AnnexOps Compliance

DORA-Compliance automatisiert: IKT-Resilienz nachweisbar

AnnexOps leitet aus den von Ihnen erfassten Fakten das DORA-Regime ab, das voraussichtlich für Sie gilt: vollständiger Rahmen, vereinfachter Rahmen nach Artikel 16 oder nicht im Anwendungsbereich. Anschließend verfolgt es 46 Anforderungen zu IKT-Risiko, Vorfällen, Resilienztests und Drittparteienrisiko. Ihr Informationsregister baut auf dem Lieferantenregister auf, das Sie bereits führen, und die Fristen für schwerwiegende Vorfälle werden nach dem Modell der RTS 2025/301 gestaffelt. Versionierte Regeln. Überprüfbare Nachweise.

Mein DORA-Regime prüfen

Regime abgeleitet, nicht geschätzt · Informationsregister, CSV-Export · Vorfallsfristen gestaffelt, RTS 2025/301

So funktioniert die DORA-Automatisierung

Aus Fakten abgeleitet, dauerhaft überprüfbar

Regeln als Daten

Regimeableitung und Fristen für schwerwiegende Vorfälle sind versionierte Regeln mit Artikelangabe, von Artikel 16 bis RTS 2025/301. Ein zweiter Prüfer, der den Check erneut ausführt, erhält dieselbe Antwort. Kein Sprachmodell entscheidet über das Ergebnis.

Ableitung statt Ermessen

Die Plattform leitet aus den von Ihnen erfassten Fakten ab, was DORA verlangt: Art der Einrichtung, Kategorien nach Artikel 16, kritische oder wichtige Funktionen, IKT-Vereinbarungen. Ob ein Vorfall nach RTS 2024/1772 schwerwiegend ist, bleibt Ihre dokumentierte Beurteilung, mit den Kriterien daneben.

Agenten entwerfen, Sie zeichnen ab

Vorschläge von Agenten, etwa ein Richtlinienentwurf oder eine vorgeschlagene Control-Zuordnung, landen in den Freigaben (Approvals). Kein maßgeblicher Datensatz ändert sich, bevor eine namentlich benannte Person abzeichnet, und jede Entscheidung wird zum Audit-Ereignis, das die Aufsicht Ihres Leitungsorgans über den Rahmen nach Artikel 5 Abs. 2 unterstützt.

Überprüfbare Nachweise

Konnektoren lesen nur Konfigurationsmetadaten. Jedes Element wird append-only in einer Hash-Kette abgelegt, sodass ein interner Prüfer nach Artikel 6 Abs. 6 oder eine Aufsichtsbehörde Manipulationen nachträglich erkennen kann. Controls im laufenden Betrieb statt eines Screenshots aus der Vorwoche.

Kernfunktionen

Alles für Ihr DORA-Programm, lückenlos dokumentiert

46 Anforderungen, 82 gemeinsame Controls

46 Anforderungen zu IKT-Risikomanagement, Vorfällen, Resilienztests und Drittparteienrisiko, verknüpft mit 82 der 211 gemeinsamen Controls. Dieselben Controls tragen Ihre Nachweise für ISO 27001, SOC 2 und NIS2, sodass die gesperrte DORA-Karte zeigt, wie viel Sie bereits abdecken, bevor Sie DORA hinzufügen. Die bewertete Anforderungsabdeckung ist indikativ, jede Lücke wird aufgelistet.

Informationsregister für IKT-Drittparteien

Artikel 28 Abs. 3 verlangt ein Informationsregister über alle vertraglichen Vereinbarungen zu IKT-Dienstleistungen, das solche zur Unterstützung kritischer oder wichtiger Funktionen gesondert ausweist, jährlich gemeldet wird und Ihrer Behörde auf Anfrage zur Verfügung steht. AnnexOps baut es auf Ihrem bestehenden Lieferantenregister auf und exportiert es als CSV. Sie übermitteln es Ihrer Behörde im vorgeschriebenen Format, xBRL-CSV gemäß dem technischen Paket der ESAs.

Konnektoren mit Lesezugriff, laufende Prüfungen

Continuum verbindet sich lesend mit GitHub, Amazon Web Services und Microsoft Entra ID, erfasst ausschließlich Konfigurationsmetadaten und bewertet 743 automatisierte Prüfungen gegen Ihre Regelwerke. Die Controls hinter Schutz und Prävention nach Artikel 9 werden im laufenden Betrieb belegt, append-only und per Hash verkettet, nicht per Screenshot.

Resilienztests und IKT-Risiko, dokumentiert

Ihr Programm für Tests der digitalen operationalen Resilienz nach Artikel 24 bis 27 wird dokumentiert, TLPT wird nur verfolgt, wenn Ihre Behörde Sie dafür bestimmt. Die Durchführung der Tests liegt bei Ihnen. IKT-Risikoregister, Assets und Lieferanten hinter dem Rahmen nach Artikel 6 sind die Register, die Ihr ISMS bereits führt, einmal erfasst.

