bank büßte somit einen Großteil ihres Werts ein. Weniger als einen Monat zuvor wurde die OP Financial Group, eines der größten Finanzinstitute Finnlands, Opfer eines Phishing-Angriffs und einer darauffolgenden Betriebsunterbrechung.

Solche Eskalationen beweisen, warum der Digital Operational Resilience Act (DORA) absolut unverzichtbar ist. Die Europäische Union diktiert damit europaweit verbindliche Standards für die IT-Sicherheit. Finanzinstitute wehren professionelle Cyberkriminelle so künftig deutlich effektiver ab. Die strengen Regeln verteidigen dabei aber längst nicht nur das einzelne Unternehmen. Sie stabilisieren vielmehr das komplette weltweite Finanzsystem und sichern es dauerhaft ab.

DORA: Wer ist betroffen?

Die Verordnung erfasst nahezu jede Finanzinstitution in der Europäischen Union. Viele Entscheider fragen sich bei DORA, wer genau betroffen ist. Die Antwort reicht nämlich weit über klassische Banken und Versicherungen hinaus. Artikel 2 definiert den weiten Geltungsbereich präzise. Zu den regulierten Akteuren zählen:

• Kreditinstitute 
• Zahlungsinstitute 
• Kontoinformationsdienstleister 
• E-Geld-Institute 
• Wertpapierfirmen
• Zentralverwahrer 
• Zentrale Gegenparteien 
• Handelsplätze 
• Transaktionsregister
• Verwalter alternativer Investmentfonds 
• Verwaltungsgesellschaften 
• Datenbereitstellungsdienste 
• Versicherungs- und Rückversicherungsunternehmen 
• Einrichtungen der betrieblichen Altersvorsorge 
• Ratingagenturen 
• Administratoren kritischer Referenzwerte 
• Schwarmfinanzierungsdienstleister 
• Verbriefungsregister
• Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit
• IKT-Drittdienstleister
• Anbieter von Krypto-Vermögenswerten, die gemäß einer Verordnung des Europäischen Parlaments und des Rates über Märkte für Krypto-Vermögenswerte zugelassen sind, und Emittenten wertreferenzierter Token 

Wer von DORA betroffen ist: Auch IKT-Dienstleister in der Pflicht

Zusätzlich fallen externe Partner unter die strengen Verpflichtungen. Finanzinstitute überwachen ihr Drittanbieterrisiko ab sofort lückenlos. Das bindet Dienstleister direkt in die Verantwortung ein. Selbstständige und IT-Organisationen müssen die Vorgaben also ebenso erfüllen, weil sie eng mit den regulierten Finanzunternehmen zusammenarbeiten.

Ausnahmen und nationale Spielräume im Fokus

Die umfassende Verordnung lässt insgesamt nur sehr wenige Ausnahmen zu. EU-Mitgliedsstaaten dürfen bestimmte Gruppen jedoch gezielt befreien. Sie melden diese Ausnahmen dann direkt an die Europäische Kommission. Die Kommission veröffentlicht diese wichtigen Informationen anschließend transparent auf ihrer Webseite.Wenn wir betrachten, wer von DORA betroffen ist, fallen spezielle Unternehmensgruppen komplett aus dem Raster. Der Gesetzgeber befreit beispielsweise kleine Einrichtungen der betrieblichen Altersversorgung mit maximal 15 Mitgliedern. Postscheckämter bleiben ebenfalls von den neuen Pflichten verschont. Einige Versicherungsvermittler unterliegen als kleine oder mittlere Unternehmen ohnehin nicht dem Gesetz. Sie finden die vollständige Ausnahmeliste direkt im Artikel 2.3.

Welche Compliance-Vorgaben diktiert DORA?

Das Gesetz strukturiert die IT-Sicherheit in fünf strenge Handlungsfelder. Jeder Bereich schließt konkrete Schwachstellen in den Unternehmensnetzwerken. Den Anfang macht das Fundament der neuen Verordnung:

IKT-Risikomanagement

Finanzinstitute steuern ihre IT-Risiken künftig über ein zentrales Regelwerk. DORA fordert ein lückenloses Management der gesamten Infrastruktur. Unternehmen legen ihre Strategien, internen Prozesse und Protokolle ab sofort unmissverständlich fest. Der Rahmen richtet sich nach anerkannten internationalen Standards und unterliegt der Verantwortung des Leitungsorgans des Unternehmens. Der Risikomanagementrahmen sollte zudem eine Strategie für digitale Resilienz enthalten, die wichtige Kennzahlen und Risikometriken für das Erreichen der Sicherheitsziele festlegt. Außerdem ermöglicht sie die Bewertung der aktuellen digitalen operationalen Resilienz basierend auf vergangenen IKT- Vorfällen und die Wirksamkeit derzeitiger Maßnahmen und legt die Kommunikationsstrategie im Falle eines Zwischenfalls fest.

