DORA — Digital Operational Resilience Act
Der vollständige Leitfaden zur EU-Verordnung für digitale operationale Resilienz im Finanzsektor. Seit 17. Januar 2025 in Kraft.
📋 Inhaltsverzeichnis
1. Was ist DORA?
Der Digital Operational Resilience Act (DORA) — offiziell die Verordnung (EU) 2022/2554 — ist eine EU-Verordnung, die einheitliche Anforderungen an die digitale operationale Resilienz des europäischen Finanzsektors festlegt. DORA ist seit dem 17. Januar 2025 unmittelbar in allen EU-Mitgliedstaaten anwendbar — ohne nationale Umsetzung erforderlich.
Das Ziel: Finanzunternehmen sollen in der Lage sein, Cyberangriffe und IT-Störungen zu widerstehen, darauf zu reagieren und sich davon zu erholen — und zwar nicht nur in ihren eigenen Systemen, sondern entlang der gesamten IKT-Lieferkette.
2. Warum wurde DORA eingeführt?
Die Einführung von DORA wurde durch mehrere Entwicklungen notwendig:
Zunehmende Cyberangriffe
Die Zahl der Cyberangriffe auf den Finanzsektor hat sich zwischen 2018 und 2024 mehr als verdreifacht. Ransomware-Gruppen zielen gezielt auf Finanzinstitute und deren Dienstleister.
Konzentration auf wenige IT-Anbieter
Wenige große Cloud-Provider und Softwareanbieter versorgen einen Großteil des Finanzsektors. Der Ausfall eines einzigen Anbieters könnte systemrelevante Auswirkungen haben.
Fragmentierte Regulierung
Vor DORA existierten in der EU über 50 verschiedene Leitlinien, Empfehlungen und nationale Regelungen zur IT-Sicherheit im Finanzsektor — ohne einheitliche Standards.
Supply-Chain-Angriffe
Angriffe wie SolarWinds (2020) und Kaseya (2021) haben gezeigt, dass die Kompromittierung eines einzigen IT-Dienstleisters Tausende von Kunden gleichzeitig treffen kann.
3. Wer ist von DORA betroffen?
DORA betrifft über 22.000 Finanzunternehmen und IKT-Drittdienstleister in der EU.
⚠️ Wichtig: Auch Unternehmen außerhalb des Finanzsektors sind indirekt betroffen — nämlich dann, wenn sie als IKT-Drittdienstleister für Finanzunternehmen tätig sind.
4. Die 5 Säulen von DORA
IKT-Risikomanagement (Artikel 5–16)
Finanzunternehmen müssen einen umfassenden IKT-Risikomanagementrahmen einrichten. Dieser umfasst die Identifikation und Klassifizierung aller IKT-Assets, eine kontinuierliche Risikobewertung, Schutzmaßnahmen (Verschlüsselung, Zugangskontrolle, Netzwerksegmentierung), Erkennungsmechanismen für Anomalien und Cyberangriffe sowie Wiederherstellungspläne mit definierten Recovery Time Objectives (RTO) und Recovery Point Objectives (RPO). Die Verantwortung liegt ausdrücklich beim Leitungsorgan — Geschäftsführung und Vorstand müssen den IKT-Risikomanagementrahmen genehmigen, regelmäßig überprüfen und tragen die persönliche Verantwortung.
IKT-Vorfallmanagement und -berichterstattung (Artikel 17–23)
DORA etabliert ein einheitliches Meldewesen für IKT-bezogene Vorfälle. Finanzunternehmen müssen schwerwiegende IKT-Vorfälle klassifizieren und an die zuständige Aufsichtsbehörde melden — in drei Stufen: Erstmeldung (innerhalb von 4 Stunden nach Klassifizierung), Zwischenbericht (innerhalb von 72 Stunden) und Abschlussbericht (innerhalb eines Monats).
