Damit es gesagt ist Diese Seite ist Werbung in eigener Sache. Die Kommentierung der 64 Artikel, die Anleitungen, die Vorlagen und die Werkzeuge bleiben frei zugänglich, ohne Anmeldung und ohne Gegenleistung. Sie sind nicht der Köder für die Software, sondern der Grund, warum es diese Seite gibt.
Zwei Werkzeuge für zwei Lager
Beide Anwendungen laufen im eigenen Haus, auf eigenem Server oder im eigenen Rechenzentrum. Sie rufen im Betrieb nichts aus dem Internet ab, melden nichts zurück, und die Daten verlassen das Haus nicht. Das ist keine Werbezeile: Es ist die Voraussetzung dafür, dass ein Institut das Werkzeug überhaupt einsetzen darf, ohne es selbst wieder als IKT-Dienstleistung ins eigene Informationsregister eintragen zu müssen.
ProviderProof, für IKT-Dienstleister
Für Anbieter, die von Finanzunternehmen in die Pflicht genommen werden. Das Werkzeug dreht die Richtung um: Statt auf jeden Fragebogen einzeln zu antworten, pflegen Sie Ihren Stand einmal und erzeugen daraus je Kunde ein Nachweispaket.
- Unternehmensprofil mit Dienstleistungsarten. Sie wählen Ihre Leistungen nach S01 bis S19 aus Anhang III der Durchführungsverordnung (EU) 2024/2956. Die Auswahl filtert, welche Anforderungen für Sie überhaupt gelten.
- Selbstbewertung aus Dienstleistersicht. 196 Anforderungen in sieben Domänen, mit Änderungshistorie. Formuliert aus Ihrer Perspektive, nicht aus der des Instituts. Das ist der Unterschied, an dem die üblichen Fragebögen scheitern.
- Nachweise mit Freigabestufen. Jede Datei bekommt eine Zuordnung zu Anforderungen, eine Gültigkeit und eine Stufe: intern, nur vor Ort einsehbar, auf Anfrage, oder frei für Kunden. Damit entscheiden Sie einmal, was wer sehen darf.
- Nachweispaket je Kunde. Auf Knopfdruck eine Selbstauskunft als PDF mit Unterschriftsfeld, die Anforderungsliste als Excel mit festen Spalten und die freigegebenen Nachweisdateien, zusammen in einem Paket mit Paketnummer und Prüfsumme. Was Sie wem wann gegeben haben, steht im Protokoll.
- Kunden und Subunternehmer. Je Kunde die Einstufung als kritische oder wichtige Funktion, der Stand der Vertragsinhalte nach Artikel 30 und die Prüftermine. Je Subunternehmer, welche Ihrer Kunden betroffen sind. Die Frage nach der Unterauftragskette kommt, und sie kommt schriftlich.
- Rechtsgrundlagen im Wortlaut, mitgeliefert. DORA, die acht referenzierten technischen Standards, NIS2 und die Durchführungsverordnung (EU) 2024/2690, zusammen 239 Artikel nach Absätzen gegliedert. Jede Anforderung verweist auf die zitierten Absätze, jeder Artikel zeigt umgekehrt die Anforderungen, die sich auf ihn stützen.
- Bezug zu anderen Rahmenwerken. Verweise auf ISO/IEC 27001 Anhang A, BSI C5 und NIS2, damit vorhandene Zertifizierungen nicht doppelt beantwortet werden müssen. Die Normtexte selbst liegen nicht bei, nur die Referenzen.
Stand der Fassung ProviderProof steht bei Fassung 0.8.0 und ist in der Erprobung. Die Inhalte der Module zu NIS2, BSI C5 und ISO/IEC 27001 sind in Vorbereitung, ein Richtliniengenerator und englische Fachtexte ebenfalls. Wer früh einsteigen und mitgestalten möchte, ist willkommen; wer ein fertiges Produkt erwartet, wartet besser auf die Fassung 1.0.
BIRENTI DORA, vereinfachter Rahmen
Für die Häuser, die zum 1. Januar 2027 unter DORA kommen und unter den vereinfachten Rahmen nach Artikel 16 fallen. Dieselbe Gruppe, für die zum 31. Dezember 2026 die BAIT wegfallen. Die Anleitung dazu steht frei auf dieser Seite; das Werkzeug nimmt die Arbeit ab, die danach kommt.