Finanzunternehmen müssen darüber hinaus sicherstellen, dass IKT-Sicherheitsmanagement, Kontrollmaßnahmen und interne Auditfunktionen unabhängig voneinander sind. Um mit aktuellen Trends Schritt zu halten, wird der Risikomanagementrahmen mindestens einmal jährlich oder im Rahmen eines Auditverfahrens überprüft und optimiert. 

Laut Verordnung liegt es in der Verantwortung des Leitungsorgans des Finanzunternehmens, den Risikomanagementrahmen zu definieren, zu genehmigen und seine Umsetzung zu überwachen.

Diese Anforderungen machen deutlich, dass kein Weg um Cyber Security Awareness Training – insbesondere auch für Führungskräfte – herumführt. Artikel 13.6 besagt, dass für alle Mitarbeitenden wie auch die Geschäftsleitung für ihren jeweiligen Aufgabenbereich relevantes Cyber-Sicherheitstraining obligatorisch ist. Wer Risiken verstehen will, braucht Training. Genau deshalb fordert DORA, dass Unternehmen ihre Teams gezielt schulen. Ein sensibilisierter Mitarbeiter erkennt Gefahren im Alltag oft schneller als manche Software.

Die Technik bleibt dennoch zentral. Alte IT-Strukturen genügen den neuen Vorgaben nicht mehr. Banken und Versicherer rüsten stattdessen auf, um Angreifer im Netzwerk überhaupt rechtzeitig zu bemerken. Wenn Hacker tatsächlich durchkommen, darf niemand mehr improvisieren. Die geforderte Business-Continuity-Richtlinie regelt ab sofort den genauen Ablauf. Fachleute analysieren den Schaden und bringen alle Systeme schrittweise zurück ans Netz. Das klappt in der Praxis natürlich nur mit sauberen Backups. Die Verordnung nimmt deshalb auch externe Dienstleister in die Pflicht. Sie betreiben ihre Rechenzentren künftig zwingend an mindestens zwei getrennten Standorten. Fällt ein Serverraum aus, übernimmt der andere. Wer Lücken im System findet oder gehackt wird, behält das künftig nicht länger für sich. Das Gesetz verlangt absolute Transparenz gegenüber den Behörden. Nur durch diesen offenen Austausch wappnet sich die gesamte Branche gegen kommende Attacken.

Behandlung, Klassifizierung und Berichterstattung IKT-bezogener Vorfälle

Diese Kategorie geht auf Prozesse für Finanzunternehmen ein, um IKT-bezogene Vorfälle zu erkennen, zu behandeln und zu melden. Kapitel III der DORA-Verordnung zeigt die Wichtigkeit vereinheitlichter Systeme zur Behandlung, Klassifizierung und Berichterstattung IKT-bezogener Vorfälle auf. Diese haben das Ziel, die Ursachen zu ermitteln, zu dokumentieren und anzugehen, um das Auftreten weiterer Vorfälle zu vermeiden.

Um ein einheitliches Erkennungs- und Meldungssystem zu erzielen, sind Organisationen gemäß DORA verpflichtet, die von dem IKT-Risiko ausgehende Bedrohung zu klassifizieren und mehrere Meldungen an die zuständigen Behörden zu schicken:

• Eine Erstmeldung
• Eine Zwischenmeldung, sobald sich der Status des ursprünglichen Vorfalls erheblich geändert hat oder sich die Handhabung des Vorfalls auf der Grundlage neuer Informationen geändert hat
• Eine Abschlussmeldung, wenn die Ursachenanalyse abgeschlossen ist und sich die tatsächlichen Auswirkungen beziffern lassen — unabhängig davon, ob bereits Minderungsmaßnahmen getroffen wurden oder nicht.

