Ist Ihr DAM-Anbieter bereit für die DORA-Konformität im Jahr 2026?

Wenn Sie im Bankwesen, im Versicherungswesen, in der Vermögensverwaltung oder im Zahlungsverkehr tätig sind, haben Sie das sicher schon erlebt. Jeder Technologieanbieter wird geprüft, auditiert und erneut geprüft.

‍

Seit dem 17. Januar 2025 schreibt das Gesetz zur digitalen Betriebsstabilität (Digital Operational Resilience Act, DORA) diese Überprüfung EU-weit gesetzlich vor. Diese Liste geht weit über Banken und Versicherungen hinaus. Sie umfasst Wertpapierfirmen, Zahlungsdienstleister, Krypto-Asset-Unternehmen, Pensionsfonds, Ratingagenturen und weitere Akteure sowie alle IKT-Anbieter, die diese betreuen. Wenn Ihr Unternehmen in irgendeiner regulierten Funktion mit Finanzdienstleistungen zu tun hat, betrifft DORA wahrscheinlich auch Sie.

‍

Und es erreicht jeden Technologieanbieter in der Kette, einschließlich derer, die Ihre Inhalte verwalten.

‍

Das ist ein echtes Problem, wenn Ihr DAM-Anbieter diese Fragen nicht schnell beantworten kann.

‍

Inhalte sind mehr als nur Dateien in einer Bibliothek. Sie sind die DNA Ihrer Marke – die Identität, die überall dort zum Ausdruck kommt, wo Ihre Marke präsent ist. Wenn eine Aufsichtsbehörde fragt, ob Ihre Systeme eine Störung überstehen können, will sie damit eigentlich wissen, ob diese Identität und das Vertrauen, das Ihre Kunden in sie setzen, geschützt bleiben, ganz gleich, was mit der dahinterstehenden Infrastruktur geschieht.

‍

Und genau das verlangt DORA tatsächlich. Finanzunternehmen müssen nachweisen, dass sie eine technologische Störung überstehen und sich davon erholen können. Das bedeutet, die Sicherheitslage der Anbieter zu überprüfen, spezifische Klauseln (Prüfungsrechte, Zusammenarbeit bei Vorfällen, Ausstiegspläne) in jeden Vertrag aufzunehmen und ein laufendes Verzeichnis darüber zu führen, auf wen sie sich verlassen und warum.

‍

Für einen Anbieter wie Wedia gibt es kein einzelnes Zertifikat, das es zu erwerben gilt. Die Einhaltung der DORA-Vorschriften funktioniert anders. Es bedeutet, bereits im Voraus über die Dokumentation, die Sicherheitslage und die Vertragsbedingungen zu verfügen, die das Compliance-Team eines regulierten Kunden anfordern wird, noch bevor es diese anfordert.

‍

So gehen wir dabei vor: Die Governance von Lyvio ist von Grund auf markensicher und von Anfang an in das Produkt selbst integriert. Die Einhaltung der Normen ISO 27001, TISAX und der DSGVO ist für uns selbstverständlich, und wir haben unsere Vorgehensweisen zudem an die Anforderungen von DORA angepasst. Wenn Ihr Compliance-Team den Fragebogen schickt, haben wir die Antworten bereits parat.

‍

Vertrauen ist nicht nur ein Zertifikat. Es ist eine Gewohnheit, die fest in die tägliche Arbeitsweise von Lyvio integriert ist. Jedes Asset, das über die Plattform läuft, wird vor der Freigabe überprüft, anschließend nachverfolgt und mit einer eindeutigen Aufzeichnung darüber verknüpft, woher es stammt und wie es verwendet wurde. Das ist kein Compliance-Schritt, den jemand am Ende noch hinzufügt. So funktioniert das Produkt – unabhängig davon, ob an diesem Tag gerade ein Compliance-Team zuschaut oder nicht.

‍

Genau diese Gewohnheit macht es einfacher, „Ja“ zu DORA zu sagen – und zu allem, was danach kommt. Die zugrunde liegende Infrastruktur verarbeitet in der Produktion bereits mehr als 30 Milliarden Bildinhalte pro Monat, es handelt sich also nicht um Neuland, das zum ersten Mal getestet wird. Derzeit umfasst der Trust-Assurance-Stack Normen wie ISO 27001, TISAX, die DSGVO und die Ausrichtung auf DORA. Die Vorschriften werden sich weiterentwickeln. Die Disziplin, die hinter dem Schutz Ihrer Marken-DNA steht, muss nicht jedes Mal von vorne beginnen, wenn sich die Vorschriften ändern.

‍

Wenn Sie DAM-Anbieter für ein reguliertes Umfeld evaluieren, ist das mit Wedia eine Sorge weniger auf Ihrer Liste.

