Der DORA-Tempel bekommt ein Update 😉
Viele DORA-Projekte sind inzwischen abgeschlossen. Jetzt wird geprüft, was dabei herausgekommen ist.
DORA
Der Kollege kennt mal wieder eine neue Auslegung zu DORA, NIS2, CRA oder KI-VO, die ihr nicht auf dem Schirm hattet?
Wer regulatorische Anforderungen umsetzt, kennt diese Situation vermutlich gut. Das ist kein persönliches Versagen.
Habt ihr euch schon einmal ein zweites Gehirn gewünscht, das euer Fachwissen sortiert, verknüpft und mit euch weiterlernt?
🧠 Seit etwa einem halben Jahr baue ich mir so eines für meine DORA-Werkstatt: ein KI-basiertes Second Brain, das mich in meiner Regulatorikarbeit unterstützt. Gebaut ist es nach dem LLM-Wiki-Muster von Andrej Karpathy.
Was heißt eigentlich verhältnismäßig?
In fast jedem Finanzunternehmen findet man im Richtlinienwerk einen Satz wie diesen: „Die Ausgestaltung der IKT-Sicherheitsmaßnahmen erfolgt angemessen und verhältnismäßig unter Berücksichtigung von Größe, Risikoprofil sowie Art, Umfang und Komplexität der Geschäftstätigkeit." Doch dieser Satz sagt inhaltlich nichts. Er sagt nicht, wie groß das Haus im relevanten Vergleich ist.
Verhältnismäßigkeit ist unter DORA in den meisten Häusern immer noch Bauchgefühl
Trotzdem habe ich bisher kaum eine strukturierte Bewertung gesehen, aus der sich nachvollziehbar ableiten lässt, wo eine stärkere und wo eine schlankere Ausgestaltung der IKT-Sicherheitsmaßnahmen begründbar ist.
Weiterlesen: Verhältnismäßigkeit ist unter DORA in den meisten Häusern immer noch Bauchgefühl
Alle fordern Verhältnismäßigkeit. Doch kaum jemand kann erklären, was eigentlich verhältnismäßig ist
Ihr kennt das: In der Prüfung wird die Ausgestaltung einer IKT-Sicherheitsmaßnahme beanstandet. Ihr haltet sie für angemessen, der Prüfer sieht es anders.
TAN-Generatoren. Banking-Apps. Zahlungskarten
Drei Produkte aus dem Alltag von Finanzunternehmen, die in Cyber Resilience Act, Durchführungsverordnung (EU) 2025/2392 und den neuen Kommissionsleitlinien ausdrücklich genannt werden. ❓ Was sonst noch dazugehört? Eine Präzisierung für Finanzunternehmen?
In weniger als 4 Wochen greift eine neue IKT-Meldepflicht! Und ja: auch für Finanzunternehmen. 😅
Am 11. September starten die ersten Pflichten des Cyber Resilience Act (CRA).
155 Fachbeiträge zu DORA, NIS2, CRA und KI-VO habe ich in den vergangenen zweieinhalb Jahren hier auf LinkedIn geschrieben
121 davon allein zu DORA. 🤩 Dazu kommen mehr als 70 Veröffentlichungen der Aufsichtsbehörden und europäischen Institutionen zu DORA: BaFin, Bundesbank, EZB, EBA, EIOPA, ESMA, EU-Kommission und Co. Um bei all dem selbst den Überblick zu behalten, habe ich meine Website neu gebaut und daraus ein Nachschlagewerk für IT-Regulatorik gemacht.
Für alle, die Lust auf meinen Newsletter haben 🤗
→ Newsletter-Karte: „Neues aus der DORA-Werkstatt" — erscheint wöchentlich, 3.132 Abonnent:innen. „Dein regelmäßiges Update zu aufsichtlichen Entwicklungen und aktuellen Beiträgen aus der DORA-Werkstatt."
Weiterlesen: Für alle, die Lust auf meinen Newsletter haben 🤗