DORA-Compliance Beratung
DORA gilt seit dem 17. Januar 2025. Wir begleiten Finanzunternehmen von der Gap-Analyse über den Aufbau des IKT-Risikomanagements bis zum jährlichen Penetrationstest nach Art. 25 - alles aus einer Hand, transparent kalkuliert.
ISO 27001 zertifiziert · Festpreis-Garantie · DORA-Expertise seit 2024
AWARE7 DORA-Leistungen
Diese Unternehmen vertrauen uns
Unsere Leistungen
Jede DORA-Anforderung erfordert spezifisches Know-how. Wir decken alle fünf Säulen mit konkreten Beratungsleistungen ab, aus einer Hand.
Art. 5-16
Aufbau oder Erweiterung des IKT-Risikomanagementrahmens nach Art. 5-16: Asset-Inventar, Risikobewertungsverfahren, Schutzmaßnahmen und Vorstandsverankerung. Für ISO-27001-Organisationen: effizientes Delta-Mapping auf DORA-Spezifika.
Gap-Analyse · Asset-Inventar · Risikomanagementrahmen · Business Continuity Plan
Art. 17-23
Entwicklung und Implementierung vollständiger Vorfallsklassifizierungs- und Meldeprozesse, die die 4-Stunden-Erstmeldung und 72-Stunden-Zwischenberichtspflicht an die BaFin sicherstellen. Inklusive EBA-RTS-konformer Meldetemplates und Eskalationsmatrizen.
Klassifizierungsverfahren · 4h/72h Meldeprozesse · BaFin-Reporting-Templates · SIEM-Integration (optional)
Art. 24-27
Jährliche Penetrationstests und Vulnerability Assessments nach Art. 25 DORA für alle betroffenen Finanzunternehmen. Für bedeutende Institute: Vorbereitung und Durchführung von Threat-Led Penetration Tests (TLPT) nach TIBER-EU mit OSCP-zertifizierten Testern.
Jährliche Penetrationstests · Vulnerability Assessments · TLPT nach TIBER-EU · Aufsichtskoordination
Art. 28-44
Vollständiger Aufbau des IKT-Drittparteienregisters nach Art. 28: Erfassung aller Dienstleister, Kritikalitätseinstufung, Konzentrationsrisikoanalyse. Vertragsanalyse auf DORA-Mindestklauseln nach Art. 30 und Entwicklung von Mustervertragsklauseln.
Drittparteienregister (Art. 28) · Vertragsanalyse (Art. 30) · Konzentrationsrisikoanalyse · Exit-Strategie-Templates
Art. 45
Beratung zum DORA-konformen Aufbau oder Beitritt zu Threat-Intelligence-Sharing-Gemeinschaften nach Art. 45. Datenschutzkonforme Gestaltung des Informationsaustauschs und Anbindung an bestehende ISACs des Finanzsektors.
ISAC-Beitrittsberatung · Datenschutz-konforme Prozesse · Threat-Intelligence-Integration · Vertraulichkeitsrahmen
Alle Artikel
DORA verpflichtet das Leitungsorgan zur persönlichen Verantwortung für das IKT-Risikomanagement und zum Nachweis entsprechender Kenntnisse. Wir bieten kompakte DORA-Schulungen für Vorstand und Geschäftsleitung, praxisnah und ohne unnötige Theorie.
DORA-Überblick für Führungskräfte · Haftungsszenarien · Aufsichtskommunikation · Dokumentationspflichten
Unser Vorgehen
Strukturiert, transparent und mit klären Meilensteinen: so führen wir Sie zur nachweisbaren DORA-Compliance. Alle Schritte sind auf Festpreisbasis kalkulierbar.
Dauer: 1-2 Tage
Klärung Ihrer DORA-Kategorie nach Art. 2, Umfang der geltenden Anforderungen und Prüfung der Verhältnismäßigkeitsregelungen für Ihr Unternehmen. Ergebnis: eindeutige Einordnung und Priorisierung.
Dauer: 5-10 Tage
Strukturierter Abgleich aller bestehenden IKT-Risikomanagement-Maßnahmen, Vorfallsprozesse und Drittparteienverträge gegen sämtliche DORA-Anforderungen. Ergebnis: priorisierter Maßnahmenplan.
Dauer: 3-8 Tage
Vollständiger Aufbau des IKT-Drittparteienregisters nach Art. 28: alle Dienstleister erfassen, Kritikalität einstufen, Verträge auf DORA-Konformität prüfen, Konzentrationsrisiken identifizieren.
Dauer: jährlich / alle 3 Jahre
Durchführung der jährlichen Resilienztests nach Art. 25 DORA. Für bedeutende Institute: Vorbereitung und Koordination des TLPT-Prozesses nach TIBER-EU inkl. Abstimmung mit der BaFin.