‍

Wichtige Erkenntnisse

‍

• Seit DORA am 17. Januar 2025 EU-weit verbindlich in Kraft getreten ist, erfüllt Wedia bereits die Anforderungen an DAM-Anbieter: Die Einhaltung der Normen ISO 27001, TISAX und der DSGVO als Mindeststandard.
  ‍
• Lyvios Governance-Prozesse sind nahtlos in jeden Arbeitsablauf integriert, sodass Prüfpfade und für Vorfälle geeignete Unterlagen bereits vorliegen, noch bevor eine Aufsichtsbehörde diese anfordern muss.
• Hinter dieser Plattform steht ein engagierter Customer Success Manager, der Ihre Compliance- und IT-Teams gerne bei der Bearbeitung von Dokumentationen und Sicherheitsfragebögen unterstützt.
  ‍
• Die Regulierung wird sich weiterentwickeln, und der „Trust Assurance Stack“ von Wedia ist so konzipiert, dass er mit dieser Entwicklung Schritt halten kann, anstatt jedes Mal von vorne beginnen zu müssen.
  ‍
• DORA erreicht jeden IKT-Anbieter, der Banken, Versicherungen, Wertpapierfirmen und Zahlungsdienstleister bedient – und genau deshalb betrachtet Wedia die Einhaltung der Vorschriften als Routine und nicht als Notfallmaßnahme.

Häufig gestellte Fragen

‍

F: Was ist DORA und für wen gilt es?

‍A: DORA, das EU-Gesetz zur digitalen Betriebsresilienz (Verordnung 2022/2554), gilt für Banken, Versicherungen, Wertpapierfirmen, Zahlungsdienstleister, Krypto-Asset-Unternehmen, Pensionsfonds, Ratingagenturen sowie die IKT-Drittanbieter, die diese betreuen. Wedia fällt unter diese letzte Kategorie, weshalb seine Plattform so konzipiert ist, dass sie denselben Anforderungen entspricht wie die von ihr unterstützten Finanzunternehmen.

‍

F: Seit wann ist DORA in Kraft?

‍A: DORA ist seit dem 17. Januar 2025 EU-weit verbindlich. Wedia hat seine Abläufe bereits vor diesem Datum an die Verordnung angepasst, sodass Kunden aus dem Finanzdienstleistungssektor nicht darauf warten mussten, dass ein Anbieter den Rückstand aufholt.

‍

F: Gilt DORA auch für Anbieter von Marketing- und Content-Management-Lösungen oder nur für Kernbankensysteme?

‍A: DORA gilt für alle externen IKT-Anbieter, die kritische oder wichtige Funktionen eines Finanzunternehmens unterstützen, und eine DAM-Plattform, die Markeninhalte, Kampagnenmaterialien und die Kommunikation mit Kunden verwaltet, fällt ebenfalls darunter. Aus diesem Grund betrachtet Wedia Resilienz als Produktanforderung und nicht als bloßen Marketing-Punkt auf einer Checkliste.

‍

F: Was schreibt DORA in Lieferantenverträgen vor?

‍A: Finanzunternehmen benötigen in jedem IKT-Vertrag festgeschriebene Prüfungsrechte, Klauseln zur Zusammenarbeit bei Vorfällen, Ausstiegspläne sowie ein fortlaufend gepflegtes Lieferantenverzeichnis. Die Dokumentation von Wedia ist so strukturiert, dass sie genau dieses Verzeichnis von Beginn der Geschäftsbeziehung an unterstützt und nicht erst nach Eingang einer Anfrage zusammengestellt wird.

‍

F: Inwiefern unterscheidet sich DORA von der DSGVO?

‍A: Die DSGVO regelt den Schutz personenbezogener Daten, während DORA die operative Widerstandsfähigkeit der Systeme und Anbieter regelt, die Finanzunternehmen unterstützen, und dabei die Reaktion auf Vorfälle, Tests sowie Risiken durch Dritte abdeckt. Wedia hält beide Vorschriften ein, da Datenschutzpraktiken und operative Widerstandsfähigkeit von den Compliance-Teams getrennt bewertet werden.

‍

F: Über welche Zertifizierungen sollte ein DAM-Anbieter verfügen, um die DORA-Konformität zu gewährleisten?

‍A: ISO 27001 für das Informationssicherheitsmanagement, TISAX für die branchenübergreifende Sicherheitsanerkennung und die Einhaltung der DSGVO zum Datenschutz bilden die Grundvoraussetzungen, die die Aufsichtsbehörden erwarten. Das ist genau die Grundlage, die Wedia bereits erfüllt, noch bevor überhaupt Gespräche über DORA beginnen.

