Der Digital Operational Resilience Act (DORA) ist seit Januar 2025 vollständig anwendbar und stellt den europäischen Finanzsektor vor die bislang umfangreichsten IT-Sicherheitsanforderungen seiner Geschichte. Betroffen sind nicht nur Großbanken — sondern auch Versicherungen, Vermögensverwalter, Zahlungsdienstleister und ihre IT-Dienstleister.
Was ist DORA — und warum wurde es eingeführt?
DORA steht für Digital Operational Resilience Act — eine EU-Verordnung (nicht Richtlinie), die direkt in allen EU-Mitgliedstaaten gilt, ohne nationale Umsetzung. Sie wurde eingeführt, weil die Europäische Kommission erkannt hat, dass der Finanzsektor in einem alarmierenden Maß von IT-Systemen abhängt — und gleichzeitig die regulatorischen Anforderungen an IT-Sicherheit fragmentiert, inkonsistent und unzureichend waren.
Auslöser waren unter anderem:
- Mehrere große IT-Ausfälle bei europäischen Finanzinstituten, die tagelang Millionen von Kunden betrafen
- Zunehmende Cyberangriffe auf Finanzinfrastrukturen, teils staatlich gesponsert
- Die unkontrollierte Abhängigkeit von wenigen großen Cloud-Anbietern (AWS, Azure, Google Cloud)
- Fehlende einheitliche Standards für IKT-Risikomanagement im Finanzsektor
Wen betrifft DORA? Die vollständige Erfassungsliste
DORA erfasst einen erheblich breiteren Kreis von Finanzunternehmen als viele erwarten:
| Unternehmenstyp | DORA-Anwendung |
|---|---|
| Kreditinstitute (Banken) | Vollständig erfasst |
| Zahlungsinstitute & E-Geld-Institute | Vollständig erfasst |
| Versicherungsunternehmen & Rückversicherer | Vollständig erfasst |
| Wertpapierfirmen & Vermögensverwalter | Vollständig erfasst |
| Kryptoasset-Dienstleister (nach MiCA) | Vollständig erfasst |
| Handelsplätze & zentrale Gegenparteien | Vollständig erfasst |
| IKT-Drittdienstleister für o.g. Unternehmen | Indirekt erfasst (DORA Kap. V) |
| Kleine und mittlere Finanzunternehmen | Vereinfachte Anforderungen (Art. 16) |
Die 5 Säulen von DORA: Was konkret gefordert wird
DORA strukturiert die Anforderungen in fünf Bereiche, die zusammen ein vollständiges IKT-Risikorahmenwerk bilden:
Vollständiger Rahmen zur Identifikation, Schutz, Erkennung, Reaktion und Wiederherstellung bei IKT-Risiken. Die Leitungsorgane sind persönlich verantwortlich und müssen regelmäßig geschult werden.
Klassifizierung, Erfassung und Meldung von IKT-bezogenen Vorfällen. Schwerwiegende Vorfälle müssen an die BaFin gemeldet werden — mit konkreten Fristen (Erstmeldung, Zwischenbericht, Abschlussbericht).
Regelmäßige Tests aller IKT-Systeme: Vulnerability Assessments, Penetrationstests. Für wesentliche Finanzinstitute: erweiterte bedrohungsgeleitete Penetrationstests (TLPT) alle 3 Jahre.
Das umfangreichste Kapitel von DORA. Finanzunternehmen müssen alle IKT-Dienstleister registrieren, bewerten und vertraglich absichern. Systemrelevante Anbieter werden von europäischen Aufsichtsbehörden direkt reguliert.
Finanzunternehmen sollen Informationen zu Cyberbedrohungen und Schwachstellen untereinander teilen — auf freiwilliger Basis, aber mit klarem regulatorischen Rahmen.
Der unterschätzte Teil: IKT-Drittparteienrisiko
Kapitel V von DORA — das IKT-Drittparteienmanagement — ist für die meisten Finanzunternehmen die größte operative Herausforderung und wird oft unterschätzt.
Was konkret gefordert wird:
- Vollständiges Register aller IKT-Dienstleister mit Klassifizierung nach Kritikalität
- Vertragliche Mindestanforderungen in allen Verträgen mit IKT-Dienstleistern — DORA definiert, was diese Verträge enthalten müssen
- Ausstiegsstrategien für kritische IKT-Dienstleister — der Beweis, dass das Unternehmen im Notfall auf alternative Anbieter wechseln kann
- Konzentrationsrisikobewertung — Abhängigkeiten von wenigen Anbietern müssen erkannt und dokumentiert sein
Sanktionen: Was bei Verstößen droht
Neben Geldbußen können Aufsichtsbehörden unter DORA auch:
- Öffentliche Bekanntmachungen über Verstöße veröffentlichen
- Zeitweise Verbote für Führungspersonen aussprechen
- Die Zulassung zum Geschäftsbetrieb vorübergehend entziehen
- Korrekturmaßnahmen mit konkreten Fristen anordnen
NIS2 und DORA: Wie verhalten sich die beiden Regelwerke zueinander?
Viele Finanzunternehmen fragen sich, ob sie NIS2 und DORA einhalten müssen. Die Antwort ist differenziert:
| Aspekt | NIS2 | DORA |
|---|---|---|
| Zielgruppe | Alle kritischen Sektoren | Nur Finanzsektor |
| Rechtsform | Richtlinie (nationale Umsetzung) | Verordnung (direkt anwendbar) |
| Spezifität | Allgemeine Cybersicherheitspflichten | Detaillierte IKT-Resilienzanforderungen |
| Verhältnis | DORA ist lex specialis — für Finanzunternehmen ersetzt DORA die NIS2-Anforderungen weitgehend, soweit DORA gleichwertige oder strengere Anforderungen stellt | |
Konkrete Handlungsschritte für Finanzunternehmen
Ein vollständiges IKT-Risikorahmenwerk ist die Grundlage für alle weiteren DORA-Anforderungen. Ohne dieses Dokument sind keine anderen Maßnahmen begründbar.
Alle IKT-Dienstleister erfassen, nach Kritikalität klassifizieren und bestehende Verträge gegen die DORA-Mindestanforderungen prüfen.
Klare Klassifizierungskriterien, Meldeketten und Zuständigkeiten für IKT-Vorfälle — inklusive der Fristen für BaFin-Meldungen.
Jährliche Vulnerability Assessments und Penetrationstests für alle kritischen IKT-Systeme einplanen und dokumentieren.
→ Beta-Zugang anfragen