„DORA ist kein Papiertiger. Die Aufsichtsbehörden prüfen substanziell. Finanzunternehmen, die DORA-Compliance mit einem Dokumentenpaket gleichsetzen, unterschätzen die Anforderungen. Unsere Stärke ist die Kombination aus ISMS-Methodik und echten Penetrationstests: Wir bauen DORA-Frameworks, die einem TLPT-Test standhalten.“
Oskar Braun
ISO 27001 Lead Auditor (IRCA-zertifiziert) · AWARE7 GmbH
Warum AWARE7
Die Kombination aus Offensive-Security-Expertise und ISMS-Erfahrung macht AWARE7 besonders geeignet für DORA-Mandate, insbesondere für die Resilienztesting-Anforderungen.
AWARE7 führt seit über 12 Jahren Penetrationstests durch. Unsere OSCP- und OSWA-zertifizierten Tester kennen die Angriffstechniken, gegen die DORA-Resilienztests prüfen, und bauen Ihre Abwehr entsprechend praxistauglich auf.
OSCP / OSWA / OSWP-Zertifikate · Red-Team-Erfahrung · TIBER-EU-Kenntnis · 500+ Penetrationstests
Wir sind selbst nach ISO 27001 und ISO 9001 zertifiziert. 20+ begleitete ISMS-Projekte, alle erfolgreich zertifiziert, belegen unsere Methodik. Für DORA bedeutet das: kein Aufbau auf der grünen Wiese, sondern effizientes Delta-Mapping auf Basis bestehender ISMS-Strukturen.
Selbst ISO 27001 zertifiziert · 20+ ISMS-Projekte · Alle Projekte erfolgreich zertifiziert · NIS2-Synergien nutzen
Gap-Analyse, IKT-Risikomanagement, Drittparteienregister, Vorfallsprozesse und jährliche Penetrationstests. All das liefern wir aus einer Hand. Kein Koordinationsaufwand zwischen verschiedenen Anbietern, klare Ansprechpartner, einheitliche Qualität.
Einheitliche Methodik · Festpreisangebote · 24h bis Angebot (werktags) · 100% festangestellte Experten
Warum AWARE7 für DORA-Beratung
Reine Awareness-Plattformen testen keine Systeme. Reine Beratungskonzerne sind zu weit weg. AWARE7 verbindet beides: Wir hacken Ihre Infrastruktur und schulen Ihre Mitarbeiter: mittelstandsgerecht, persönlich, ohne Enterprise-Overhead.
Rund 20% unseres Umsatzes stammen aus Forschungsprojekten für BSI und BMBF. Unsere auf ACM- und Springer-Konferenzen publizierten Studien analysieren Millionen von Websites und Zehntausende Phishing-E-Mails. Drei unserer Führungskräfte sind gleichzeitig Professoren an deutschen Hochschulen.
Ihre Daten liegen vom Erstkontakt bis zum Abschlussbericht auf unseren eigenen Servern in Deutschland - ohne US-Cloud-Anbieter, ohne Drittlandtransfer. Auch unsere KI läuft auf eigener Hardware in Deutschland - mit lokal betriebenen Open-Source-Modellen. Kunden- und Auftraggeberdaten erreichen keine externen KI-Dienste. Alle Mitarbeiter sind festangestellt, sozialversicherungspflichtig und einheitlich rechtlich verpflichtet.
Mehr zur digitalen SouveränitätInnerhalb von 24 Stunden erhalten Sie ein verbindliches Festpreisangebot ohne Stundensatz-Risiko. Eingespieltes Team und standardisierte Prozesse sorgen für einen klaren Zeitplan mit definiertem Start- und Endtermin.
Ein persönlicher Projektleiter begleitet Sie vom Erstgespräch bis zum Re-Test. Sie buchen Termine direkt bei Ihrem Ansprechpartner und behalten dieselbe Kontaktperson über das gesamte Projekt.
Peer-reviewte Publikationen
Different Seas, Different Phishes - Large-Scale Analysis of Phishing Simulations
ACM AsiaCCS 2025
Oskar Braun, Jan Hörnemann, Norbert Pohlmann, Matteo Große-Kampmann
A Platform for Physiological and Behavioral Security
NSPW 2025
Jan Hörnemann
Privacy from 5 PM to 6 AM: Tracking and Transparency in the HbbTV Ecosystem
IEEE/IFIP DSN 2025
Jan Hörnemann, Norbert Pohlmann, Matteo Große-Kampmann
Understanding Regional Filter Lists: Efficacy and Impact
PoPETS 2025
Jan Hörnemann, Norbert Pohlmann, Matteo Große-Kampmann
Für wen sind wir der richtige Partner?
Ihre DORA-Experten
Unsere zertifizierten Berater kennen die regulatorischen Anforderungen an den Finanzsektor.
Geschäftsführender Gesellschafter der AWARE7 GmbH mit langjähriger Expertise in Informationssicherheit, Penetrationstesting und IT-Risikomanagement. Absolvent des Masterstudiengangs Internet-Sicherheit an der Westfälischen Hochschule (if(is), Prof. Norbert Pohlmann). Bestseller-Autor im Wiley-VCH Verlag und Lehrbeauftragter der ASW-Akademie. Einschätzungen zu Cybersecurity und digitaler Souveränität erschienen u.a. in Welt am Sonntag, WDR, Deutschlandfunk und Handelsblatt.
