Ein ISMS nach ISO/IEC 27001 ist das Fundament, die DORA-Deltas ergänzen Sie als Overlay – mit einer Risikomethodik, einem Kontrollrahmen und gemeinsamen Evidenzen. VamiSec begleitet Sie von der Gap-Analyse bis zum integrierten Betrieb.
Mit DORA (Verordnung (EU) 2022/2554) gilt seit dem 17.01.2025 ein unmittelbar anwendbarer Rechtsrahmen für die digitale operationale Resilienz im Finanzsektor – von Banken über Versicherer und Wertpapierfirmen bis zu Zahlungsinstituten und Krypto-Dienstleistern. Die Verordnung bündelt ihre Anforderungen in fünf Säulen: IKT-Risikomanagement (Art. 5–16), Vorfallmanagement und Meldewesen (Art. 17–23), Resilienz-Tests (Art. 24–27), IKT-Drittparteienrisiko (Art. 28–44) und Informationsaustausch (Art. 45). Ergänzende technische Regulierungs- und Durchführungsstandards konkretisieren die Pflichten bis auf die operative Ebene.
Die gute Nachricht: Die europäischen Aufsichtsbehörden (ESAs) haben die technischen Standards ausdrücklich unter Berücksichtigung der ISO-27000-Familie entwickelt und nutzen deren Terminologie. Ein ISMS nach ISO/IEC 27001:2022 liefert damit Governance, Risikomethodik, Kontrollrahmen und Auditzyklus, auf denen die DORA-Umsetzung aufsetzt. Wer beide Regelwerke parallel betreibt, produziert doppelte Richtlinien, doppelte Risikobewertungen und doppelte Audits. Integriert umgesetzt bleibt ein Managementsystem – die DORA-spezifischen Anforderungen ergänzen Sie als Overlay.
Die Übersicht zeigt unsere Zuordnung der DORA-Bausteine zu ISO/IEC 27001:2022 auf Control-Ebene – und was DORA darüber hinaus verlangt.
Sechs Gründe, DORA auf Ihrem ISMS aufzubauen statt daneben.
Die ESAs haben bei den technischen Standards zum IKT-Risikomanagement nach eigener Aussage die ISO-27000-Familie berücksichtigt und verwenden bewusst deren Begrifflichkeiten. Wer ein ISMS nach ISO 27001 betreibt, arbeitet bereits in der Begriffs- und Kontrolllogik von DORA.
Die Risikobeurteilung nach Kap. 6.1.2/6.1.3 wird um IKT-gestützte Funktionen, Assets und Abhängigkeiten nach Art. 6 und 8 erweitert. Sie bewerten einmal – und bedienen beide Regelwerke.
Leitlinien, SoA und Nachweise bleiben in einem gelenkten Dokumentenbestand. DORA-spezifische Dokumente wie die Strategie für digitale operationale Resilienz oder das Informationsregister folgen derselben Lenkung – statt in einer Parallelablage zu altern.
Die 93 Controls des Annex A bilden die Basis; DORA- und RTS-Anforderungen werden als Overlay auf bestehende Controls gemappt. Jede Maßnahme wird nur einmal umgesetzt und nur einmal betrieben.
Interne Audits nach Kap. 9.2 und die Managementbewertung nach Kap. 9.3 decken beide Regelwerke in einem Zyklus ab. Jede Evidenz dient mehreren Prüfkontexten – vom Zertifizierungsaudit bis zur aufsichtlichen Anfrage.
Statt DORA auf der grünen Wiese aufzusetzen, konzentrieren Sie Budget und Team auf das, was ISO 27001 nicht abdeckt: Meldefristen und -formate, Informationsregister, Testprogramm und TLPT, Vertragsklauseln und Organverantwortung.
Fünf Schritte von der Gap-Analyse bis zum integrierten Betrieb.
Wir prüfen Ihren ISMS-Anwendungsbereich gegen den DORA-Geltungsbereich – ein zertifiziertes ISMS mit eingeschränktem Scope deckt DORA nicht automatisch für das gesamte Finanzunternehmen ab. Anschließend ermitteln wir Ihre Deltas gegen Art. 5–45 und die einschlägigen RTS und ITS.
Die DORA- und RTS-Anforderungen werden auf Ihre Annex-A-Controls gemappt, die Erklärung zur Anwendbarkeit wird erweitert und die Overlay-Controls werden definiert. Das Ergebnis ist ein einziger Kontrollrahmen für beide Regelwerke.
Wir ergänzen, was DORA zusätzlich verlangt: Meldeprozesse mit Fristen und Pflicht-Templates, das Informationsregister, Vertragsanpassungen nach Art. 30, die Bewertung des Konzentrationsrisikos, die unabhängige IKT-Risikokontrollfunktion sowie Schulungen für das Leitungsorgan.
Sie etablieren ein Testprogramm für alle IKT-Systeme, die kritische oder wichtige Funktionen unterstützen, und bewerten Ihre TLPT-Readiness. Internes Audit und Managementbewertung werden um die DORA-Perspektive erweitert – ein Prüfzyklus, zwei Regelwerke.
Im Betrieb greifen die Zyklen ineinander: jährliche Überprüfung des IKT-Risikomanagementrahmens nach Art. 6, Pflege des Informationsregisters, Lessons Learned aus Vorfällen nach Art. 13. Erkenntnisse fließen in den Verbesserungsprozess nach Kap. 10 – für ISO und DORA gleichermaßen.
Die KI-native, agentische GRC-Plattform von VamiSec operationalisiert die integrierte Umsetzung.
