Verordnung (EU) 2022/2554
DORA, für einen Softwareanbieter
Ihr Bankkunde ist reguliert; Sie begegnen DORA in seinem Vertrag, der seit dem 17. Januar 2025 9 Klauseln für jede IKT-Dienstleistung und 6 weitere für eine kritische oder wichtige Funktion trägt.
Beantworten Sie oben, um die Bestimmung für Ihren Fall zu lesen; das vollständige Werkzeug übernimmt Ihre Antworten.
In der kostenlosen Bestimmung fortfahrenAuf einen Blick
Die Daten
Gelesen aus der Verordnung und den acht Rechtsakten, die ihre Einzelheiten ausfüllen, am 12. September 2026. DORA hat keinen Änderungsrechtsakt.
- 27. Dezember 2022
Die Verordnung im Amtsblatt.
- 13. März 2024
Delegierte Verordnungen (EU) 2024/1773 und 2024/1774: die Leitlinie des Kunden zu Verträgen über kritische oder wichtige Funktionen, einschließlich der Sorgfaltsprüfung seiner Anbieter, und seine Werkzeuge und Prozesse des IKT-Risikomanagements.
- 13. März 2024
Delegierte Verordnung (EU) 2024/1772: die sechs Einstufungskriterien und die Wesentlichkeitsschwellen, die einen IKT-bezogenen Vorfall schwerwiegend machen, darunter zwei Stunden Ausfallzeit eines Dienstes, der eine kritische oder wichtige Funktion unterstützt.
- 23. Oktober 2024
Delegierte Verordnung (EU) 2025/301 und Durchführungsverordnung (EU) 2025/302: Inhalt, Fristen und Meldebogen der Erstmeldung, des Zwischenberichts und des Abschlussberichts eines schwerwiegenden Vorfalls.
- 29. November 2024
Durchführungsverordnung (EU) 2024/2956: die Standardvorlagen des Informationsregisters, in dem jeder Anbietervertrag erfasst und gemeldet wird.
- 17. Januar 2025
Die Verordnung gilt (Artikel 64): Jeder neue IKT-Dienstleistungsvertrag trägt die Klauseln des Artikels 30, und die Register werden eingereicht.
- 13. Februar 2025
Delegierte Verordnung (EU) 2025/1190: welche Finanzunternehmen bedrohungsorientierte Penetrationstests durchführen, die Phasen, die Tester und der gemeinsame Test, den ein Anbieter für mehrere Unternehmen durchführen darf.
- 24. März 2025
Delegierte Verordnung (EU) 2025/532: was der Kunde bewertet, wenn ein Anbieter einen Dienst, der eine kritische oder wichtige Funktion unterstützt, an Unterauftragnehmer vergibt.
Drei Werkzeuge, und die Norm hinter der Sorgfaltsprüfung
- Kostenlose PrüfungAuf welcher Seite von DORA Sie stehen, und was sie trägt(auf Englisch)Drei Antworten, gelesen von der Feststellung, die das Portal ausführt. Ein Finanzunternehmen trägt das Register und die Vorfallsmeldungen; ein Anbieter die Klauseln aus den Verträgen seiner Kunden.
- DokumentgeneratorDie Klauseln des Artikels 30, mit einem Status für jedeDie 9 Klauseln jedes Vertrags, die 6 für eine kritische oder wichtige Funktion und die 12 Bestimmungen zur Unterauftragsvergabe der Delegierten Verordnung (EU) 2025/532, wörtlich in Ihrer Sprache, jede mit den ISO-27001-Nachweisen, die sie beantworten; ein Status und eine Notiz je Klausel, geschrieben als das Dokument, das zurückgeht.
- DokumentgeneratorDas Informationsregister, als Ihr DatenblattJeder Kunde meldet dieselben Meldebögen über Sie. Die Spalten, die Angaben zum Dienstleister und zur Dienstleistung sind, mit ihren Codes und Bezeichnungen aus der Durchführungsverordnung, einmal beantwortet und als das Blatt geschrieben, das mit dem Vertrag mitgeht.
