Die DORA-Compliance-Checkliste zur Cloud-Architektur ist eine kostenlose Selbstbewertung mit 35 Punkten, mit der Finanzunternehmen und IKT-Drittdienstleister prüfen, ob ihre Cloud-Infrastruktur die Anforderungen des Digital Operational Resilience Act der EU (Verordnung (EU) 2022/2554) erfüllt. Sie gliedert sich in sechs Abschnitte: Workload-Portabilität und Ausstiegsfähigkeit, Konzentrationsrisiko, operationale Resilienz, Souveränität und Zugang der Aufsicht, Drittparteienrisiko und Vertragsgestaltung sowie Risikomanagement und Vorfallbehandlung (der IKT-Risikomanagementrahmen nach Art. 5–16 und die Klassifizierung und Meldung von Vorfällen nach Art. 17–19, mit der Meldung schwerwiegender Vorfälle nach Art. 19). Ænix setzt sie in an DORA ausgerichteten Readiness-Projekten ein. Sie passt zur Ænix Private Cloud Platform auf Basis von Cozystack (CNCF-Sandbox-Projekt, Apache 2.0). Die Plattform bietet optionale Volume-Verschlüsselung, API-Audit-Logs mit konfigurierbarer Aufbewahrung, die sich in Ihren eigenen unveränderlichen (WORM-)Speicher ausleiten lassen, Mandantenfähigkeit über die Tenant-CRD, die Sie an der IKT-Risikoklassifizierung ausrichten können, und einen Ausstieg, den Sie proben können, weil Workloads gewöhnliche Kubernetes-Objekte und virtuelle Maschinen bleiben. Ænix beansprucht keine DORA-Zertifizierung: Für eine Plattform gibt es keine.
Eine Checkliste mit 35 Punkten für Finanzunternehmen und IKT-Drittdienstleister, die ihre Cloud-Infrastruktur auf DORA-Anforderungen prüfen. Sie deckt den IKT-Risikomanagementrahmen (Art. 5–16), Klassifizierung und Meldung von Vorfällen (Art. 17–19), Resilienztests und TLPT (Art. 24–27), IKT-Drittparteienrisiko, Ausstiegsstrategien und wesentliche Vertragsbestimmungen (Art. 28–30) sowie Verschlüsselung und Auditfähigkeit ab. Ænix setzt sie in an DORA ausgerichteten Readiness-Projekten ein.
Passt zu: Ænix Private Cloud Platform — darauf ausgelegt, die plattformseitigen Kontrollen zu liefern, auf die sich ein DORA-Programm stützt: optionale Volume-Verschlüsselung, Audit-Logs mit konfigurierbarer Aufbewahrung, die sich in Ihren eigenen unveränderlichen (WORM-)Speicher ausleiten lassen, Mandantenfähigkeit über die Tenant-CRD, die Sie an der IKT-Risikoklassifizierung ausrichten können, transparente Lieferanteninformationen und ein Ausstieg, den Sie proben können. Was die Plattform abdeckt und was nicht, zeigt die Seite mit den DORA-Nachweisen.
Was die Checkliste enthält
Sechs Abschnitte mit 35 konkreten Kontrollpunkten:
- Workload-Portabilität und Ausstiegsfähigkeit (5 Prüfpunkte) — Ausstiegsstrategien nach Art. 28 Abs. 8 und Art. 30 Abs. 3 lit. f
- Konzentrationsrisiko (4 Prüfpunkte) — Art. 28 und 29
- Operationale Resilienz (5 Prüfpunkte) — Resilienztests nach Art. 24–27, einschließlich bedrohungsorientierter Penetrationstests
- Souveränität und Zugang der Aufsicht (5 Prüfpunkte)
- Drittparteienrisiko und Vertragsgestaltung (4 Prüfpunkte) — Art. 28–30
- Risikomanagement und Vorfallbehandlung (12 Prüfpunkte) — der IKT-Risikomanagementrahmen nach Art. 5–16 (insbesondere Art. 6) sowie Klassifizierung, Meldung und Behandlung von Vorfällen nach Art. 17–19
Selbstbewertung mit 35 PunktenArt. 5–16 + 17–19Kostenloses PDF
fließt ein in
An DORA ausgerichtetes Readiness-ProjektEingesetzt von Ænix
bereitet vor
Dialog mit der AufsichtNachweisbare Ausstiegsfähigkeit
Wer sie nutzt
- CISOs in Finanzunternehmen, die den Dialog mit der Aufsicht vorbereiten
- Cloud-Architekten bei IKT-Drittdienstleistern, die den Finanzsektor bedienen
- Compliance-Teams, die DORA-Readiness-Projekte abstecken
- Einkaufsteams, die eine RFI für an DORA ausgerichtete Leistungen vorbereiten
Nach dem Download
Mit der Checkliste bewerten Sie Ihre aktuelle Cloud-Architektur anhand der DORA-Anforderungen. Für ein vollständiges, an DORA ausgerichtetes Projekt siehe die Seite zur DORA-Compliance.
