DORA verpflichtet Finanzunternehmen und ihre IT-Dienstleister zu einheitlichen Standards für digitale Betriebsstabilität. Ziel ist ein widerstandsähiger europäischer Finanzsektor gegen Cyberangriffe und IT-Ausfälle.
DORA steht für Digital Operational Resilience Act und ist eine EU-Verordnung, die seit dem 17. Januar 2025 in allen EU-Mitgliedstaaten unmittelbar gilt. Sie wurde von der Europäischen Kommission entwickelt, um die digitale Betriebsstabilität (die Fähigkeit eines Unternehmens, IT-Störungen und Cyberangriffe zu widerstehen, darauf zu reagieren und sich davon zu erholen) im europäischen Finanzsektor auf ein einheitliches Niveau zu bringen.
Hintergrund: Der Finanzsektor ist stark von digitalen Systemen abhängig. Gleichzeitig war die Regulierung von IT-Risiken in Finanzunternehmen bisher fragmentiert und unterschied sich je nach Mitgliedstaat und Unternehmenstyp erheblich. DORA schafft einen einheitlichen Rahmen.
DORA gilt für ein breites Spektrum von Finanzunternehmen und deren IT-Dienstleister. Direkt betroffen sind unter anderem:
Banken, Kreditinstitute, Zahlungsdienstleister, Versicherungsunternehmen, Wertpapierfirmen, Krypto-Asset-Dienstleister sowie Anbieter von Datenmeldediensten. Auch Pensionsfonds, Ratingagenturen und Crowdfunding-Plattformen fallen unter die Verordnung.
Besonders relevant für KMU: DORA erfasst ausdrücklich auch IKT-Drittdienstleister (Anbieter von Informations- und Kommunikationstechnologie – also IT-Dienstleister, Cloud-Anbieter, Softwareanbieter), die kritische oder wichtige Funktionen für Finanzunternehmen erbringen. Wer als IT-Dienstleister für eine Bank, Versicherung oder einen Zahlungsdienstleister tätig ist, kann durch DORA indirekt in die Pflicht genommen werden.
Für kleinere Finanzunternehmen gilt ein vereinfachtes Regime mit reduzierten Anforderungen. Die Einstufung hängt von Größe, Risikoprofil und Systemrelevanz ab.
DORA strukturiert sich in fünf Säulen:
Betroffene Unternehmen müssen ein umfassendes IKT-Risikomanagement (strukturiertes System zur Erkennung, Bewertung und Steuerung von IT-Risiken) einrichten. Das umfasst eine Risikoklassifizierung, Schutzmaßnahmen, Erkennung von Anomalien und Wiederherstellungspläne. Die Unternehmensleitung trägt die Verantwortung und muss regelmäßig berichten.
Unternehmen müssen IKT-bezogene Vorfälle klassifizieren, dokumentieren und bei schwerwiegenden Vorfällen den zuständigen Behörden melden. Die Meldefristen sind gestaffelt: eine erste Meldung innerhalb von vier Stunden nach Klassifizierung als schwerwiegend, eine Folgemeldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats.
Finanzunternehmen müssen ihre IKT-Systeme regelmäßig testen. Dazu gehören Schwachstellenanalysen, Netzwerksicherheitstests und für bedeutende Unternehmen verpflichtende TLPT (Threat-Led Penetration Testing – bedrohungsgeleitete Penetrationstests, bei denen reale Angreiferszenarien simuliert werden).
Verträge mit IKT-Drittdienstleistern müssen spezifische Anforderungen erfüllen: definierte Servicelevel, Prüfrechte, Ausstiegsstrategien und Informationspflichten. Kritische Drittdienstleister können direkt von den Aufsichtsbehörden überwacht werden.
DORA fördert den freiwilligen Austausch von Bedrohungsinformationen (Threat Intelligence – Informationen über aktuelle Angriffsmuster und Schwachstellen) zwischen Finanzunternehmen, um die kollektive Resilienz zu stärken.
Die Aufsicht über DORA liegt bei den zuständigen nationalen Finanzbehörden, in Deutschland bei der BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht). Bei Verstößen können erhebliche Bußgelder verhängt werden. Für kritische IKT-Drittdienstleister sieht DORA Strafen von bis zu 1 Prozent des weltweiten Tagesumsatzes vor, die für jeden Tag der Nichtrfüllung anfallen können.
Für Finanzunternehmen selbst richten sich die Sanktionen nach den jeweiligen sektorspezifischen Finanzgesetzen, die durch DORA ergänzt werden.
DORA stellt hohe Anforderungen an Dokumentation, Risikomanagement und Incident-Response (strukturierter Prozess zur Erkennung, Analyse und Behebung von IT-Sicherheitsvorfällen). Digimojo begleitet Finanzunternehmen und IT-Dienstleister bei der Lückenanalyse, dem Aufbau DORA-konformer Prozesse und der laufenden Dokumentation.
DigimojoCOMPLY strukturiert das IKT-Risikomanagement, die Vorfallsdokumentation und das Drittparteienmanagement an einem Ort und hilft, jederzeit auditbereit zu bleiben.
Schreib uns kurz, worum es geht. Wir melden uns innerhalb von 24 Stunden mit konkreten nächsten Schritten.
