Seit dem 11. September 2026 gelten die Meldepflichten nach Art. 14 CRA. Damit stellt sich die erste schwierige Frage: Welche Produkte sind überhaupt gemeint? Die CRA-Produktpyramide macht die vier Produktklassen greifbar.
Weiterlesen: Fällt euer Produkt unter den Cyber Resilience Act? Und wenn ja: in welche Klasse?
Viele DORA-Projekte sind inzwischen abgeschlossen. Die Richtlinien sind verabschiedet, das Informationsregister ist eingereicht, und die meisten Häuser gehen davon aus, die Anforderungen ordentlich umgesetzt zu haben.
Damit wird die Verordnung auch für Finanzunternehmen relevant. Und sie dürfte bald auf eurem Schreibtisch landen, wenn sie dort nicht längst liegt. 😅 Deshalb gibt es heute gute Nachrichten: Der CRA Deep Dive ist da! ⏳ Vollständig gilt der CRA ab dem 11.12.2027.
Weiterlesen: Banking-Apps, TAN-Apps und Zahlungskarten können unter den CRA fallen
Die Q&A der europäischen Aufsichtsbehörden (kurz: ESAs) gehören für mich zu den wichtigsten Quellen, um DORA und die Auslegung der Verordnung zu verstehen. Sie beantworten einen Großteil der Fragen, die nach dem Lesen des Rechtstexts offenbleiben, weil die Verordnung sie nicht eindeutig regelt.
Weiterlesen: Was DORA offenlässt, beantworten die ESAs in ihren Q&A. Kennt ihr sie eigentlich alle?
Das Video gibt euch einen schnellen Überblick 😊 Selbst ausprobieren könnt ihr ihn natürlich auch: Eine Vorschau findet ihr auf meiner Website, den Link im ersten Kommentar.
Was lange währt, wird endlich gut. 😊 Im Sommer habe ich euch hier meinen DORA-Navigator angekündigt. Dass mich die Fertigstellung bis in den Frühherbst beschäftigen würde, hätte ich damals nicht gedacht.
Weiterlesen: DORA-Navigator 2.0 – das interaktive DORA-Handbuch ist da!
Viele DORA-Projekte sind inzwischen abgeschlossen. Jetzt wird geprüft, was dabei herausgekommen ist.
Wer regulatorische Anforderungen umsetzt, kennt diese Situation vermutlich gut. Das ist kein persönliches Versagen.
🧠 Seit etwa einem halben Jahr baue ich mir so eines für meine DORA-Werkstatt: ein KI-basiertes Second Brain, das mich in meiner Regulatorikarbeit unterstützt. Gebaut ist es nach dem LLM-Wiki-Muster von Andrej Karpathy.
In fast jedem Finanzunternehmen findet man im Richtlinienwerk einen Satz wie diesen: „Die Ausgestaltung der IKT-Sicherheitsmaßnahmen erfolgt angemessen und verhältnismäßig unter Berücksichtigung von Größe, Risikoprofil sowie Art, Umfang und Komplexität der Geschäftstätigkeit." Doch dieser Satz sagt inhaltlich nichts. Er sagt nicht, wie groß das Haus im relevanten Vergleich ist.