‍

F: Inwiefern steht das Governance-Modell einer DAM-Plattform mit DORA in Zusammenhang?

‍A: DORA fragt, ob man darauf vertrauen kann, dass die Systeme und Prozesse eines Anbieters auch bei Störungen standhalten. Wedia integriert diese Governance – also Berechtigungen, Rechteverwaltung und Prüfpfade – direkt in Lyvio, anstatt sie nachträglich anzufügen. Dadurch erhalten Compliance-Teams schneller eine Antwort als bei Anbietern, die ihre Kontrollmechanismen erst nachträglich einbauen.

‍

F: Was sollte ein Compliance-Team bei einem DAM-Anbieter erfragen, bevor ein Vertrag unterzeichnet wird?

‍A: Fragen Sie nach den aktuellen Unterlagen zu ISO 27001, TISAX und DSGVO, nach Nachweisen für Verfahren zur Meldung von Vorfällen, nach der Häufigkeit von Tests zur Datenwiederherstellung sowie nach den Kündigungsbedingungen. Ein Anbieter, der diese Unterlagen zügig vorlegt, signalisiert damit, dass die Ausfallsicherheit im Tagesgeschäft gewährleistet ist und nicht nur zum Zeitpunkt eines Audits – und genau diesen Prozess begleitet ein engagierter Customer Success Manager neue Wedia-Kunden Schritt für Schritt.

‍

F: Braucht ein DAM-Anbieter nur die richtige Technologie, oder spielt auch der Support bei DORA eine Rolle?

‍A: Technologie allein reicht für DORA nicht aus. Die Aufsichtsbehörden prüfen auch, wie ein Anbieter reagiert, wenn etwas schiefgeht. Aus diesem Grund kombiniert Wedia seine zertifizierte Plattform mit einer kundenorientierten Beratung: Engagierte Experten begleiten die Kunden vom Onboarding bis zur kontinuierlichen Optimierung, und durch proaktive Überwachung werden Probleme erkannt, bevor sie den täglichen Betrieb beeinträchtigen.

‍

F: Welche Art von fortlaufendem Support sollte ein Kunde aus der Finanzdienstleistungsbranche von einem DAM-Anbieter erwarten können?

‍A: Suchen Sie nach einem festen Ansprechpartner statt nach einer Support-Ticket-Warteschlange – nach jemandem, der Ihre Compliance-Anforderungen versteht und mit deren Weiterentwicklung Schritt hält. Genau dieses Modell verfolgt Wedia: Engagierte Experten begleiten die Kunden vom Onboarding bis hin zum laufenden Support und werden dabei durch SLA-basierte Reaktionsverpflichtungen bei Sicherheitsfragebögen und der Zusammenarbeit bei Vorfällen unterstützt.

‍

F: Was passiert, wenn der IKT-Anbieter eines Finanzinstituts die DORA-Anforderungen nicht erfüllen kann?

‍A: Ein Finanzinstitut bleibt auch dann für die Einhaltung der DORA-Vorschriften verantwortlich, wenn ein Anbieter diese nicht erfüllt. Daher stellen Lücken in der Sicherheitslage eines Anbieters ein regulatorisches Risiko für das Finanzinstitut dar. Die Sorgfaltspflicht gegenüber Anbietern und vertragliche Schutzmaßnahmen sind mittlerweile eine feste Anforderung – und genau diese Lücke sollen die Basis-Zertifizierungen von Wedia schließen.

‍

Fazit

‍

DORA hat die behördliche Aufsicht der EU auf alle IKT-Anbieter ausgeweitet, die mit dem Finanzsektor in Berührung kommen, und DAM-Anbieter fallen eindeutig in diesen Geltungsbereich. Finanzunternehmen benötigen einen Anbieter, der auditfähige Dokumentation, vertragstaugliche Bedingungen und eine Governance bereitstellen kann, die in den täglichen Betriebsablauf integriert ist und nicht erst für eine Überprüfung zusammengestellt wird – und der über Mitarbeiter verfügt, die reagieren, wenn eine Aufsichtsbehörde anruft. Genau das bietet Wedia: Lyvio erfüllt als Mindeststandard die Anforderungen der ISO 27001, TISAX und DSGVO im Einklang mit DORA und verfügt über engagierte Experten, die die Antworten bereits vorbereiten, noch bevor Ihr Compliance-Team nachfragen muss.

‍

Erfahren Sie, wie Wedia eine DORA-konforme Content-Governance unterstützt

‍

Erfahren Sie, wie Wedia regulierten Finanzmarken dabei hilft, ihre Marken-DNA zu schützen und gleichzeitig die sich weiterentwickelnden Compliance-Standards wie DORA zu erfüllen.

Eine individuelle Vorführung buchen →

‍

‍