DAllgemein

DORA (Digital Operational Resilience Act)

EU-Regeln zur digitalen Resilienz im Finanzsektor und IT-Drittrisiken.
2 Aufrufe

DORA (Digital Operational Resilience Act) ist eine EU-Verordnung, die Finanzunternehmen verpflichtet, ihre IT und digitalen Prozesse so abzusichern, dass sie auch bei Cyberangriffen, Systemausfällen oder Problemen mit IT-Dienstleistern stabil weiterarbeiten können. Im Kern geht es um einheitliche Mindeststandards für IT-Risikomanagement, Incident-Meldungen, Tests der Widerstandsfähigkeit und das Management von IT-Drittrisiken.

Was bedeutet DORA konkret?

DORA ist Teil der EU-Strategie für einen resilienten Finanzmarkt. Die Verordnung richtet sich vor allem an Banken, Versicherungen, Zahlungsdienstleister, Wertpapierfirmen sowie wichtige IT-Dienstleister (z. B. Cloud-Provider), die diese Unternehmen unterstützen. Ziel ist, dass digitale Störungen nicht zu langen Ausfällen, Datenverlust oder Dominoeffekten im Finanzsystem führen.

Wie funktioniert DORA? (vereinfacht in 5 Bausteinen)

  • ICT-Risikomanagement: Unternehmen müssen Risiken systematisch identifizieren, schützen, erkennen, reagieren und wiederherstellen (z. B. Backup-Strategie, Zugriffskontrollen, Notfallpläne).
  • Incident Management & Meldepflichten: Schwere IT-Sicherheitsvorfälle müssen nach klaren Kriterien erfasst, klassifiziert und fristgerecht gemeldet werden.
  • Resilienz-Tests: Regelmäßige Tests (z. B. Wiederanlauf-Tests, Penetrationstests) sollen zeigen, ob Systeme und Prozesse im Ernstfall halten.
  • IT-Drittrisiko-Management: Strengere Anforderungen an Verträge, Überwachung und Exit-Pläne bei externen IT-Anbietern (z. B. Cloud, Outsourcing, Managed Services).
  • Informationsaustausch: Unter bestimmten Rahmenbedingungen können Finanzunternehmen Bedrohungsinformationen teilen, um schneller zu reagieren.

Warum ist DORA wichtig – auch für kleine Unternehmen?

Viele kleine Unternehmen sind nicht direkt „DORA-pflichtig“. Trotzdem wirkt DORA oft indirekt: Wenn Sie als IT-Dienstleister, Softwareanbieter oder Outsourcing-Partner für Finanzkunden arbeiten, werden Anforderungen über Verträge und Lieferantenbewertungen an Sie weitergereicht. Typische Folgen sind strengere Sicherheitsfragebögen, Nachweise (z. B. ISMS-Policies), klarere SLAs sowie Anforderungen an Notfallbetrieb und Unterauftragnehmer.

Strategisch ist DORA ein Signal: Digitale Resilienz wird zur Management-Aufgabe. Wer heute eine IT-Strategie aufsetzt, sollte daher Themen wie Lieferantenabhängigkeiten, Ausfallszenarien, Wiederherstellungszeiten (RTO/RPO) und Security-by-Design fest einplanen – besonders, wenn Cloud und externe Tools genutzt werden.

Beispiele aus der Praxis

  • Ein Zahlungsdienstleister nutzt einen Cloud-Provider: DORA fordert klare Vertragsklauseln zu Verfügbarkeit, Audit-Rechten, Datenstandorten und Exit (Provider-Wechsel).
  • Eine Versicherung hat einen Cybervorfall: DORA verlangt definierte Prozesse, wann ein Vorfall „schwerwiegend“ ist, wie intern eskaliert wird und welche Meldungen an Behörden erfolgen.
  • Ein IT-Systemhaus betreut eine Bank als Kunde: Die Bank verlangt u. a. dokumentierte Backup- und Restore-Tests, Incident-Prozesse und ggf. Nachweise zu Zugriffskontrollen.