Tests der digitalen operationalen Resilienz (Artikel 24–27)
Alle Finanzunternehmen müssen regelmäßig ihre digitale Resilienz testen. Das umfasst grundlegende Tests (Vulnerability Assessments, Netzwerk-Scans, Gap-Analysen) mindestens jährlich. Systemrelevante Finanzunternehmen müssen zusätzlich alle drei Jahre bedrohungsorientierte Penetrationstests (TLPT) nach dem TIBER-EU-Framework durchführen.
IKT-Drittparteienrisikomanagement (Artikel 28–44)
Dies ist die für das Lieferantenmonitoring relevanteste Säule. Finanzunternehmen müssen ein Register aller IKT-Drittanbieter führen, vertragliche Mindestanforderungen sicherstellen (SLAs, Auditrechte, Exitstrategien, Subunternehmer-Transparenz), eine laufende Risikobewertung durchführen und Konzentrationsrisiken managen.
Informationsaustausch (Artikel 45)
DORA ermöglicht und fördert den Austausch von Informationen und Erkenntnissen über Cyberbedrohungen zwischen Finanzunternehmen. Dieser Austausch soll auf freiwilliger Basis in vertrauenswürdigen Gemeinschaften stattfinden und dabei die Datenschutzbestimmungen wahren.
5. IKT-Drittanbieter-Risikomanagement im Detail
Informationsregister (Artikel 28 Abs. 3)
Finanzunternehmen müssen ein vollständiges Register aller vertraglichen Vereinbarungen mit IKT-Drittanbietern führen. Dieses Register muss auf Anfrage den Aufsichtsbehörden zur Verfügung gestellt werden.
Vertragliche Mindestanforderungen (Artikel 30)
Alle Verträge mit IKT-Drittanbietern müssen spezifische Klauseln enthalten: klare Leistungsbeschreibungen, Sicherheitsstandards, Auditrechte, Notfallpläne, Datenportabilitätsgarantien und angemessene Kündigungsfristen mit Exitstrategien.
Risikobewertung vor Vertragsschluss (Artikel 28 Abs. 4)
Vor dem Abschluss neuer IKT-Dienstleistungsverträge müssen Finanzunternehmen eine Due-Diligence-Prüfung durchführen.
Laufende Überwachung (Artikel 28 Abs. 2)
Die Risikobewertung endet nicht mit dem Vertragsschluss. Finanzunternehmen sind verpflichtet, die Leistung und Sicherheit ihrer IKT-Drittanbieter kontinuierlich zu überwachen.
Konzentrationsrisiko-Management (Artikel 29)
Finanzunternehmen müssen Konzentrationsrisiken identifizieren und managen — also die Abhängigkeit von einzelnen oder wenigen IKT-Drittanbietern.
6. Zeitplan und Fristen
DORA im EU-Amtsblatt veröffentlicht
DORA tritt in Kraft (Beginn der 24-monatigen Umsetzungsfrist)
Erste Entwürfe der Regulatory Technical Standards (RTS) veröffentlicht
Zweite Charge der technischen Regulierungsstandards (RTS/ITS) veröffentlicht
DORA wird unmittelbar anwendbar — alle Anforderungen gelten ab diesem Zeitpunkt
Erste Meldung der Informationsregister an die Aufsichtsbehörden
Beginn der Aufsichtstätigkeit und Durchsetzung durch nationale Behörden und ESAs
7. Bußgelder und Sanktionen
Für Finanzunternehmen
- Bußgelder bis zu 10 Mio. € oder 5% des Jahresumsatzes
- Persönliche Haftung der Geschäftsleitung
- Öffentliche Bekanntmachung der Verstöße
- Entzug der Zulassung in schwerwiegenden Fällen
Für kritische IKT-Drittanbieter
- Zwangsgelder bis zu 1% des weltweiten Tagesumsatzes
- Täglich, bis zu 6 Monate lang
- Empfehlungen zur Kündigung durch Finanzunternehmen