Diese Berichte stellen alle nötigen Informationen bereit, um die Schwere des IKT-bezogenen Vorfalls zu bestimmen und mögliche grenzüberschreitende Auswirkungen zu beurteilen. Sobald die Meldung bei den europäischen Behörden eingeht, geben diese Anweisungen zur Reduzierung negativer Auswirkungen auf andere Bereiche innerhalb des Finanzinstituts. Die Behörden veröffentlichen einmal im Jahr einen Bericht zur Anzahl schwerwiegender IKT-Vorfälle.

Tests der digitalen operationalen Resilienz (DOR)

Zu den Anforderungen der DORA-Verordnung gehören Tests der digitalen operationalen Resilienz und möglicher Schwachstellen, die von unabhängigen internen oder externen Experten mindestens einmal jährlich durchgeführt werden. Diese Tests dienen dazu, die Abwehrbereitschaft von IKT-Sicherheitsvorfällen zu beurteilen und mögliche Schwachstellen im System aufzudecken. Sie sollten verschiedene Schwachstellenbewertungen und -scans umfassen, wie auch Open-Source-Analysen, Netzwerksicherheitsbewertungen, Lückenanalysen, Überprüfungen der physischen Sicherheit, Fragebögen und Scans von Softwarelösungen, Quellcodeprüfungen, szenario-basierte Tests, Kompatibilitätstests, Leistungstests, End-to-End-Tests und Penetrationstests. Bei der Durchführung der Testpläne sollte zudem ein risikobasierter Ansatz in Betracht gezogen werden. Darüber hinaus müssen Finanzeinrichtungen Schwachstellenbewertungen durchführen, bevor neue oder bestehende Anwendungen, die kritische oder wichtige Funktionen des Finanzunternehmens unterstützen, eingesetzt oder wieder eingesetzt werden.

Management des IKT-Drittparteienrisikos

Externe Partner bieten oft unbemerkt Angriffsfläche. Finanzinstitute überwachen ihre IT-Dienstleister deshalb künftig streng nach einer festen Strategie. Das Ziel ist simpel: Kein fremdes System darf die eigene Sicherheit gefährden. Institute durchleuchten dafür eigenständig, welche Gefahren von ihren bestehenden Verträgen ausgehen. Die Toleranzgrenze sinkt auf null. Bietet ein Dienstleister zu viel Angriffsfläche, entzieht er sich der Kontrolle oder verliert er Daten, greift die ultimative Konsequenz. Das Finanzunternehmen kündigt den Vertrag mit diesem Partner sofort auf. Finanzunternehmen müssen den zuständigen Behörden zudem mindestens einmal jährlich Bericht zur Anzahl neuer Vereinbarungen über die Nutzung von IKT-Dienstleistungen, den Kategorien von IKT-Drittdienstleistern, der Art der vertraglichen Vereinbarungen sowie den bereitgestellten IKT-Dienstleistungen und -Funktionen.

DORA gibt zudem Elemente vor, die in vertraglichen Vereinbarungen über die Nutzung von kritischen und nicht kritischen IKT-Dienstleistungen enthalten sein müssen: Um diese Elemente zu bestimmen, müssen die Europäischen Aufsichtsbehörden (European Supervisory Authorities oder ESA) und die Kommission über den gemeinsamen Ausschuss eine Einstufung der IKT-Drittdienstleister vornehmen, die für Finanzunternehmen kritisch sind. Als kritische Dienstleister gelten jene, die die Stabilität, Kontinuität und Qualität der erbrachten Finanzdienstleistungen beeinträchtigen. Im Anschluss ermittelt die durch die ESA ernannte federführende Überwachungsbehörde, ob die Drittdienstleister über die nötigen Regelungen, Verfahren, Mechanismen und Einrichtungen verfügen, um das IKT-Risiko zu verwalten. Je nachdem, wie die Bewertung und Ergebnisse ausfallen, stellen die ESA ein vereinheitlichtes Meldeverfahren und Empfehlungen zur Verbesserung der Informationssicherheitsmaßnahmen des Drittanbieters bereit.

Austausch von Informationen und Erkenntnissen

Gemäß DORA können Finanzunternehmen relevante Informationen über IKT-bezogene Risiken innerhalb vertrauenswürdiger Gemeinschaften von Finanzunternehmen austauschen. Dieses offene Kommunikationssystem hat das Ziel, die digitale operationale Resilienz von Finanzunternehmen zu stärken und ihre IKT-bezogenen Risiken zu reduzieren. Um den Schutz potenziell sensibler Informationen zu gewährleisten, sind Finanzunternehmen dazu angehalten, zuständigen Behörden ihre Einbindung in die Vereinbarungen über den Austausch von Informationen mitzuteilen.