Audit Room für Ihren Prüfer

DORA kennt kein Zertifikat. Im vollständigen Rahmen erwarten Sie die interne Revision nach Artikel 6 Abs. 6 (für Einrichtungen, die keine Kleinstunternehmen sind), die Überprüfung durch das Leitungsorgan nach Artikel 5 und Anfragen der Aufsicht. Nach Artikel 16 wird der vereinfachte Rahmen regelmäßig überprüft und Ihrer Behörde auf Anfrage vorgelegt. Der Audit Room gibt einem Prüfer lesenden Zugriff, auf DORA beschränkt und bis zu einem von Ihnen festgelegten Datum, mit stichtagsbezogenen Nachweispaketen aus Ihren Datensätzen.

Meldung schwerwiegender Vorfälle mit verketteten Fristen

Stufen Sie einen Vorfall anhand der Kriterien der RTS 2024/1772 als schwerwiegend ein, legt AnnexOps die Fristen nach Artikel 19 an. Erstmeldung innerhalb von 4 Stunden nach der Einstufung, spätestens 24 Stunden nach Kenntnisnahme; Zwischenmeldung innerhalb von 72 Stunden nach dieser Meldung; Abschlussmeldung innerhalb eines Monats nach der letzten Zwischenmeldung. Modelliert nach RTS 2025/301. Sie bestätigen und übermitteln.

Integrationen

Passt zu Ihrem bestehenden Stack

GitHub
Amazon Web Services
Microsoft Entra ID
Jira
SharePoint
GitLab (demnächst)
Microsoft Azure (demnächst)
Google Cloud (demnächst)
Okta (demnächst)
Google Workspace (demnächst)
Microsoft Intune (demnächst)
Workday (demnächst)

FAQ

Häufig gestellte Fragen und Antworten

Gibt es ein DORA-Zertifikat, und wer prüft unsere Konformität?

Nein. DORA sieht kein Zertifizierungsaudit vor. Im vollständigen Rahmen billigt und überwacht Ihr Leitungsorgan den IKT-Risikomanagementrahmen nach Artikel 5. Interne Prüfer überprüfen ihn nach Artikel 6 Abs. 6, sofern es sich nicht um Kleinstunternehmen handelt. Im vereinfachten Rahmen nach Artikel 16 erfolgt die Überprüfung regelmäßig und wird Ihrer Behörde auf Anfrage vorgelegt. Ihre national zuständige Behörde beaufsichtigt Sie und erhält Ihr Register und Ihre Vorfallsmeldungen. AnnexOps ist keine dieser Stellen. Es ordnet Nachweise, legt die Fristen an und gibt Ihrem Prüfer einen schreibgeschützten Audit Room. Die Übermittlung an die Behörde erfolgt durch Sie. Die Schlussfolgerungen ziehen diese Stellen.

Wie entscheidet AnnexOps, ob der vollständige Rahmen oder das vereinfachte Regime nach Artikel 16 gilt?

Anhand der Fakten, die Sie zur Einrichtung erfassen: ihre Art nach Artikel 2 Abs. 1, ob sie unter eine Kategorie nach Artikel 16 Abs. 1 fällt und ob eine Ausnahme nach Artikel 2 Abs. 3 greift. Die Kategorien nach Artikel 16 Abs. 1 sind kleine und nicht verflochtene Wertpapierfirmen, ausgenommene Zahlungs- und E-Geld-Institute, kleine Einrichtungen der betrieblichen Altersversorgung (EbAV) und die weiteren dort genannten Unternehmen. Eine versionierte Regel leitet vollständigen Rahmen, vereinfachten Rahmen oder Nichtanwendbarkeit ab und nennt den zugrunde gelegten Artikel. Führen Sie sie nächstes Jahr erneut aus: gleiche Fakten, gleiche Antwort. Das Ergebnis ist indikativ. Die Entscheidung trifft Ihre Rechtsberatung.

Reicht AnnexOps das Informationsregister oder Vorfallsmeldungen bei unserer Behörde ein?

Nein. AnnexOps baut das Informationsregister nach Artikel 28 Abs. 3 auf Ihrem Lieferantenregister auf und exportiert es als CSV. Die Vorlagen stammen aus der Durchführungsverordnung (EU) 2024/2956; die xBRL-CSV-Übermittlung erstellen Sie selbst. Die Fristen für schwerwiegende Vorfälle werden nach dem Modell der RTS 2025/301 gestaffelt und jeder Schritt wird dokumentiert, doch Ihr Team bestätigt die Einstufung und versendet die Formulare nach der Durchführungsverordnung (EU) 2025/302. Die Überwachung kritischer IKT-Drittdienstleister (Artikel 31 bis 44) und die Durchführung von TLPT gehören nicht zum Leistungsumfang.

Wer hat die DORA-Anforderungsinhalte erstellt, und wurden sie geprüft?

AnnexOps hat die 46 DORA-Anforderungen und die Zuordnung zu 82 gemeinsamen Controls erstellt, auf Grundlage der Verordnung (EU) 2022/2554 sowie der in unseren Quellen aufgeführten delegierten Rechtsakte und Durchführungsrechtsakte. Eine Fachprüfung läuft, und das Produkt kennzeichnet die Inhalte entsprechend. Die Inhalte zum EU AI Act und zur DSGVO wurden bereits anwaltlich geprüft. Jede Regel ist versioniert und nennt ihren Artikel, sodass ein Prüfer, Ihrer oder unserer, die Auslegung mit dem Text und der Änderungshistorie abgleichen kann.