Die Leistung beschreiben, bevor sie bewertet wird
DORA gilt seit dem 17. Januar 2025. Die Verordnung definiert IKT-Dienstleistungen weit und unterscheidet weitere Anforderungen nach dem konkreten Zusammenhang. Ob eine bestimmte Vereinbarung wie zu behandeln ist, lässt sich deshalb nicht allein aus dem Produktnamen „trustedDialog“ ableiten.
Erstellen Sie zuerst eine nachvollziehbare Leistungsbeschreibung. Welche Nachrichtenarten werden einbezogen? Welche Systeme versenden sie? Welche Domains und Signaturen werden verwendet? Welche Schritte übernimmt der Anbieter, welche bleiben im Institut? Diese Fakten gehören vor die rechtliche und risikoseitige Bewertung.
Die richtigen Nachweise für die Prüfung anfordern
| Prüffeld | Konkrete Frage | Hilfreicher Nachweis |
|---|---|---|
| Leistung | Welche laufende digitale Leistung wird tatsächlich erbracht? | Vertragliche Leistungsbeschreibung und technischer Ablauf |
| Daten und Systeme | Welche Informationen werden wo verarbeitet oder geprüft? | Abgestimmte Darstellung der Datenflüsse und beteiligten Systeme |
| Abhängigkeit | Was verändert sich bei Ausfall oder Fehlkonfiguration? | Beschriebene Störungsfälle und Auswirkung auf Versand und Darstellung |
| Änderungen | Wie werden neue Quellen, Domains und Schlüsselwechsel behandelt? | Verfahren mit Verantwortlichen und Prüfschritten |
| Betrieb | Wer bearbeitet eine Störung und informiert wen? | Kontakt- und Eskalationsablauf ohne unklare Übergaben |
| Vertragsende | Was muss bei einem Wechsel oder Ende entfernt beziehungsweise weiterbetrieben werden? | Abgestimmte Übergangs- und Beendigungsaufgaben |
Lassen Sie offene Punkte als offene Punkte stehen. Eine allgemeine Werbeaussage ersetzt weder ein Vertragsdokument noch einen technischen Nachweis. Umgekehrt sollte eine fachliche Prüfung keine unnötigen Daten verlangen: Für einen Header-Test können bereinigte Nachrichten ohne vertraulichen Inhalt vorgesehen werden.
Die Kundenkommunikation als Prozess betrachten
Eine Nachricht zur Karte, zum Vertrag oder zum Konto muss einen verständlichen Anlass und einen sicheren nächsten Schritt haben. Legen Sie fest, welche Informationen in E-Mail gehören und welche nur im geschützten Kundenbereich bereitgestellt werden. Der Kunde sollte eine wichtige Handlung unabhängig von einem unerwarteten Link überprüfen können.
Logo und trustedDialog-Siegel ergänzen die erkennbare Herkunft in unterstützten Postfächern. Sie ersetzen keine sichere Anmeldung, Transaktionsfreigabe, Kontosicherheit oder Prüfung riskanter Änderungen. Auch die Vertraulichkeit des Inhalts wird durch die Kennzeichnung nicht automatisch hergestellt.
Die Einführung mit einem begrenzten Versandweg abnehmen
- Einen geeigneten Nachrichtentyp mit überschaubaren Beteiligten auswählen.
- Versandquelle, From-Domain, DKIM und tatsächlichen Empfang dokumentieren.
- Markenmaterial und Darstellung anhand der freigegebenen Vorgaben prüfen.
- Störungs- und Änderungsablauf gemeinsam mit den beteiligten Teams durchgehen.
- Prüfergebnis und offene Entscheidungen durch die zuständigen Funktionen des Instituts dokumentieren.
Die technische Abnahme und die DORA-Bewertung beantworten unterschiedliche Fragen. Eine funktionierende Testmail beweist keine regulatorische Vollständigkeit. Eine abgeschlossene Beschaffungsprüfung beweist wiederum nicht, dass eine neu hinzugefügte Versandquelle korrekt eingerichtet ist. Beide Nachweise müssen zum tatsächlichen Betrieb passen.