Der Unterschied zwischen DORA und der NIS2-Richtlinie

DORA und NIS2 verfolgen exakt das gleiche Ziel: Europa härtet seine digitale Infrastruktur länderübergreifend ab. Die NIS2-Richtlinie trat bereits Anfang 2023 in Kraft. Seit Dezember 2025 gilt sie verpflichtend auch im deutschen Recht.

Der entscheidende Unterschied liegt in der Zielgruppe. Die NIS2-Richtlinie schützt ganz allgemein alle kritischen Wirtschaftszweige. Sie nimmt Energieversorger, Verkehrsbetriebe, Krankenhäuser, Rechenzentren und sogar die öffentliche Verwaltung in die Pflicht. Sie gibt diesen Branchen vor, wie sie Vorfälle erkennen und ihre IT-Systeme kontrollieren. DORA hingegen funktioniert wie ein Spezialwerkzeug. Die Verordnung konzentriert sich absolut exklusiv auf den Finanzsektor und seine Zulieferer.

Trotz der unterschiedlichen Adressaten greifen beide Regelwerke nahtlos ineinander. Der europäische Gesetzgeber zieht ein einheitliches Sicherheitsnetz hoch. Das Gesetz schützt sensible Daten davor, in falsche Hände zu geraten, und bewahrt stark digitalisierte Unternehmen vor dem kompletten Stillstand.

Zeitplan zur Erfüllung der DORA-Anforderungen

Mit dem Ende der Übergangsfristen am 17. Januar 2025 gelten die DORA-Anforderungen uneingeschränkt. Seitdem kontrollieren Aufsichtsbehörden die Einhaltung der gesetzlichen Bestimmungen im regulären Prüfbetrieb. Finanzinstitute müssen nun nachweisen, dass sie Verträge angepasst und Meldeprozesse vollständig etabliert haben.

Den konkreten Prüfrahmen dafür bilden die technischen Regulierungsstandards (RTS). Diese Standards formulieren aus dem ursprünglichen Text der EU-Verordnung einen konkreten Prüfrahmen, an dem sich IT-Abteilungen orientieren. Sie finden dort die verbindlichen Messgrößen für ihre Reaktionspläne und die genauen Spezifikationen für verpflichtende Sicherheitstests.

Da der Umsetzungszeitraum sowohl für die Finanzunternehmen als auch die IKT-Drittdienstleister gilt, bieten die 24 Monate viel Spielraum, um in Ruhe Ihre Strategie mit allen beteiligten Partnern zu besprechen – insbesondere mit den zuvor genannten kritischen Dienstleistern.

Wenn Sie jedoch immer noch das Gefühl haben, dass einige Teile der Rechtsvorschriften zu unspezifisch und schwer zu verstehen sind, sieht Artikel 15 vor, dass die Europäischen Aufsichtsbehörden und die ENISA (Agentur der Europäischen Union für Cybersicherheit) bis 17. Januar 2024 über den Gemeinsamen Ausschuss Entwürfe technischer Regulierungsstandards vorbringen. Diese Entwürfe werden im Detail auf verschiedene Aspekte der Gesetzgebung eingehen – von Reaktions- und Recovery-Plänen bei IKT-Zwischenfällen bis hin zum Testen von IKT-Business-Continuity-Plänen.

Erste Schritte zur DORA-Compliance: So erfüllen Sie die DORA-Verordnung

Die Compliance-Anforderungen der DORA-Verordnung werden sich von Organisation zu Organisation unterscheiden. Während für die einen Finanzinstitutionen nur kleine Optimierungen nötig sind, müssen andere einen detaillierten Plan mit mehreren Schritten ausarbeiten. Diese Schritte bieten Ihnen erste Anhaltspunkte:  

