DORA gilt seit dem 17. Januar 2025. Wurde Ihre Cloud-Architektur noch nicht unabhängig auf IKT-Drittparteienrisiko (Art. 28–30), Konzentrationsrisiko (Art. 29), getestete Exit-Strategien (Art. 28 Abs. 8) und Resilienztests (Art. 24–27) geprüft, wird der nächste Aufsichtszyklus die Lücken aufdecken, die Sie lieber selbst zuerst finden würden.
Ænix führt ein an DORA ausgerichtetes Platform-Readiness-Projekt für Finanzunternehmen und die IKT-Drittdienstleister durch, die sie beliefern.
Passt zu: Ænix Private Cloud Platform — darauf ausgelegt, die DORA-Arbeit zu unterstützen: optional aktivierbare Volume-Verschlüsselung mit gemeinsam mit Ihnen festgelegtem Schlüsselmanagement, Audit-Logs mit konfigurierbarer Aufbewahrung, die sich in Ihren eigenen unveränderlichen Speicher ausleiten lassen, Mandantentrennung entlang der IKT-Risikoklassifizierung, ein Open-Source-Stack, der Exit-Pläne testbar macht, und Lieferantentransparenz bis zur zweiten Stufe. Kostenlose DORA-Compliance-Checkliste →.
Für wen das gedacht ist
Die gemessenen Nachweise hinter diesen Kontrollen — vollständige Ergebnisse des CIS Kubernetes Benchmark, Einträge zur Kubernetes Conformance und eine klare Aussage dazu, was Ænix beansprucht und was nicht — finden Sie auf den Compliance-Nachweisseiten, darunter die Seite mit den DORA-Nachweisen. Diese Seiten enthalten tatsächliche Prüfergebnisse und deren Begründung und sind veröffentlicht, damit ein Prüfer sie nachvollziehen kann. Die AENIX s.r.o. selbst ist für ihr eigenes ISMS nach ISO/IEC 27001:2022 zertifiziert (Zertifikat).
Sie lesen als CISO? Der CISO-Leitfaden fasst zusammen, was die Plattform leistet und was nicht.
DORA gilt direkt oder indirekt für nahezu jede Organisation in der Finanzlieferkette der EU. Am häufigsten arbeiten wir mit:
- Banken und Kreditinstituten, deren IKT-Drittparteienvereinbarungen nach Art. 28 unter aufsichtlicher Prüfung stehen.
- Versicherern und Rückversicherern mit Datenflüssen über mehrere Jurisdiktionen und grenzüberschreitendem Disaster Recovery.
- Wertpapierfirmen, Zahlungsinstituten und Anbietern von Krypto-Dienstleistungen, die als Finanzunternehmen nach Art. 2 DORA in den Geltungsbereich fallen.
- IKT-Drittdienstleistern, die kritische Funktionen für Unternehmen im Geltungsbereich erbringen — darunter Hosting-Anbieter, SaaS-Anbieter und Betreiber von Managed Services.
Unterstützt Ihr Cloud-Setup eine kritische oder wichtige Funktion im Sinne von DORA, gelten die folgenden Anforderungen inhaltlich, nicht nur formal.
Was DORA von Ihrer Cloud-Architektur verlangt
1. Transparenz beim IKT-Drittparteienrisiko (Art. 28–30) Für jeden IKT-Lieferanten in Ihrem Stack — Hyperscaler, SaaS, Managed Service — gelten Pflichten aus Art. 28. Das Finanzunternehmen muss die Lieferkette einschließlich der Unterauftragnehmer abbilden und seine Position zum Konzentrationsrisiko dokumentieren.
2. Getestete Exit-Strategien (Art. 28 Abs. 8) Art. 28 Abs. 8 verlangt Exit-Strategien für jede IKT-Vereinbarung, die eine kritische oder wichtige Funktion unterstützt, und verlangt, dass diese Pläne umfassend, dokumentiert und angemessen getestet sind. Art. 30 Abs. 3 Buchst. f verankert die entsprechenden Ausstiegsklauseln im Vertrag. Ein ungetesteter Plan erfüllt den Artikel nicht.
3. Tests der digitalen operationalen Resilienz (Art. 24–27) Mindestens jährliche Tests der IKT-Tools und -Systeme für alle Unternehmen im Geltungsbereich (Art. 24–25), dazu bedrohungsorientierte Penetrationstests mindestens alle drei Jahre für Unternehmen, die ihre zuständige Behörde dafür bestimmt (Art. 26–27). Beides läuft gegen die laufende Architektur, nicht gegen die Dokumentation.
