Pflicht
ICT-Risikomanagement
Ein dokumentiertes, governantes Framework zur Identifikation, zum Schutz vor, zur Erkennung, Reaktion auf und Wiederherstellung von ICT-Risiken.
DORA
DORA bündelt ICT-Risikomanagement, Incident-Meldung, Resilienztests und Dienstleisteraufsicht in einem Regime für die operationelle Resilienz von Finanzunternehmen und ihren kritischen Dienstleistern.
- Verordnung (EU) 2022/2554 · gilt seit 17. Januar 2025
- 3 verwandte Frameworks
- 4 Wombat-Säulen
- Zuletzt geprüft 31.10.2026
Warum das jetzt zählt.
DORA ist weniger ein einmaliges Audit als der Nachweis, dass eine Organisation ICT-Störungen widerstehen, darauf reagieren und sich davon erholen kann. Wombat verbindet die Architektur-Baseline mit der operativen und dienstleisterbezogenen Evidenz, die Aufsichtsbehörden erwarten.
Was die Regulierung verlangt.
Eine praktische Lesart der Pflichten, die typischerweise in Architektur-, Betriebs- und Evidenzprüfungen landen.
Pflicht
Incident-Management und Reporting
Klassifizierung, Frühwarnung, Meldung und Abschlussbericht innerhalb definierter Fristen, mit Evidenz für die Reaktion.
Pflicht
Digital Operational Resilience Testing
Regelmäßige Tests kritischer Systeme und Wiederherstellungsfähigkeiten, angemessen zum Risikoprofil der Einrichtung.
Pflicht
ICT-Drittanbieterrisiko
Vertragliche, Konzentrations-, Exit- und Aufsichtsanforderungen für kritische ICT-Dienstleister — einschließlich der Fähigkeit, den Anbieter zu wechseln.
Wo Wombat hilft.
Jede Pflicht ist einer oder mehreren Säulen zugeordnet. Die Säulen-Seiten zeigen die Controls, Prinzipien und Evidenzerwartungen hinter dem Score.
WAF-OPS
Operative Exzellenz
DORA ist eine Operating-Model-Verordnung: Runbooks, Change Control, Monitoring und Evidenz stehen im Zentrum.
Mehr zur Säule Operative Exzellenz →WAF-REL
Zuverlässigkeit
Recovery-Ziele, Backup, Failover und Continuity-Tests sind direkt für Resilienztests relevant.
Mehr zur Säule Zuverlässigkeit →WAF-SEC
Sicherheit
Zugriffskontrolle, Schwachstellenbehandlung und sichere Konfiguration tragen das ICT-Risikoframework.
Mehr zur Säule Sicherheit →WAF-SOV
Souverän
Drittanbieter-Konzentration, Jurisdiktion und Exit-Strategie gehören zur Dienstleisteraufsicht.
Mehr zur Säule Souverän →Zu prüfende Control-Themen.
Das sind die Control-Themen, für die Teams üblicherweise Evidenz benötigen. Der Control-Katalog ist die maßgebliche Quelle für die exakte Zuordnung.
ICT-Risikomanagement und Governance
Incident-Klassifizierung und Reporting
Resilienz- und Recovery-Tests
ICT-Drittanbieter- und Konzentrationsrisiko
Business Continuity und Backup
Zugriffskontrolle und Kryptografie
SCHRITT 1
Bewerte die Operational-Resilience-Baseline über Operations, Reliability und Security.
SCHRITT 2
Prüfe Drittanbieter-, Exit- und Konzentrations-Controls vor der nächsten Vertragsverlängerung.
SCHRITT 3
Nutze fehlgeschlagene Controls, um Resilienztests und Recovery-Abnahmekriterien zu definieren.
SCHRITT 4
Exportiere die Evidenz für das ICT-Risikoregister und das Management-Reporting.
Verwandte Frameworks und Evidenz.
Wombat-Controls tragen Tags für die untenstehenden Frameworks. So lässt sich die technische Baseline mit der Evidenz verbinden, die Auditor oder Beschaffung bereits erwarten.
ISO 27001:2022
SOC 2 Type II
BSI C5:2020
Resilienz-Evidenz wiederholbar machen
Starte die Scorecard und bringe dieselben Prüfungen in die CI, damit die Evidenz zwischen Audits aktuell bleibt.
Wombat ist ein technisches Framework, keine Rechtsberatung. Diese Seiten ordnen relevante Wombat-Säulen und Control-Themen regulatorischen Pflichten zu; sie sind keine Rechtsberatung. Prüfe die Zuordnung gegen den offiziellen Text und mit deinem Auditor.
Verwandte Compliance-Hubs.
Dieselbe Control-Baseline muss meist mehr als eine Pflicht erfüllen. Wechsle zum angrenzenden Hub und nutze die Evidenz weiter.
EU-Cybersicherheitsrichtlinie
NIS2
NIS2 hebt die Baseline für Cybersicherheits-Risikomanagement, Incident-Meldung und Lieferkettenverantwortung für wesentliche und wichtige Einrichtungen in der EU.
Zum NIS2-Hub →Deutscher Cloud-Compliance-Katalog
BSI C5
Der BSI Cloud Computing Compliance Criteria Catalogue (C5) ist der deutsche Benchmark für Cloud-Sicherheit, Transparenz und Auditierbarkeit — und eine häufige Beschaffungsanforderung für Cloud-Provider und ihre Kunden.
Zum BSI C5-Hub →Cloud-Souveränitätskriterien
BSI C3A
C3A ist der unverbindliche Kriterienkatalog des BSI für digitale Souveränität bei Cloud-Diensten. Er ist in sechs Souveränitätskategorien gegliedert: strategisch, rechtlich und jurisdiktional, Daten, Betrieb, Lieferkette und Technologie.
Zum BSI C3A-Hub →Kontrolle, nicht nur Standort
Souveränität
Residenz, Jurisdiktion, Schlüsselverwahrung, Lieferantenkonzentration und Exit-Pfade — als bewertbare Controls.
Zum Souveränitäts-Hub →