1. Lassen Sie sich von einem Rechtsberater, der die Verordnung und ihre Auswirkungen auf Ihre Organisation gut kennt, erläutern, wie sich DORA auf Ihre Organisation auswirkt.
2. Bewerten Sie Ihr derzeitiges IKT-Risiko, Meldeverfahren und Fähigkeit zur Bedrohungserkennung, zum Beispiel mittels Resilienzprüfungen wichtiger Funktionen und Systeme. In diesem Zusammenhang sollten Sie auch beleuchten, wie effektiv Ihr derzeitiges Security-Awareness-Programm (falls vorhanden) diese Risiken angeht.
3. Bestimmen Sie Ihre kritischen IKT-Drittdienstleister und bewerten Sie ihre Schwachstellen.
4. Weisen Sie das erforderliche Budget zu – sowohl für die Implementierung technischer Maßnahmen als auch für die Entwicklung und Bereitstellung von effektivem Security Awareness Training.
5. Entscheiden Sie mit den Entscheidungsträgern, welche internen Maßnahmen umgesetzt werden müssen oder falls erforderlich, beauftragen Sie externe Dienstleister für diese Aufgaben.
6. Einigen Sie sich mit Ihren Drittdienstleistern über die durchzuführenden Maßnahmen und wechseln Sie Ihren Dienstleister im Zweifelsfall.
7. Führen Sie nach der Umsetzung aller Maßnahmen eine finale Lückenanalyse durch. So stellen Sie sicher, dass Ihre Organisation die Compliance-Vorgaben lückenlos erfüllt.

Wie SoSafe Sie auf dem Weg zur DORA-Compliance unterstützt

Die Verordnung fordert vom Finanzsektor belastbare und messbare Sicherheit. Unternehmen erreichen diese Compliance nur über einen verzahnten Ansatz aus robuster Technik, klaren Prozessen und etabliertem Human-Risk-Management Erst diese Kombination senkt das menschliche Risiko und minimiert dadurch die gesamte Angriffsfläche Ihrer Organisation.

Ein zentraler Baustein im DORA-Risikomanagement ist die Sensibilisierung der Belegschaft. Kontinuierliches IT-Awareness Training vermittelt Ihren Mitarbeitenden genau das Wissen, das sie für die Erkennung aktueller Angriffsmethoden benötigen. Das gamifizierte Security-Awareness-Training von SoSafe nutzt dafür verhaltenspsychologische Prinzipien. Die kurzen Lernmodule verankern sicheres Verhalten direkt im Arbeitsalltag. Da die Plattform Inhalte in über 30 Sprachen bereitstellt, erreichen Sie internationale Teams problemlos. Gleichzeitig erfüllen Sie damit gesetzliche Vorgaben, die Schulungen in der jeweiligen Muttersprache vorschreiben.
DORA verlangt außerdem strenge Leitlinien für den Umgang mit vertraulichen Daten. Mit dem Content Management Feature bündeln Sie diese internen Sicherheitsrichtlinien und Schulungsmaterialien an einem einzigen Ort. Ihre Mitarbeitenden greifen dort unkompliziert auf alle Dokumente zu. Sie werten parallel direkt im System aus, ob die Belegschaft diese Richtlinien gelesen und akzeptiert hat. So dokumentieren Sie den Fortschritt transparent und weisen nach, dass Sie die DORA-Anforderungen in der Praxis erfüllen.

So wichtig Awareness und Vorbeugung auch sind – einige der kostspieligsten Fehler geschehen beim Erkennen und Melden von Zwischenfällen. Umständliche interne Meldeverfahren können das externe Melden von Sicherheitsvorfällen verzögern und die Compliance mit DORA-Vorgaben gefährden. Der Phishing-Report-Button von SoSafe umfasst ein Feature namens Phish Assist. Diesermöglicht Mitarbeitenden,Sicherheitsvorfälle umgehend zu melden und das Erkennen und Melden von Angriffen zu beschleunigen – und damit auch das externe Reporting an Dritte bzw. zuständige Behörden.

Auch die Messung des Erfolgs all dieser Risikomanagementmaßnahmen kann ohne die richtigen Tools zur Herausforderung werden. Die DORA-Verordnung setzt außerdem die Umsetzung von Risikomanagementstrategien voraus, die wichtige Kennzahlen und Risikometriken umfassen. Mit dem ISO-27001-konformen Human Risk OS von SoSafe können Sie den Fortschritt Ihrer Awareness-Programme nachverfolgen, detaillierte Analysen einsehen und behalten wichtige KPIs zu den menschlichen Sicherheitsrisiken Ihrer Organisation im Blick. So erfüllen Sie nicht nur alle Anforderungen der DORA-Verordnung, sie haben so zudem jederzeit die Cyberresilienz Ihrer Organisation im Blick.