M.Sc. Internet-Sicherheit (if(is), Westfälische Hochschule). COO und Prokurist mit Expertise in Informationssicherheitsberatung und Security Awareness. Nachwuchsprofessor für Cyber Security an der FOM Hochschule, CISO-Referent bei der isits AG und Promovend am Graduierteninstitut NRW.
Betroffene Unternehmen
DORA gilt für alle Finanzunternehmen nach Art. 2 DORA sowie für kritische IKT-Drittanbieter. Wir unterstützen sämtliche betroffenen Unternehmenstypen mit maßgeschneiderten Beratungsangeboten.
Spätestens seit dem 17. Januar 2025 unterliegen alle Kreditinstitute, von der Großbank bis zur Genossenschaftsbank, den vollumfänglichen DORA-Anforderungen. Besonders kritisch: die Drittparteienregister-Pflicht und das TLPT für systemrelevante Institute.
Versicherungsunternehmen und Rückversicherer sind vollständig von DORA erfasst. Neben dem IKT-Risikomanagement sind insbesondere die Anforderungen an die Beauftragung von IKT-Drittdienstleistern und die Vorfallsmeldung an die BaFin praxisrelevant.
Wertpapierfirmen und Handelsplattformen, die unter MiFID II reguliert sind, fallen unter DORA. Die Schnittmengen mit der MiFID-II-Betriebsstabilität und der Marktmissbrauchsverordnung erfordern einen koordinierten Compliance-Ansatz, den wir effizient begleiten.
PSPs, E-Geld-Institute und Zahlungssystembetreiber sind besonders exponiert: hohe Transaktionsvolumina, Echtzeit-Abwicklungsanforderungen und ausgeprägt verteilte IKT-Architekturen erhöhen das Risikoprofil. Unsere Pentest-Erfahrung im Payment-Umfeld ist dabei ein entscheidender Vorteil.
Cloud-Anbieter, Rechenzentrumsdienstleister und Software-Anbieter, die als kritische IKT-Drittdienstleister eingestuft werden, unterliegen eigenen DORA-Aufsichtspflichten. Wir unterstützen bei der Vorbereitung auf Aufsichtsprüfungen und bei der Anpassung vertraglicher Grundlagen.
Kapitalverwaltungsgesellschaften und AIFM sind von DORA erfasst und stehen vor der Herausforderung, ihre oft heterogenen IKT-Landschaften systematisch zu erfassen. Wir bringen Erfahrung aus vergleichbaren ISMS-Projekten im Finanzsektor ein und schaffen schnell Klarheit.
Ergänzende Leistungen
DORA-Compliance entsteht nicht im Silo. Diese Leistungen ergänzen Ihr DORA-Programm und erzeugen Synergien, die den Gesamtaufwand deutlich reduzieren. Einen Überblick über alle fünf Säulen und Fristen bietet unsere DORA-Themenseite.
Art. 24-27 DORA
Jedes DORA-pflichtige Finanzunternehmen muss jährliche Resilienztests durchführen. Unsere zertifizierten Penetrationstester führen Art.-25-konforme Tests durch, einschließlich TLPT nach TIBER-EU für systemrelevante Institute.
TLPT-Testing ansehenSynergie mit DORA
Ein bestehendes ISO-27001-ISMS reduziert den DORA-Umsetzungsaufwand erheblich. Umgekehrt stärkt ein DORA-konformes IKT-Risikomanagement die ISO-27001-Zertifizierung. Wir entwickeln einen kombinierten Umsetzungsfahrplan.
ISO 27001 Beratung anfragenParallele Pflicht
Viele Finanzunternehmen unterliegen gleichzeitig DORA und NIS-2. Die Anforderungen überschneiden sich erheblich, insbesondere bei Vorfallsmeldepflichten und Drittparteienmanagement. Wir maximieren Synergien und vermeiden Doppelarbeiten.
NIS-2 Beratung anfragenReferenzen
Häufige Fragen
Antworten auf die häufigsten Fragen zu unserem DORA-Beratungsangebot, zum Prozess und zu den Kosten.
Aus dem Blog
Prüfen Sie, ob Ihre Domäne eine security.txt bereitstellt: so erfüllen Sie die CRA-Meldepflicht und erleichtern Sicherheitsforschern den Meldeweg.
Oskar Braun 
Der Hackerangriff auf das Berliner Landesnetz zeigt: Ohne vollständiges Asset-Inventar gibt es kein geordnetes Containment und keine fristgerechte DSGVO-Meldung.
Oskar Braun 
Der Informationssicherheitsbeauftragte ist der Ansprechpartner für Informationssicherheit im Unternehmen. Diese Aufgaben hat er!
Jan Hörnemann Wir erstellen Ihnen innerhalb von 24 Stunden (werktags) ein transparentes Festpreisangebot für Ihre DORA-Gap-Analyse, ohne unverbindliche Vorgespräche, direkt auf den Punkt.
Kostenlos · 30 Minuten · Unverbindlich
Arturs Nikitins
Erstberatung & Bedarfsanalyse
Persönliche Beratung gewünscht?
Unverbindlich · Antwort werktags innerhalb 24h
