DORA Art. 28: Die öffentlich sichtbare Infrastruktur Ihrer IKT-Drittanbieter prüfen.
DORA Art. 28 verpflichtet Finanzunternehmen, das IKT-Drittparteienrisiko als Teil ihres IKT-Risikomanagements zu steuern: mit Strategie, Informationsregister, Bewertung vor Vertragsschluss und regelmäßiger Überprüfung. Der CERTavia-Vendor-Scan liefert dafür einen technischen Baustein: eine signierte Momentaufnahme der öffentlich sichtbaren Infrastruktur eines Dienstleisters, ohne dass der Vendor mitwirken muss.
Was Art. 28 DORA verlangt
Art. 28 regelt die allgemeinen Grundsätze für das Management des IKT-Drittparteienrisikos. Ein externer Scan unterstützt davon vor allem die Bewertung; Register, Verträge und Exit-Strategien bleiben organisatorische Aufgaben.
Erfassung aller IKT-Drittanbieter
Finanzunternehmen führen ein Informationsregister über alle vertraglichen Vereinbarungen mit IKT-Drittdienstleistern (Art. 28 Abs. 3) und stellen es der Aufsicht auf Anfrage zur Verfügung. Ein Scan ersetzt das Register nicht.
Bewertung vor Vertragsschluss
Vor einer Vereinbarung ist u. a. zu prüfen, ob der Dienstleister angemessene Standards der Informationssicherheit einhält (Art. 28 Abs. 4 und 5). DORA schreibt keine bestimmte Prüfmethode vor; eine externe technische Prüfung ergänzt Selbstauskünfte und Zertifikate um einen eigenen Befund.
Nachvollziehbare Dokumentation
Die Bewertung muss gegenüber der Aufsicht (in Deutschland BaFin) nachvollziehbar sein. Ein signierter, datierter Report zeigt, was zum Prüfzeitpunkt öffentlich sichtbar war, und lässt sich unabhängig verifizieren.
Regelmäßige Überprüfung
Das Leitungsorgan überprüft die Risiken aus IKT-Drittanbieter-Vereinbarungen regelmäßig (Art. 28 Abs. 2); die Strategie für das Drittparteienrisiko wird ebenfalls regelmäßig überprüft. Re-Scans dokumentieren, ob sich die extern sichtbare Konfiguration eines Vendors seit der letzten Bewertung verändert hat.
Ohne Vendor-Zustimmung — einseitige Due Diligence
CERTavia analysiert ausschließlich öffentlich zugängliche Infrastruktur-Parameter. Dafür sind weder Zugangsdaten noch die Mitwirkung des Vendors nötig. Was der Scan nicht sieht: interne Netze, Prozesse, Backups und Notfallpläne des Dienstleisters.
Was CERTavia prüft
Der SOVP-Scan wertet öffentliche Infrastruktur-Parameter aus: DNS-Konfiguration und DNSSEC-Signaturen, TLS-Zertifikatskette und Ablaufdatum, CAA-Records und Zertifizierungsstellen-Verankerung, HTTP-Sicherheitsheader (HSTS, CSP, X-Frame-Options) sowie weitere öffentlich zugängliche Signale der Infrastruktur-Hygiene. Kein Login, kein Scan des internen Netzwerks, keine Last auf den Systemen des Vendors.
Was Sie erhalten
Nach dem Scan erhalten Sie einen CES-Score (Compliance Evidence Score, 0–100) mit einem klaren CERTIFIED oder FAILED-Verdict, einen vollständigen PDF-Report mit Einzelbewertung aller geprüften Parameter, eine Sovereign Vault URL — kryptografisch signiert und unabhängig verifizierbar — sowie einen signierten Zeitstempel für den Infrastruktur-Zustand zum Prüfzeitpunkt. Zur Einordnung: Die BaFin-Liste des CERTavia-Benchmarks (50 Domains von Finanzunternehmen) lag bei der Messung am 11.06.2026 bei Ø-CES 30,1, Höchstwert 47,8 bei einer CERTIFIED-Schwelle von 75.
