DORA 已是法律， 罚单上写的是您的名字。
信息登记册、ICT 风险、自动启动的事件计时器和韧性测试：整部欧盟《数字运营韧性法案》（DORA）始终保持随时可供审计的状态。您向国家主管机构（NCA）的报送，以及董事会在第 5 条下承担的个人责任，在任何人问起之前就已妥善覆盖。
DORA 的要求，您已经具备了多少？
选择您已经在运行的框架。两个框架中都出现的每个控制领域都会列出，并附上双方的要求编号，让您在规划任何新工作之前，先看清现有体系中可以复用的部分。
每一行表示两项要求涵盖相同的内容，因此一套实施方案和一组证据通常可以同时满足两者。但这并不意味着满足其中一项就等于通过了另一个框架的认证：每个框架都保留各自的范围、措辞和评估方式，有些要求在另一方根本没有对应项。请把它当作规划时的起点地图，再逐行对照要求原文进行确认。
DORA 合规软件：从 ICT 风险到信息登记册
Venvera 是面向 Regulation (EU) 2022/2554 适用范围内金融实体的 DORA 合规软件，这些实体包括银行、保险公司、投资公司、支付机构、加密资产服务提供商，以及它们所依赖的 ICT 第三方服务提供商。它包含 21 项受跟踪的控制措施，覆盖 ICT 风险管理、事件报告、韧性测试和第三方风险；按照国家主管机构要求的 ESA xBRL-CSV 格式维护信息登记册；在事件完成分类时启动报告计时；并列明每项控制措施所需的证据。第 5 条规定的董事会监督也在同一处留存证据。
什么是 DORA，为什么您不能忽视它？
欧盟《数字运营韧性法案》（DORA，Regulation 2022/2554）是欧盟法律，自 2025 年 1 月 17 日起生效，对超过 22,000 家金融实体具有约束力，包括银行、保险公司、投资公司、支付机构和加密资产服务提供商。它不是一项您可以自行选择是否申请的认证：您的国家主管机构要求您以 ESA xBRL-CSV 格式报送信息登记册，而根据第 5 条，您的管理机构须对 ICT 风险框架承担个人责任。一旦错过报送或事件报告的截止期限，责任将落到具名的个人身上，而不仅仅是公司。
一键导出 xBRL-CSV。其他平台都做不到。
这正是美国开发的合规平台所缺少的一环。它们把 DORA 映射到现有的控制措施库上便止步于此，没有一家能够生成您的国家主管机构实际要求的 EBA xBRL-CSV 文件。Venvera 可以做到。您的登记册直接由您已在跟踪的服务提供商和合同构建而成：每一个 ICT 第三方服务提供商、合同安排、支持职能和分包链都以结构化字段保存，并直接映射到 EBA 的 15 张表格。报送窗口一开启，您即可在几秒钟内导出全部 15 张表格，交叉引用均已校验，格式与监管机构接收的格式完全一致。无需手工拼装 CSV，不会出现外键断裂，也不必在最后一刻手忙脚乱。
- 原生支持 EBA 格式的 xBRL-CSV 导出：Venvera 独有，美国开发的工具均不提供
- 根据您的平台数据自动生成全部 15 张 EBA 表格
- 跨表校验，在报送前发现错误
- 实体级、次级合并级和合并级登记册
- 跟踪分包链，可视范围延伸至第 N 方
一份替您落实第 6 条的 ICT 风险登记册。
专为 DORA 第 6 条打造的集中式风险登记册。每项 ICT 风险都在 5x5 的可能性与影响矩阵上评分，并自动划分为从“低”到“严重”的等级。您可以指定负责人、设定审查日期、跟踪处置决策，并一键生成可直接提交董事会的报告；每一次变更都留有完整的审计追踪，满足监管对证据的要求。
- 自动化 5x5 风险评分，跟踪固有风险和剩余风险
- 与 DORA 分类体系一致的 9 类 ICT 风险
- 设定风险偏好阈值，自动触发升级
- 跨框架将控制措施映射到 NIS2、ISO 27001 和 GDPR
- 按季度生成风险快照，用于趋势分析和审计证据
自动启动的事件计时器。
DORA 只给您 4 小时时间对重大 ICT 相关事件进行分类并启动报告。Venvera 通过内置的分类标准、自动截止期限跟踪，以及覆盖全部三个报告阶段（初始通知、中期报告和最终报告）的预设格式模板，确保这一时间表得到执行。事件一发生，计时即开始，因此监管截止期限从来不需要靠人去记。
- 依据 DORA 严重程度标准自动对事件分类
- 针对 4 小时、72 小时和 1 个月截止期限的倒计时器
- 初始报告、中期报告和最终报告的预设格式模板
- 截止期限临近时触发升级工作流
- 完整的事件时间线及审计追踪，供监管审查