- Anforderungskatalog zu Artikel 16. 46 Anforderungen in neun Domänen, jede mit Soll-Zustand und mit der Zuordnung zu DORA, ISO/IEC 27001, BSI C5 und NIS2. Aus der Selbstbewertung wird eine Lücke per Klick zu einem Risiko mit Maßnahme und Termin.
- Geschäftsprozesse und Schutzobjekte. Register der Prozesse mit Kritikalität, Schutzbedarf und Wiederanlaufzeiten, darunter das Inventar der Schutzobjekte, dessen Schutzbedarf sich nach dem Maximumprinzip vererbt. Darauf setzt die Business Impact Analyse auf.
- Notfallplanung mit Nachweis. Notfallpläne je Prozess, dazu der Test- und Übungsnachweis, den Artikel 16 Absatz 1 Buchstabe g verlangt und den die meisten Umsetzungen vergessen.
- ISMS als Klammer. Überblick, Leitlinien- und Dokumentenregister und vierzehn Richtlinienvorlagen, die sich aus dem Organisationsprofil füllen. Kein Blatt Papier, das bei null anfängt.
- Vorfallregister und Meldewesen. Einstufung nach der Delegierten Verordnung (EU) 2024/1772 mit den Fristen aus Artikel 19, von der Erstmeldung bis zum Abschlussbericht. Denselben Rechenweg können Sie im Fristenrechner dieser Seite kostenlos nachvollziehen.
- Dienstleister und Verträge. Register für die Pflichten aus den Artikeln 28 und 30, einschließlich der Angaben, die in das Informationsregister gehören.
Was beiden gemeinsam ist
- Betrieb im eigenen Haus. Webserver mit PHP 8.1 oder neuer, wahlweise SQLite ohne Datenbankserver oder MariaDB beziehungsweise MySQL. Kein Konto bei mir, keine Verbindung nach außen, kein Mitlesen.
- Signierte Aktualisierungen. Ändert sich die Regulierung, kommt der Katalog als signierte Datei. Die Anwendung prüft Herkunft und Vollständigkeit, zeigt an, was neu, geändert oder entfallen ist, und spielt erst nach Bestätigung ein. Ihre Bewertungen bleiben erhalten und werden bei inhaltlich geänderten Anforderungen zur Prüfung gekennzeichnet.
- Lizenz statt Abonnement. Eine signierte Lizenzdatei mit Lizenznehmer, Nummer und Wartungsende. Läuft die Wartung aus, bleibt die Anwendung voll nutzbar, nur neue Kataloge kommen dann nicht mehr.
- Preise auf Anfrage. Die Lizenz ist nach Größe des Hauses gestaffelt. Was im Einzelfall sinnvoll ist, hängt davon ab, wie viele Dienstleister oder Prozesse Sie führen; das lässt sich in einem Gespräch schneller klären als über eine Preistabelle.
Was die Werkzeuge nicht leisten
Sie nehmen Ihnen die Buchführung ab, nicht die Entscheidung. Ob eine Funktion kritisch oder wichtig ist, ob ein Vorfall schwerwiegend ist, ob eine Maßnahme angemessen ist: Das bleibt Ihre Bewertung, und ein Prüfer wird sie bei Ihnen abfragen, nicht beim Programm.
Der Anforderungskatalog zu Artikel 16 ist meine Herleitung aus der Verordnung und den technischen Standards, keine amtliche Vorgabe. Es gibt keinen behördlichen Katalog zu Artikel 16, und wer Ihnen einen verkauft, hat ihn ebenfalls selbst geschrieben. Die Zuordnung zu ISO/IEC 27001, BSI C5 und NIS2 ist eine Arbeitshilfe und ersetzt keine Zertifizierung.
Wenn Sie es ansehen möchten
Schreiben Sie mir. Eine Vorführung dauert eine halbe Stunde, und ich sage Ihnen auch, wenn Ihr Haus mit einer Tabelle besser bedient ist. Die Kontaktangaben stehen im Impressum. Wer vorher wissen möchte, wie ich arbeite, findet das unter Wer hier schreibt.