Verwandte Ressourcen
Ænix hat Cozystack (ein CNCF-Sandbox-Projekt) entwickelt und pflegt es gemeinsam mit Maintainern anderer Unternehmen. Darauf aufbauend bietet Ænix drei Plattformen an: Public Cloud, Private Cloud und AI.
Häufig gestellte Fragen
Was ist DORA, und wer muss die Verordnung einhalten?
DORA (Digital Operational Resilience Act, Verordnung (EU) 2022/2554) ist die EU-Verordnung zum IKT-Risiko im Finanzsektor. Sie gilt für Finanzunternehmen wie Banken, Versicherer und Zahlungsinstitute. Deren IKT-Drittdienstleister, darunter Cloud- und Infrastrukturanbieter, werden über die Vertrags- und Drittparteienregeln der Art. 28–30 einbezogen; als kritisch eingestufte Anbieter unterliegen nach Art. 31–44 einer direkten Überwachung.
Was deckt die Checkliste ab?
Sie enthält 35 Kontrollpunkte in sechs Gruppen: Workload-Portabilität und Ausstiegsfähigkeit (5), Konzentrationsrisiko (4), operationale Resilienz (5), Souveränität und Zugang der Aufsicht (5), Drittparteienrisiko und Vertragsgestaltung (4) sowie Risikomanagement und Vorfallbehandlung (12). Jeder Punkt nennt den zugehörigen DORA-Artikel: Art. 28 Abs. 8 und Art. 30 Abs. 3 lit. f für Ausstiegsstrategien, Art. 29 für das Konzentrationsrisiko, Art. 5–16 für den IKT-Risikomanagementrahmen, Art. 17–19 für Klassifizierung und Meldung von Vorfällen und Art. 26–27 für bedrohungsorientierte Penetrationstests.
Ist die Checkliste kostenlos?
Ja. Die Checkliste ist ein kostenloses PDF. Sie fordern es über das Formular auf dieser Seite an und erhalten einen Download-Link. Ænix nutzt dieselbe Checkliste auch in bezahlten, an DORA ausgerichteten Readiness-Projekten.
Wie unterstützt die Ænix Private Cloud Platform bei DORA?
Sie liefert plattformseitige Kontrollen, auf die sich ein DORA-Programm stützt, nicht die Compliance selbst — DORA verpflichtet Finanzunternehmen, nicht Plattformen, und ein DORA-Zertifikat gibt es nicht. Die Ænix Private Cloud Platform basiert auf Cozystack und bietet optionale Volume-Verschlüsselung, API-Audit-Logs mit konfigurierbarer Aufbewahrung (standardmäßig 30 Tage), die sich in Ihren eigenen unveränderlichen (WORM-)Speicher ausleiten lassen, Mandantenfähigkeit über die Tenant-CRD, die Sie der IKT-Risikoklassifizierung zuordnen können, transparente Lieferanteninformationen und einen Ausstieg, den Sie proben können, statt ihn nur in einer Vertragsklausel zuzusagen. Die Details Kontrolle für Kontrolle, einschließlich dessen, was die Plattform nicht leistet, stehen auf der Seite mit den DORA-Nachweisen.
Ersetzt die Checkliste ein formales DORA-Audit?
Nein. Sie ist eine Arbeitsgrundlage zur Selbstbewertung Ihrer aktuellen Cloud-Architektur und zur Vorbereitung auf den Dialog mit der Aufsicht. Für ein vollständiges Projekt siehe die Seite zur DORA-Compliance auf aenix.io.
Ist Cozystack Open Source, und wie sieht das Lizenzmodell aus?
Cozystack ist Open Source unter der Apache-2.0-Lizenz, ohne Lizenzkosten pro CPU oder Core, und ein CNCF-Sandbox-Projekt. Die darauf aufbauende Ænix Private Cloud Platform für regulierte Organisationen wird nach einem Platform Readiness Assessment per RFP angeboten; Support-Stufen für selbst betriebenes Cozystack beginnen bei 1.250 USD pro 10 Nodes und Monat.
