DORA: Was der Digital Operational Resilience Act vom Finanzsektor verlangt

Was DORA ist

Die Verordnung (EU) 2022/2554 – Digital Operational Resilience Act – gilt seit 17. Jänner 2025 unmittelbar in allen Mitgliedstaaten. Sie richtet sich an rund 20 Kategorien von Finanzunternehmen: Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Versicherungen und Rückversicherungen, Vermittler, Krypto-Dienstleister, Handelsplätze, Ratingagenturen, Fondsverwalter – und über die Drittparteienregeln faktisch auch deren IT-Dienstleister.

Anders als eine Richtlinie braucht DORA keine nationale Umsetzung: Der Text gilt direkt.

Die fünf Säulen

1. IKT-Risikomanagement. Governance-Rahmen unter Verantwortung des Leitungsorgans, Inventar aller IKT-Assets, Schutz- und Erkennungsmaßnahmen, Backup- und Wiederherstellungsverfahren mit definierten Zielwerten für Wiederanlaufzeit und Datenverlust.

2. Meldung IKT-bezogener Vorfälle. Einheitliche Klassifizierung nach Schwellenwerten, Erstmeldung, Zwischenmeldung und Abschlussbericht an die zuständige Aufsicht. Freiwillige Meldung erheblicher Cyberbedrohungen.

3. Testen der digitalen Betriebsstabilität. Regelmäßige Tests aller kritischen Systeme; für bedeutende Institute zusätzlich bedrohungsgeleitete Penetrationstests (TLPT) nach dem TIBER-EU-Rahmen, mindestens alle drei Jahre.

4. Management des IKT-Drittparteienrisikos. Das operative Herzstück: ein Informationsregister aller vertraglichen Vereinbarungen über IKT-Dienstleistungen, Pflichtinhalte in Verträgen (Zugangs-, Prüf- und Kündigungsrechte, Datenlokation, Service-Level, Ausstiegsstrategien), Risikobewertung vor Vertragsabschluss und Überwachung von Konzentrationsrisiken. Kritische IKT-Drittanbieter unterliegen einer direkten Aufsicht auf EU-Ebene.

5. Informationsaustausch. Freiwilliger Austausch von Bedrohungsinformationen zwischen Finanzunternehmen.

Woran es in der Praxis hakt

Das Informationsregister ist für viele Häuser die größte Baustelle: Es verlangt eine vollständige, strukturierte und aktuelle Sicht auf jede Auslagerung inklusive Unterauftragsverhältnisse. Wer nicht weiß, welcher Sub-Dienstleister eines Cloud-Anbieters welche Funktion übernimmt, kann Konzentrationsrisiken nicht bewerten.

Zweiter Dauerbrenner: Ausstiegsstrategien. DORA verlangt für kritische Funktionen einen belastbaren Plan, wie der Betrieb ohne den Dienstleister weiterläuft – nicht eine Absichtserklärung.

Überschneidung mit NIS2

Für Finanzunternehmen gilt DORA als Lex specialis und verdrängt in den geregelten Bereichen die NIS2-Pflichten. Wer beides im Konzern hat – etwa ein Finanzunternehmen mit einem Industrie- oder IT-Arm – muss die Abgrenzung sauber dokumentieren.

Nächster Schritt

Das Drittparteienrisiko ist nur so gut wie die Daten dahinter. Risikomonitor überwacht Ihre IKT-Dienstleister laufend auf Leaksite-Einträge, Darknet-Erwähnungen und kompromittierte Zugangsdaten – als Frühwarnsystem für Ihr Informationsregister.

[Lieferantenmonitoring ansehen](/lieferantenmonitoring) · Jetzt über „Demo / Kontakt“ anfragen.