In der Umsetzung überschneidet sich DORA häufig mit Themen wie IT-Compliance, Lieferantensteuerung und Sicherheitsorganisation. Für KI- und Automatisierungsprojekte (z. B. mit AI Governance oder bei sensiblen Daten auch Datenschutz (DSGVO/GDPR) & KI) bedeutet das: Resilienz, Logging, klare Verantwortlichkeiten und Drittanbieter-Risiken sollten von Anfang an mitgedacht werden.

Zahlen & Fakten

0,0
Anwendungsstart DORASeit dem 17. Januar 2025 gelten die DORA-Vorgaben verbindlich für Finanzunternehmen und erhöhen damit auch den Druck auf IT-Dienstleister und KMU in der Lieferkette.
0 Säulen
Kernbereiche DORADORA bündelt Anforderungen in fünf zentralen Bereichen wie IKT-Risikomanagement, Vorfallmeldung und Drittparteiensteuerung, was besonders für KMU klare Compliance-Strukturen erfordert.
0 Stunden
frühe VorfallmeldungUnternehmen müssen schwere IKT-Vorfälle sehr kurzfristig initial melden, weshalb belastbare Monitoring- und Eskalationsprozesse für B2B-Organisationen entscheidend sind.

Anwendungsfälle in der Praxis

Einkauf
IT-Dienstleister und Cloud-Anbieter systematisch nach DORA-Risiken bewerten
Ein kleines Finanzunternehmen oder Versicherungsvermittler erstellt für alle kritischen IT-Dienstleister eine einfache Bewertungsmatrix zu Ausfallrisiken, Sicherheitsvorfällen und vertraglichen Pflichten. So kann das Unternehmen vor Vertragsabschluss prüfen, ob ein Cloud- oder Software-Anbieter Meldewege, Notfallprozesse und ausreichende Sicherheitsnachweise für DORA-konforme Zusammenarbeit bietet.

Bist du bereit für DORA?

Beantworte 5 kurze Fragen und finde heraus, wo du stehst.
Hast du bereits geprüft, ob und wie DORA auf dein Unternehmen oder deine Rolle im Finanzsektor zutrifft?
Gibt es bei dir dokumentierte Prozesse, um IKT-Risiken systematisch zu identifizieren, zu bewerten und zu steuern?
Hast du kritische IT-Dienstleister und Drittparteien erfasst und deren Risiken im Sinne von DORA bewertet?
Führst du regelmäßig Tests, Übungen oder Reviews zur digitalen operationalen Resilienz durch, zum Beispiel für Vorfälle oder Ausfälle?
Sind Meldewege, Verantwortlichkeiten und Nachweise für IKT-Vorfälle und DORA-Anforderungen bei dir klar definiert und auditierbar dokumentiert?

Ist deine Tech-Landschaft schon bereit für DORA?

DORA verlangt, dass du digitale Risiken, eingesetzte Tools und IT-Drittdienstleister sauber im Blick hast. Genau hier setzt das Tech-Gutachten an: In zwei Wochen analysiere ich deine bestehende Systemlandschaft, mache Abhängigkeiten sichtbar und zeige dir, wo Handlungsbedarf besteht. So bekommst du eine fundierte Grundlage, um Risiken besser zu bewerten und deine Organisation resilienter aufzustellen. Wenn du bei DORA nicht nur mitlesen, sondern konkret Ordnung schaffen willst, ist das der pragmatische nächste Schritt.

Häufig gestellte Fragen

Was ist DORA (Digital Operational Resilience Act)?
DORA ist eine EU-Verordnung, die einheitliche Regeln für digitale Resilienz im Finanzsektor festlegt. Sie verlangt u. a. IT-Risikomanagement, Meldung schwerer IT-Vorfälle, Resilienz-Tests und strikteres Management von IT-Dienstleistern.