4. Nachweisbares IKT-Risikomanagement (Art. 5–16) und Meldung von Vorfällen (Art. 17–23) Datenresidenz für Produktion, Backup, Observability und CI/CD-Artefakte; Wiederherstellung auf Systemen, die von der Quelle getrennt sind (Art. 12 Abs. 3); eine Schlüsselverwahrung, die das Finanzunternehmen erklären kann; und Audit-Trails, die sich in für die Aufsicht verwertbaren Formaten exportieren lassen. Schwerwiegende Vorfälle werden nach Art. 19 gemeldet. Erkennung und Klassifizierung müssen schnell genug für die Meldefristen der Delegierten Verordnung (EU) 2025/301 sein.
Eine Checkliste auf Kontrollebene mit operativer Formulierung zu jedem dieser Punkte finden Sie in der DORA-Compliance-Checkliste.
Wo die meisten Cloud-Setups zu kurz greifen
Observability-Daten verlassen still den Geltungsbereich des Regulators Die Produktionsdatenbank mag die Anforderungen erfüllen. Der SaaS-Observability-Stack, der die Anwendungslogs sammelt, wahrscheinlich nicht. Art. 28 DORA gilt für die gesamte IKT-Drittparteienvereinbarung.
Der Exit-Plan existiert auf dem Papier, wurde aber nie getestet Art. 28 Abs. 8 verlangt, dass der Exit-Plan angemessen getestet ist, nicht bloß geschrieben. Ohne Probe ist die angegebene Dauer bis zum Ausstieg geraten.
Konzentrationsrisiko wird als Beschaffungs- statt als Architekturfrage behandelt Art. 29 verlangt, dass das Unternehmen die Konzentration auf Ebene der IKT-Vereinbarungen bewertet. Vertragliche Diversifizierungsklauseln ohne architektonische Vielfalt beantworten das nicht.
Das Risiko durch Unterauftragnehmer ist ab der zweiten Stufe unsichtbar Art. 30 Abs. 2 Buchst. a verlangt, dass der Vertrag festlegt, ob IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen weitervergeben werden dürfen und unter welchen Bedingungen. Die meisten Unternehmen können die Kette über die erste Stufe hinaus nicht beschreiben.
Wie Ænix hilft
Unser DORA-Projekt ist in das Platform Readiness Assessment eingebettet; für den DORA-spezifischen Umfang liegt der Schwerpunkt auf dem Arbeitsstrang Souveränität und regulatorische Lücken. Das 14- oder 28-tägige Projekt liefert:
- DORA-Karte auf Kontrollebene — eine Tabelle Kontrolle für Kontrolle, die zeigt, was Sie heute nachweisen können, was teilweise erfüllt ist und wo die architektonischen Lücken liegen.
- Bild des Konzentrationsrisikos — Abbildung der Lieferkette (bis zur zweiten Stufe) mit quantifizierter Konzentrationsposition pro kritischer Funktion.
- Analyse der Exit-Machbarkeit — belastbare Schätzungen der Dauer bis zum Ausstieg, Zuschnitt von Exit-Übungen und eine Reihenfolge, die auf das Auslaufen von Commitments abgestimmt ist.
- Bereitschaft für Resilienztests — ob Ihre Architektur die szenariobasierten Tests unterstützt, die die Aufsicht erwartet.
- Maßnahmenplan auf Architekturebene — was in welcher Reihenfolge zu beheben ist, mit Aufwandsschätzungen.
Geliefert von Ænix-Ingenieuren — dem Team, das Cozystack entwickelt hat — und nicht von Managementberatern.
Warum gerade Ænix
Die meiste DORA-Beratung kommt von Big-Four-Beratungshäusern, die an einen Hyperscaler-Partner übergeben, dessen Interessen die Empfehlung prägen.
Wir unterscheiden uns in drei konkreten Punkten:
- Keine Hyperscaler-Bindung. Unsere Empfehlungen sind kommerziell weder an AWS, Azure, GCP noch an einen anderen Anbieter gebunden. Lautet die Antwort „Hyperscaler mit besseren Kontrollen“, sagen wir das. Lautet sie „On-Premises oder Hybrid“, sagen wir das.