Drei typische Einsatzpunkte
Regelmäßige Überprüfung, Onboarding und Kontrolle nach einem Vorfall nutzen denselben Scan; unterschiedlich ist, wofür der Befund verwendet wird.
Regelmäßige Drittanbieter-Bewertung
Für die regelmäßige Überprüfung nach Art. 28 Abs. 2 lassen sich alle Vendor-Domains mit demselben Verfahren scannen, ohne Fragebogen-Aufwand auf Vendor-Seite. Die Ergebnisse sind zwischen Vendoren vergleichbar, weil Prüfregeln und Gewichte für alle gleich sind; einzelne externe Messwerte können zwischen zwei Abrufen schwanken.
Onboarding neuer IKT-Lieferanten
Bevor ein neuer IKT-Drittanbieter in Ihre Lieferkette aufgenommen wird, verlangt DORA eine Risikobewertung. Der Scan liefert im Median nach rund 10 Sekunden einen eigenen Befund zur öffentlich sichtbaren Infrastruktur des potenziellen Vendors, unabhängig von Selbstauskünften. Vorgelegte Zertifikate wie ISO 27001 decken andere Aspekte ab und bleiben relevant.
Reaktive Prüfung nach Sicherheitsvorfall
Wird ein IKT-Drittanbieter Opfer eines Cyberangriffs, muss das Finanzunternehmen die Auswirkungen im Rahmen seines IKT-Risikomanagements bewerten. Ein Re-Scan zeigt, ob sich die öffentlich sichtbare Konfiguration verändert hat, und dokumentiert den Zustand datiert — als ein Input für interne Bewertung und Meldeprozesse.
Fragen zum DORA-Drittanbieter-Nachweis
Darf ich die Infrastruktur eines Drittanbieters ohne dessen Wissen scannen?
Ja. CERTavia analysiert ausschließlich öffentlich zugängliche Infrastruktur-Parameter: DNS-Konfiguration, TLS-Zertifikate, DNSSEC-Signaturen und öffentliche HTTP-Header. Technisch ist das vergleichbar mit einem Traceroute oder einem SSL-Check: Es werden keine Zugangsdaten benötigt, kein spezieller Zugriff angefragt und nur reguläre Abrufe öffentlicher Endpunkte ausgeführt. Die rechtliche Verantwortung für den Auftrag liegt beim Auftraggeber. Der Vendor wird weder kontaktiert noch benachrichtigt.
Ist der CERTavia-Nachweis für DORA-Aufsichtsbehörden verwertbar?
Der Sovereign Vault liefert einen kryptografisch signierten, unabhängig verifizierbaren Beleg des Infrastruktur-Zustands zum Scan-Zeitpunkt. CERTavia ist ein technisches Evidenz-Werkzeug — kein regulatorisches Gutachten. Eine formelle Anerkennung durch BaFin oder EBA gibt es nicht. Compliance-Teams können den Nachweis als technischen Input in ihre Drittanbieter-Risikobewertung nach Art. 28 aufnehmen, kombiniert mit Vertragsprüfung, Fragebögen und Informationsregister.
Wie unterscheidet sich Vendor-Scan von einem regulären Scan?
Die zugrundeliegende SOVP-Technologie ist identisch. Der Unterschied liegt im Auftraggeber: Beim Vendor-Scan beauftragt das Finanzinstitut den Scan für eine fremde Domain und erhält Bericht sowie Sovereign Vault URL — der Vendor wird nicht in den Prozess einbezogen und erhält keine Benachrichtigung. Beim regulären Scan beauftragt der Domaininhaber die Prüfung seiner eigenen Infrastruktur.
Vendor-Scan für Ihre IKT-Drittanbieter
Beauftragen Sie den Vendor-Scan und erhalten Sie einen signierten Report über die öffentlich sichtbare Infrastruktur Ihres IKT-Drittanbieters.
Diese Seite dient der technischen Orientierung und stellt keine Rechtsberatung dar. Die Einschätzung konkreter regulatorischer Pflichten im Einzelfall obliegt qualifizierten Rechts- und Compliance-Beratern. CERTavia liefert technische Infrastruktur-Validierung auf Basis des Sovereign Validation Protocol (SOVP, Patent Pending Nr. 64/005,737).