DORA verständlich: Was Finanzunternehmen jetzt wissen müssen
Was ist DORA?
DORA (Verordnung (EU) 2022/2554, „Digital Operational Resilience Act“) schafft einen einheitlichen Rahmen für die digitale operationale Resilienz im EU-Finanzsektor. Als Verordnung gilt sie unmittelbar, eine nationale Umsetzung ist nicht nötig. Ziel ist, dass Finanzunternehmen IKT-Störungen und Cyberangriffe abwehren, durchhalten und sich davon erholen können.
Für wen gilt DORA?
DORA erfasst rund 20 Arten von Finanzunternehmen sowie kritische IKT-Drittdienstleister. Für kleine und nicht verflochtene Wertpapierfirmen und einige weitere kleine Institute gilt ein vereinfachter Rahmen (Art. 16). Details stehen im Beitrag Für wen gilt DORA?
Die fünf Säulen von DORA
1. IKT-Risikomanagement
Ein dokumentierter Rahmen für den Umgang mit IKT-Risiken. Die Leitung trägt dafür die Verantwortung, legt die Strategie fest und überwacht die Umsetzung.
2. Behandlung & Meldung von Vorfällen
Schwerwiegende IKT-bezogene Vorfälle müssen erkannt, klassifiziert und der zuständigen Behörde gemeldet werden, in mehreren gestaffelten Berichten.
3. Tests der digitalen Resilienz
Alle Unternehmen brauchen ein Testprogramm. Von der Aufsicht dafür bestimmte Finanzunternehmen müssen zusätzlich Threat-Led Penetration Testing (TLPT) durchführen.
4. IKT-Drittparteienrisiko
Finanzunternehmen steuern ihre Auslagerungen, vereinbaren Mindestvertragsinhalte und führen ein Informationsregister. Kritische IKT-Drittdienstleister stehen unter EU-Aufsicht.
5. Informationsaustausch
Finanzunternehmen können Bedrohungsinformationen freiwillig untereinander austauschen.
Meldung von Vorfällen
Schwerwiegende IKT-bezogene Vorfälle sind der zuständigen Behörde (in Deutschland der BaFin) gestaffelt zu melden: mit Erstmeldung, Zwischen- und Abschlussbericht. Die genauen Fristen legen technische Regulierungsstandards (RTS/ITS) fest.
Tests der digitalen Resilienz
Jedes erfasste Unternehmen braucht ein Testprogramm. Finanzunternehmen, die die Aufsicht dafür bestimmt (Art. 26 Abs. 8), müssen zusätzlich regelmäßig Threat-Led Penetration Testing (TLPT) durchführen. Mehr dazu unter DORA-Resilienztests & TLPT.
Üben als Pflichtbaustein
Technische Tests allein reichen nicht. DORA verlangt auch, dass Reaktions-, Wiederherstellungs- und Kommunikationspläne erprobt werden. Dafür sind Tabletop-Übungen gemacht: Das Team trifft unter Zeitdruck Entscheidungen und arbeitet die Meldewege ab. Am Ende steht ein dokumentierter Nachweis.
Häufige Fragen
Seit wann gilt DORA?
Die DORA-Verordnung (EU) 2022/2554 ist seit dem 16. Januar 2023 in Kraft und gilt unmittelbar in allen Mitgliedstaaten seit dem 17. Januar 2025. Eine nationale Umsetzung ist nicht erforderlich.
Für wen gilt DORA?
DORA gilt für viele Arten von Finanzunternehmen, von Banken, Zahlungsdienstleistern und Wertpapierfirmen über Versicherer bis zu Krypto-Dienstleistern. Dazu kommen kritische IKT-Drittdienstleister, die der EU-Aufsicht unterstehen.
Verlangt DORA Übungen?
DORA verlangt ein Programm zum Testen der digitalen operationalen Resilienz. Neben technischen Tests gehören szenariobasierte Tests und die Erprobung von Reaktions- und Wiederherstellungsplänen dazu. Für beides eignen sich Tabletop-Übungen.
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Maßgeblich sind die jeweils geltenden Gesetzes- und Verordnungstexte sowie der aktuelle Stand der nationalen Umsetzung.