🧠 Seit etwa einem halben Jahr baue ich mir so eines für meine DORA-Werkstatt: ein KI-basiertes Second Brain, das mich in meiner Regulatorikarbeit unterstützt. Gebaut ist es nach dem LLM-Wiki-Muster von Andrej Karpathy.
In fast jedem Finanzunternehmen findet man im Richtlinienwerk einen Satz wie diesen: „Die Ausgestaltung der IKT-Sicherheitsmaßnahmen erfolgt angemessen und verhältnismäßig unter Berücksichtigung von Größe, Risikoprofil sowie Art, Umfang und Komplexität der Geschäftstätigkeit." Doch dieser Satz sagt inhaltlich nichts. Er sagt nicht, wie groß das Haus im relevanten Vergleich ist.
Trotzdem habe ich bisher kaum eine strukturierte Bewertung gesehen, aus der sich nachvollziehbar ableiten lässt, wo eine stärkere und wo eine schlankere Ausgestaltung der IKT-Sicherheitsmaßnahmen begründbar ist.
Weiterlesen: Verhältnismäßigkeit ist unter DORA in den meisten Häusern immer noch Bauchgefühl
Ihr kennt das: In der Prüfung wird die Ausgestaltung einer IKT-Sicherheitsmaßnahme beanstandet. Ihr haltet sie für angemessen, der Prüfer sieht es anders.
Drei Produkte aus dem Alltag von Finanzunternehmen, die in Cyber Resilience Act, Durchführungsverordnung (EU) 2025/2392 und den neuen Kommissionsleitlinien ausdrücklich genannt werden. ❓ Was sonst noch dazugehört? Eine Präzisierung für Finanzunternehmen?
Am 11. September starten die ersten Pflichten des Cyber Resilience Act (CRA).
121 davon allein zu DORA. 🤩 Dazu kommen mehr als 70 Veröffentlichungen der Aufsichtsbehörden und europäischen Institutionen zu DORA: BaFin, Bundesbank, EZB, EBA, EIOPA, ESMA, EU-Kommission und Co. Um bei all dem selbst den Überblick zu behalten, habe ich meine Website neu gebaut und daraus ein Nachschlagewerk für IT-Regulatorik gemacht.
→ Newsletter-Karte: „Neues aus der DORA-Werkstatt" — erscheint wöchentlich, 3.132 Abonnent:innen. „Dein regelmäßiges Update zu aufsichtlichen Entwicklungen und aktuellen Beiträgen aus der DORA-Werkstatt."
Weiterlesen: Für alle, die Lust auf meinen Newsletter haben 🤗
„ Bitte stellen Sie uns den aktuell gültigen Katalog der IKT-Sicherheitsmaßnahmen bereit. " Eine Frage aus DORA-Prüfungen nach § 44 KWG, die für Stirnrunzeln sorgt. Denn DORA kennt diesen Katalog nicht.
Weiterlesen: Der Katalog der IKT-Sicherheitsmaßnahmen unter DORA
Die meisten lesen das als: Der Vorfall betrifft eine kritische oder wichtige Funktion . Das stimmt.
Weiterlesen: Das erste DORA-Meldekriterium heißt „Kritikalität der betroffenen Dienste“