赶在监管机构之前发现您的集中度风险。
第 28 条要求您在与服务提供商合作关系的全过程中管理 ICT 第三方风险。Venvera 从五个加权维度（关键性、地域风险、集中度、合同健康状况和数据敏感性）为每个服务提供商评分，并在监管人员问起之前标记出单点故障。退出策略、可替代性评估和分包链都集中在同一处管理。
- 对每个服务提供商进行五维度自动风险评分
- 在国家和服务提供商层面发出集中度风险警报
- 记录退出策略并进行可替代性评分
- 分包外包链映射，跟踪至第 N 方
- 合同生命周期监控：到期、SLA、审计权
保护您董事会的证据档案。
第 5(2) 条规定董事会成员须对 ICT 风险管理框架承担个人责任，因此问题不在于他们是否履行了治理职责，而在于您能否证明这一点。Venvera 跟踪董事会监督的每一个要素：策略批准、风险报告审阅、资源分配决策、培训完成情况和会议出席情况，全部集中在一个仪表板中，并可为每位董事会成员导出责任证据包。
- 跟踪策略批准并保存电子签核记录
- 记录董事会会议出席情况和议程事项
- 记录 ICT 风险预算的资源分配
- 管理机构成员的培训完成记录
- 可为每位董事会成员导出个人责任证据包
五分钟内准确了解您的现状。
差距评估对照 DORA 的全部五大支柱（ICT 风险管理、事件报告、韧性测试、第三方风险和信息共享）评估您的组织，并给出带评分的成熟度评估，以及按优先级排列的整改路线图、工作量估算和负责人。从首次评估到全面合规，全程跟踪进展，无需再靠猜测。
- 覆盖全部 DORA 要求的五大支柱评估
- 成熟度评分：未开始、部分实施、已实施、有效
- 自动生成整改路线图，附优先级和工作量估算
- 为每个整改事项指定负责人并跟踪截止期限
- 展示合规进展随时间变化的进度仪表板
电子表格还是 Venvera？
DORA，一一解答。
DORA 指南
- DORA 要求详解第 5 条至第 45 条中的五组义务、哪些主体承担哪个版本的义务，以及从分类时开始计算的四小时时限。
- 第三方风险管理解决方案：2026 年指南四类 TPRM 平台、第 28 条至第 30 条及信息登记册对每一类的要求，以及一张包含十项标准的评分表。
- 面向保险公司的 DORA根据第 2(3) 条哪些机构在适用范围内、哪些不在，DORA 对 Solvency II 第 41(4) 条作了哪些修改，以及保险公司的 TLPT 门槛。
- 面向支付机构的 DORA哪些支付机构和电子货币机构适用第 16 条，PSD2 第 96(7) 条中的哪些规定被停用，以及 EUR 1500 亿的 TLPT 默认门槛。
- DORA 合规需要多长时间？从成熟的合规计划起步需要四到六个月，从电子表格起步需要九到十二个月，以及背后的原因。
- DORA 合规成本：逐项测算模型每个 DORA 项目都要付费的八个工作项，以及推高每一项成本的因素。
- DORA 信息登记册完全指南第 2024/2956 号实施条例中的全部 15 个模板，以及它们之间的关联方式。
- DORA 重大事件分类：7 项标准第 2024/1772 号授权条例中的具体判定标准，以及 4 小时、72 小时和 1 个月的时限。
- DORA ICT 第三方风险：建立合规的供应商登记册合同条款、分包外包 RTS 以及退出测试。
- DORA TLPT：威胁导向渗透测试哪些机构会被指定、TIBER-EU 的各个阶段，以及如何规划测试项目。
- 为什么您的信息登记册屡次被退回真正会导致报送被拒的七个 ESA 规则代码，以及如何逐一解决。
- 各法规的事件报告截止期限DORA 的 4 小时时限与 GDPR、NIS2、AI Act 和 CRA 的时限对比，以及哪个时限最先具有约束力。
- CRA、NIS2 与 DORA 对比为什么根据第 1(2) 条，DORA 对金融实体取代了 NIS2，以及 CRA 在哪些情况下仍然适用。
- DORA 审计：会经历什么第 50 条赋予的权力、第 6(6) 条要求您开展的内部审计，以及监管人员可以检查的年度周期。
- 如何收集审计证据相关、可靠、充分且可验证：五步法，以及根据 DORA 第 50(2)(a) 条谁有权要求提供审计证据。
了解您的 DORA 合规现状， 赶在国家主管机构之前。
先获取一份覆盖全部 DORA 领域的免费差距报告：只需 10 分钟，无需提供电子邮箱即可开始。
✓ 所有付费套餐： 90 天审计就绪，否则退款*
10 分钟 · 开始无需邮箱 · 无需信用卡 · 可永久保留