- DokumentgeneratorDer Anbieterfragebogen, geschrieben von der VerordnungFür die Seite des Finanzunternehmens: die 21 Punkte der Delegierte Verordnung (EU) 2024/1773, die eine Leitlinie es einen Anbieter fragen lassen muss, im Wortlaut der Verordnung, zum Fragebogen zusammengesetzt mit den Sicherheitselementen und Prüfmethoden, die das Unternehmen nutzt, und dem Nachweis, den ein ISO-27001-System zu jedem erzeugt.
- LeitfadenISO 27001, die Norm, nach der die Sorgfaltsprüfung fragtArtikel 28 Absatz 5 macht angemessene Informationssicherheitsstandards zur Voraussetzung jedes Vertragsschlusses; die 93 Maßnahmen des Anhangs A und das Klauselregister sind die Antwort, die der Fragebogen eines Kunden erwartet.
- LeitfadenDie Maßnahmen des Anhangs A, eine Seite je MaßnahmeJede Maßnahme mit ihrem Ziel und dem Nachweis, den sie erzeugt, in sechs Sprachen; die Klausel-Checkliste verweist per Referenz auf sie.
- ZuordnungNIS2 auf ISO 27001 abgebildetDer Anbieter einer Bank ist oft selbst eine NIS2-Einrichtung; die Abschnitte der Durchführungsverordnung gegen dieselben Maßnahmen.
Jede kostenlose Vorlage auf einer Seite
9 Artikel, aus den Primärquellen
- ArtikelDORA für einen Softwareanbieter: die Vertragsklauseln nach Artikel 30, die Ihr Bankkunde schickt, das Informationsregister, in dem Sie stehen werden, und was ISO 27001 bereits beantwortetSeit dem 17. Januar 2025 steuert jede Bank, jeder Versicherer, jede Wertpapierfirma und jedes Zahlungsinstitut in der Union seine Softwareanbieter nach der Verordnung (EU) 2022/2554, DORA.
- ArtikelDie neunzehn Arten von IKT-Dienstleistungen nach DORA, S01 bis S19: welche ein SaaS-Produkt ist, was das Informationsregister dazu festhält, und warum ein Vertrag mehrere Zeilen sein kannJede IKT-Dienstleistung, die eine Bank, ein Versicherer oder ein Zahlungsinstitut einkauft, wird im Informationsregister unter einem von neunzehn Codes erfasst, S01 bis S19, aus Anhang III der Durchführungsverordnung (EU) 2024/2956.
- ArtikelUnterauftragsvergabe nach DORA, RTS 2025/532: zehn Bedingungen, die Ihr Kunde prüft, zwölf Bestimmungen in Ihrem Vertrag, eine Frist vor jedem Wechsel des UnterauftragnehmersIn Kraft seit dem 22. Juli 2025 für jede IKT-Dienstleistung, die eine kritische oder wichtige Funktion unterstützt: Die Delegierte Verordnung (EU) 2025/532 gibt dem Kunden zehn Bedingungen, die er vor der Zulassung der Unterauftragsvergabe prüft, zwölf Bestimmungen, die der Vertrag dann trägt, von Ihrer Verantwortung für die Leistung des Unterauftragnehmers bis zu den Kündigungsrechten des Kunden, und eine Frist vor jeder wesentlichen Änderung eines Unterauftragnehmers.
- ArtikelDie DORA-Anbieterrichtlinie Ihrer Bank, RTS 2024/1773: die sechs Fragen der Sorgfaltsprüfung, die fünf Quellen der Sicherheit, die acht Bedingungen, um Ihr ISO-27001-Zertifikat statt eines Audits zu akzeptieren, und die fünf Berichte, die Sie schulden werdenJedes Finanzunternehmen in der Union hat eine schriftliche Leitlinie für seine Verträge über IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, und die Delegierte Verordnung (EU) 2024/1773 sagt, was diese Leitlinie enthalten muss, in Kraft seit dem 15.
- ArtikelWenn Ihr Ausfall zum schwerwiegenden Vorfall Ihres Bankkunden wird: die sechs Kriterien von DORA, die Zwei-Stunden-Schwelle der RTS 2024/1772, die Fristen von vier Stunden, 24 Stunden, 72 Stunden und einem Monat der RTS 2025/301, und die Fakten, die Ihr Kunde von Ihnen brauchen wirdEin Finanzunternehmen muss einen schwerwiegenden IKT-bezogenen Vorfall seiner Aufsicht innerhalb von vier Stunden nach der Einstufung und spätestens 24 Stunden nach Kenntnisnahme melden, innerhalb von 72 Stunden nachberichten und innerhalb eines Monats abschließen.
