1. STARTSEITE
  2. COMPLIANCE
  3. DORA

Dateiübertragung, die Ihre DORA-Pflichten unterstützt

Ein IKT-Dienstleister, der nichts Lesbares hält

DORA hat das IKT-Drittparteienrisiko für Finanzunternehmen zur Aufsichtssache gemacht: Jeder Dienstleister kommt ins Informationsregister, jeder Vertrag braucht bestimmte Klauseln, und Sie müssen belegen können, dass ein Ausstieg möglich wäre. GCN.ONE verschlüsselt Dokumente im Browser vor dem Upload. Der Dienstleister, den Sie registrieren, hält damit Chiffrat, das er nicht lesen kann – und Dateien, die Sie auch dann noch öffnen könnten, wenn es uns morgen nicht mehr gäbe.

Jetzt eine Datei senden Preise ansehen
Was DORA ist, kurz gefasst

DORA – der Digital Operational Resilience Act – ist eine EU-Verordnung und gilt seit dem 17. Januar 2025 unmittelbar in der gesamten Union. Als Verordnung gilt sie so, wie sie geschrieben ist, ohne nationale Umsetzung dazwischen.

Sie führt das IKT-Risiko des Finanzsektors in einem Rahmen zusammen – Banken, Versicherer, Wertpapierfirmen, Zahlungs- und E-Geld-Institute, Kryptowerte-Dienstleister, Fondsverwalter und weitere – und greift über sie hinaus auf die IKT-Dienstleister durch, von denen sie abhängen.

Wer betroffen ist
Rund zwanzig Kategorien von Finanzunternehmen, von Kreditinstituten und Versicherern über Zahlungsinstitute und Wertpapierfirmen bis zu Kryptowerte-Dienstleistern – mittelbar zudem jeder IKT-Drittdienstleister, der sie bedient, und unmittelbar diejenigen, die als kritisch eingestuft werden.
IKT-Risikomanagement
Kapitel II verlangt einen internen Rahmen: Erfassung von Assets und Abhängigkeiten, Schutz und Prävention einschließlich Verschlüsselung, Erkennung, Reaktion und Wiederherstellung, Backups sowie das Lernen aus Vorfällen. Die Verantwortung liegt beim Leitungsorgan.
Meldung von Vorfällen
Schwerwiegende IKT-bezogene Vorfälle werden nach gemeinsamen Kriterien eingestuft und der zuständigen Behörde in einer Erst-, Zwischen- und Abschlussmeldung angezeigt – Sie müssen also präzise rekonstruieren können, was wann geschehen ist.
Drittparteienrisiko und Register
Kapitel V: ein Informationsregister über alle vertraglichen Vereinbarungen zu IKT-Dienstleistungen führen, die Klauseln nach Artikel 30 in die Verträge aufnehmen, Konzentrationsrisiken bewerten und dokumentierte Ausstiegsstrategien vorhalten, damit ein Anbieterwechsel wirklich möglich ist.
Wie GCN.ONE unterstützt

Wenn Sie GCN.ONE einsetzen, steht es als IKT-Dienstleister in Ihrem Informationsregister. Das Ziel dieser Bauweise ist, daraus einen kurzen, unspektakulären Eintrag zu machen. Was Sie dort notieren würden:

Mehr als Chiffrat halten wir nicht
Dokumente, Dateinamen und Nachrichten werden im Browser verschlüsselt, bevor sie hochgeladen werden; die Schlüssel erreichen uns nie. Für Ihre IKT-Risikobewertung hat die Vertraulichkeitsfrage zu diesem Dienstleister damit eine bauliche statt einer vertraglichen Antwort.
Belege für Vorfallszeitleisten
Jedes Öffnen eines Links und jeder Download-Start wird mit Zeitstempel erfasst, und für jede zugestellte Datei lässt sich ein kryptografisch signierter Zustellnachweis ausstellen, den jeder ohne Konto überprüfen kann – hilfreich, wenn eine Meldefrist verlangt, dass Sie genau belegen, was wann wohin ging.
Dokumentation für Ihr Register
Ein abschließbarer Auftragsverarbeitungsvertrag, eine öffentliche Liste der Unterauftragsverarbeiter und eine technische Dokumentation des Verschlüsselungsmodells. Die Felder Ihres Informationsregisters lassen sich damit aus veröffentlichtem Material füllen statt aus einer Fragebogenrunde.
Ein Ausstieg, der nichts von uns braucht
Dateien werden mit Schlüsseln heruntergeladen und entschlüsselt, die Sie halten – im Browser oder über unser SDK. Es gibt kein proprietäres Containerformat, und zum Lesen wird nichts von unserer Seite benötigt. Ein Ausstieg, geplant oder nicht, bringt Ihre Daten deshalb nicht außer Reichweite.
Aufbewahrung, die sich selbst durchsetzt
Übertragungen laufen nach dem Download oder zu einem von Ihnen gesetzten Datum ab; die verschlüsselten Daten werden danach endgültig gelöscht. Definierte Aufbewahrung und Löschung lassen sich leichter belegen, wenn sie das Standardverhalten sind und nicht eine Richtlinie, an die sich jemand erinnern muss.
Ein manipulationssicherer Nachweis dahinter
Zustellereignisse gehen in ein fortschreibungsgeschütztes, hash-verkettetes Prüfprotokoll, das zusammengefasst und öffentlich verankert wird. Der Nachweis hinter einem Zertifikat lässt sich deshalb nachträglich nicht unbemerkt ändern – von uns so wenig wie von jemand anderem.

Wie das für Banken und Finanzinstitute aussieht

Zwei Punkte, nach denen Ihre Prüfung fragen wird

Wir sind ein Anbieter aus einem Drittland. Das Unternehmen hinter GCN.ONE ist im Vereinigten Königreich registriert; die Systeme, die Ihre Daten halten, laufen in der Europäischen Union, sodass die Verarbeitung dem EU-Datenschutzrecht unterliegt. Ihr Informationsregister und Ihre Bewertung des Konzentrationsrisikos sollten beides abbilden – und uns ist lieber, Sie lesen es hier, als dass Sie es später entdecken.

Die Klauseln nach Artikel 30 sind ein Gespräch, kein Download. Unsere Standardbedingungen regeln Auftragsverarbeitung, Unterauftragsverarbeiter, Aufbewahrung und Löschung sowie Reaktionszeiten im Support; die Verfügbarkeit richtet sich nach diesen Bedingungen und nicht nach einer gesonderten Verfügbarkeitsgarantie. Wenn Ihr Einkauf vertragliche Service-Level, bestimmte Klauseln nach Artikel 30 oder einen schriftlich vereinbarten Ausstiegsplan braucht, fragen Sie uns vor dem Kauf – das ist eine normale Anfrage, und wir beantworten sie offen.

Sprechen Sie mit uns über Vertragsbedingungen

Machen Sie einen Registereintrag zu einem kurzen
Senden Sie jetzt eine verschlüsselte Datei – oder sehen Sie, was das im größeren Umfang kostet.
Jetzt eine Datei senden Preise ansehen