VamiGRC bildet DORA und ISO 27001:2022 in einer OSCAL-basierten Framework-Engine gemeinsam ab – neben insgesamt 22 Tier-1-Regulierungen und über 50 Standards und Frameworks. Die fünfstufige Applicability-Pipeline führt von den regulatorischen Treibern über Scope und Mapping bis zu Evidenzen und SoA; 63 % der Controls werden über drei oder mehr Frameworks wiederverwendet – einmal implementieren, mehrfach erfüllen. Risiken, Controls, Nachweise und Lieferanten liegen in einem abfragbaren GRC-Graphen statt in getrennten Silos. Betrieben wird die Plattform auf der Open Telekom Cloud – ausschließlich in deutschen Rechenzentren.
Die OSCAL-basierte Engine mappt Anforderungen framework-übergreifend und automatisiert das Cross-Mapping – die Basis für Ihr DORA-Overlay auf dem ISO-Kontrollrahmen.
Das IMS Repository lenkt Dokumente in 12 kanonischen Kategorien – von Policies über SoA bis Audits. Jede Aktion wird in einem unveränderlichen Audit-Log protokolliert, Evidenzen sind kryptografisch verkettet.
Ein Risk Dashboard vereint alle Risiken in einer 5×5-Heatmap (inhärent/residual) mit monetarisierter Exposure je Business Unit und FAIR-basierter Monte-Carlo-Modellierung.
Das Incident Management führt regulatorische Fristen-Uhren, unter anderem für DORA, erkennt Meldepflichten automatisch und bringt über 15 Playbook-Templates mit.
Das Third-Party-Risk-Modul leitet Kritikalität automatisch aus Prozessen und Daten ab und überwacht Lieferanten laufend; der Supplier Contract Wizard mappt über 220 Master-Klauseln auf Controls.
Antworten auf die Fragen, die uns zu DORA und ISO 27001 am häufigsten erreichen.
Nein. DORA ist eine unmittelbar geltende EU-Verordnung; eine offizielle Anerkennung der ISO-27001-Zertifizierung als DORA-Nachweis gibt es nicht. Die ESAs haben die technischen Standards allerdings ausdrücklich unter Berücksichtigung der ISO-27000-Familie entwickelt – Ihr ISMS trägt damit als Fundament, während Sie Deltas wie Meldefristen, Informationsregister oder TLPT zusätzlich umsetzen müssen.
DORA (Verordnung (EU) 2022/2554) ist seit dem 17.01.2025 unmittelbar anwendbar. Sie gilt für Finanzunternehmen wie Banken, Versicherer, Wertpapierfirmen, Zahlungs- und E-Geld-Institute sowie Krypto-Dienstleister. Die Anforderungen gliedern sich in fünf Säulen: IKT-Risikomanagement, Vorfallmanagement und Meldewesen, Resilienz-Tests, IKT-Drittparteienrisiko und Informationsaustausch.
Die Delegierte Verordnung (EU) 2025/301 legt fest: Erstmeldung binnen 4 Stunden nach Klassifizierung als schwerwiegend, spätestens 24 Stunden nach Kenntnis; Zwischenbericht binnen 72 Stunden nach Übermittlung der Erstmeldung; Abschlussbericht binnen eines Monats nach dem (zuletzt aktualisierten) Zwischenbericht. Die Durchführungsverordnung (EU) 2025/302 schreibt die Standardformulare vor. In Deutschland melden Sie an die BaFin über das MVP-Portal.
Nach Art. 26 müssen von der Aufsicht identifizierte Finanzunternehmen mindestens alle drei Jahre einen bedrohungsgeleiteten Penetrationstest (TLPT) auf Live-Produktionssystemen durchführen, die kritische oder wichtige Funktionen stützen. Die zugehörigen RTS (Delegierte Verordnung (EU) 2025/1190) sind am TIBER-EU-Rahmen ausgerichtet und regeln Scope, Methodik und Anforderungen an Tester. Ob Ihr Institut identifiziert wird, entscheidet die Aufsicht im Einzelfall – eine frühzeitige Readiness-Bewertung ist daher sinnvoll.
Ein Informationsregister über alle vertraglichen Vereinbarungen mit IKT-Drittdienstleistern in 15 Standard-Templates (Durchführungsverordnung (EU) 2024/2956), den verbindlichen Vertragsklauselkatalog des Art. 30, eine Bewertung des Konzentrationsrisikos vor Vertragsschluss (Art. 29) sowie Exit-Strategien für kritische Funktionen. Hinzu kommt das EU-Oversight kritischer IKT-Drittdienstleister: Die ESAs haben im November 2025 die ersten 19 Anbieter designiert, darunter AWS, Microsoft und Google Cloud – diesen Status müssen Sie in Ihrem Drittparteienrisiko berücksichtigen.
Ja. Art. 4 verankert das Proportionalitätsprinzip nach Größe, Risikoprofil und Komplexität; Art. 16 definiert für bestimmte kleine Institute einen vereinfachten IKT-Risikomanagementrahmen, konkretisiert durch die RTS (EU) 2024/1774 und eine BaFin-Aufsichtsmitteilung vom 21.08.2025. Anders als beim ISMS lässt sich der Anwendungsbereich jedoch nicht frei zuschneiden – DORA setzt regulatorische Mindestanforderungen.
Sprechen Sie mit unserem Team über Ihren DORA-Status und Ihr ISMS – wir zeigen Ihnen, wo Ihre Synergien liegen und welche Deltas wirklich Aufwand verursachen.