- ArtikelDie neun Stellen, an denen der IKT-Risikorahmen Ihres Bankkunden in Ihr Produkt hineinreicht, RTS 2024/1774: Support-Enddaten, Schwachstellenberichte und Bibliotheksverfolgung, Einstellungen, die er nicht umgehen darf, vor der Produktion getesteter Quellcode, benannte Konten für Ihre Mitarbeitenden, und Ihre Vorfälle als seine AlarmeDie Delegierte Verordnung (EU) 2024/1774, in Kraft seit dem 15.
- ArtikelBedrohungsorientierte Penetrationstests nach DORA, aus Sicht des Anbieters: wann das Red Team Ihres Bankkunden in Ihre Produktionssysteme darf, der 12-Wochen-Test der RTS 2025/1190, der gemeinsame Test, den Sie stattdessen durchführen können, und was der Vertrag bereits sagtArtikel 26 DORA lässt die größten Finanzunternehmen mindestens alle 3 Jahre einen bedrohungsorientierten Penetrationstest auf Produktivsystemen durchführen, der die ausgelagerten kritischen oder wichtigen Funktionen einschließt, und Artikel 30 Absatz 3 Buchstabe d schreibt die Teilnahme des Anbieters in den Vertrag.
- ArtikelISO 27001 vs. SOC 2 in Europa: wonach Käufer tatsächlich fragenWer nach Europa verkauft, braucht ISO 27001: EU-Ausschreibungen nannten sie in einem Jahr 3.405 Mal, gegenüber 104 für SOC 2, und in jedem einzelnen der zwölf Monate hinter dieser Zahl lag sie vorn.
- ArtikelCRA oder NIS2: Was gilt für ein Softwareunternehmen, und kann es beides sein?Der Cyber Resilience Act regelt Produkte, die in Verkehr gebracht werden; NIS2 regelt Einrichtungen, die Dienste erbringen.
Was es von Ihnen verlangt
158 Anforderungen in 4 Gruppen
Pflichten
112- 5(1) Schaffen Sie einen internen Governance-Rahmen für IKT-Risiko
- 5(2) Das Leitungsorgan genehmigt den Rahmen und verantwortet ihn
- 5(3) Benennen Sie eine Stelle zur Überwachung der IKT-Verträge
und 109 weitere
Aufgaben
4- RTS 5(1) Informieren Sie den Kunden früh genug über Unterauftragsänderungen zur Bewertung
- RTS 5(3) Ändern Sie die Unterauftragsvergabe erst nach Zustimmung oder ausbleibendem Widerspruch
- 26(3) Beteiligen Sie sich am TLPT, wenn der Umfang Sie einschließt
und 1 weitere
Klauseln
39- 31(5) Nehmen Sie binnen sechs Wochen zur Benennung Stellung
- 31(11) Beantragen Sie auf Wunsch die Einstufung als kritisch
- 35(1) Kennen Sie die Befugnisse der federführenden Behörde
und 36 weitere
Fristen
3- 301-5(1)(a) Unterstützen Sie den Erstbericht binnen vier Stunden nach Einstufung
- 301-5(1)(b) Unterstützen Sie den Zwischenbericht binnen 72 Stunden nach dem ersten
- 301-5(1)(c) Unterstützen Sie den Abschlussbericht binnen eines Monats nach dem Zwischenbericht
13 der 15 Klauseln werden durch einen ISO-27001-Nachweis beantwortet
StandardOS führt die ISO-27001-Nachweise, die die Sorgfaltsprüfung und das Prüfrecht eines Finanzkunden verlangen, in einem Arbeitsbereich, in sechs Sprachen: Lieferantenregister, Sicherungen und Wiederherstellungstests, Vorfallprozess, Kontinuitätsplan, interne Audits, die Erklärung zur Anwendbarkeit.
Die Daten sind aus der Verordnung und den genannten Rechtsakten gelesen und auf dieser Seite nie getippt. Dies ist keine Rechtsberatung, und die Verordnung ist der Text, der zu lesen ist: Verordnung (EU) 2022/2554.
Siehe auch:ArtikelKostenlose Werkzeuge