- Öffentliche Empfehlung, den Anbieter zu meiden
8. DORA und Lieferantenmonitoring — warum technische Überwachung unverzichtbar ist
❌ Traditioneller Ansatz: Fragebögen
- ✗Subjektive Selbstauskünfte der Lieferanten
- ✗Momentaufnahme statt kontinuierliche Überwachung
- ✗Hoher manueller Aufwand für Versand und Auswertung
- ✗Keine Verifizierung der Angaben möglich
- ✗Belastet die Lieferantenbeziehung
- ✗Audit-untauglich — nicht nachprüfbar
- ✗Erfüllt DORA-Anforderungen nur teilweise
✅ RisikoMonitor: Technisches Monitoring
- Objektive, automatisierte Sicherheitsbewertung
- Kontinuierliche Überwachung in definierten Intervallen
- Über 4.000 technische Prüfpunkte
- Manipulationssichere, verifizierbare Ergebnisse
- Keine Belastung der Lieferantenbeziehung
- Audit-fähige Dokumentation mit Zeitstempel
- Vollständige DORA-Compliance
9. Praktische Umsetzung — Schritt für Schritt
IKT-Drittanbieter inventarisieren
Erstellen Sie ein vollständiges Verzeichnis aller IKT-Dienstleister und deren Leistungen.
Risikoklassifizierung vornehmen
Bewerten Sie jeden Anbieter nach Kritikalität, Substituierbarkeit und potenziellem Schadensausmaß.
Technisches Monitoring implementieren
Setzen Sie ein automatisiertes, technisches Monitoring ein — wie RisikoMonitor.
Verträge anpassen
Stellen Sie sicher, dass alle Verträge die DORA-Mindestanforderungen erfüllen: SLAs, Auditrechte, Incident-Reporting, Exitklauseln.
Informationsregister führen
Pflegen Sie das DORA-Informationsregister kontinuierlich und stellen Sie sicher, dass es jederzeit der Aufsicht vorgelegt werden kann.
Governance etablieren
Verankern Sie das IKT-Drittparteienrisikomanagement in Ihrer Governance-Struktur.
10. Häufig gestellte Fragen zu DORA
Gilt DORA auch für kleine Finanzunternehmen?
Ja, DORA gilt grundsätzlich für alle Finanzunternehmen. Allerdings gibt es ein Proportionalitätsprinzip: Kleinere Unternehmen mit weniger als 10 Mitarbeitern und einem Jahresumsatz unter 2 Mio. € unterliegen vereinfachten Anforderungen (Artikel 16).
Müssen auch Nicht-EU-Unternehmen DORA einhalten?
Direkt betroffen sind nur in der EU zugelassene Finanzunternehmen. Allerdings sind IKT-Drittanbieter aus Drittstaaten, die Dienstleistungen für EU-Finanzunternehmen erbringen, indirekt betroffen.
Was ist der Unterschied zwischen DORA und NIS2?
DORA ist eine sektorspezifische Verordnung für den Finanzsektor und geht als lex specialis der allgemeinen NIS2-Richtlinie vor.
Reichen Fragebögen für die DORA-Compliance?
Nein. DORA verlangt eine laufende Überwachung der IKT-Drittanbieter. Jährliche Fragebögen erfüllen diese Anforderung nicht.
Was passiert, wenn ein kritischer Anbieter ausfällt?
DORA verlangt Exitstrategien und Business-Continuity-Pläne für kritische IKT-Drittanbieter.
Wie unterscheidet sich DORA von den bisherigen EBA-Leitlinien?
Die EBA-Leitlinien zum Outsourcing waren Empfehlungen ohne direkte Rechtsverbindlichkeit. DORA ist eine EU-Verordnung, die unmittelbar gilt.
DORA-Compliance für Ihr Lieferantenmanagement
Erfahren Sie, wie RisikoMonitor Ihnen hilft, die DORA-Anforderungen an das IKT-Drittparteienrisikomanagement effizient und nachweisbar zu erfüllen.