- Ingenieure statt Berater. Dieselben Ænix-Ingenieure, die das Readiness-Projekt durchführen, bauen danach die Produktionsplattformen. Die Aufwandsschätzungen im Bericht sind an Arbeit kalibriert, die wir tatsächlich ausgeliefert haben.
- Open-Source-Plattform als Fundament. Wir haben Cozystack entwickelt und pflegen es gemeinsam mit Maintainern anderer Unternehmen — ein CNCF-Sandbox-Projekt, eine CNCF Certified Kubernetes Distribution mit OpenSSF-Best-Practices-Badge. Wo eine Architektur auf Basis von Cozystack die inhaltlichen Anforderungen von DORA besser erfüllt als die Alternative, begründet der Bericht das anhand konkret benannter Kontrollen.
Wie das Projekt abläuft
Tag 0 ist ein kostenloses 30-minütiges Discovery-Gespräch, in dem der Umfang festgelegt wird. An den Tagen 1–13 (bzw. 1–27) laufen vier parallele Arbeitsstränge mit Schwerpunkt auf Souveränität und regulatorischen Lücken, begleitet von täglichen asynchronen Updates und drei Abstimmungsterminen mit dem Sponsor. An Tag 14 (bzw. 28) folgt ein 60- bis 90-minütiger Executive-Readout zum schriftlichen Bericht — DORA-Kontrollkarte, Konzentrationsanalyse, Exit-Machbarkeit, Bereitschaft für Resilienztests und Maßnahmenplan. Die vollständige Methodik Tag für Tag: Platform Readiness Assessment.
Passende Fallstudien
Projekte für Banken und Finanzgruppen sind in anonymisierter Form veröffentlicht:
- Private Cloud in einer Bank — Developer Self-Service auf der eigenen Infrastruktur der Bank.
- Einheitliches Cloud-Portal für eine Finanzgruppe — ein Self-Service-Portal über bestehende Landschaften hinweg.
Alle beschriebenen Projekte finden Sie auf der Seite mit den Fallstudien. Referenzgespräche vereinbaren wir unter Geheimhaltung, sofern der Kunde zustimmt.
Preise und Projektumfang
14 Tage (fokussierter DORA-Umfang)
Arbeitsstrang mit DORA-Schwerpunkt in der Tiefe, ein Geschäftsbereich bzw. eine Domäne. Vollständige Kontrollkarte, Konzentrationsanalyse, Exit-Machbarkeit, Maßnahmenplan. Auf Anfrage
28 Tage (volles DORA plus angrenzende Themen)
DORA plus Abgleich der Überschneidungen mit NIS2, DSGVO und Branchenregeln. Stakeholder-Interviews über mehrere Geschäftsbereiche. Anbieter-Shortlist, wo sinnvoll. Umsetzungs-Roadmap für Phase 2. Auf Anfrage
Festpreis. Eine Rechnung. Gegenseitige NDA zum Projektstart. Folgt ein Umsetzungsprojekt in Phase 2, werden die Kosten des Assessments darauf angerechnet (je nach Umfang).
Wir nehmen RFI und RFP über die üblichen Beschaffungskanäle an; EU-Verträge laufen über die AENIX s.r.o. (Tschechien). Das Discovery-Gespräch klärt die verfahrensrechtliche Eignung.
Beginnen Sie mit einem 30-minütigen Discovery-Gespräch
Wir prüfen die Passung, grenzen den Umfang auf die Artikel ein, die Sie tatsächlich binden, und empfehlen die passende Variante — 14 oder 28 Tage.
Oder lesen Sie weiter:
- DORA-Compliance-Checkliste — die Checkliste auf Kontrollebene
- DORA-IKT-Anforderungen an die Cloud-Architektur — die ausführliche Erläuterung
- Platform Readiness Assessment — das Projekt, das den DORA-Arbeitsstrang enthält
- Datensouveränität 2026 — angrenzender regulatorischer Auslöser
- Cozystack — die Plattform, die wir typischerweise für souveräne Architekturen empfehlen
Ænix hat Cozystack entwickelt — ein CNCF-Sandbox-Projekt, eine CNCF Certified Kubernetes Distribution mit OpenSSF Best Practices — und pflegt es gemeinsam mit Maintainern anderer Unternehmen. Wir führen an DORA ausgerichtete Platform-Readiness-Projekte und Platform-Engineering-Programme für Finanzdienstleister durch. Die AENIX s.r.o. ist nach ISO/IEC 27001:2022 zertifiziert.