DORA (Digital Operational Resilience Act)
Die EU-Verordnung 2022/2554 zur digitalen Betriebsstabilität im Finanzsektor mit Anforderungen an ICT-Risikomanagement.
Der Digital Operational Resilience Act (DORA) ist eine EU-Verordnung (2022/2554), die seit Januar 2025 verbindlich für Finanzunternehmen in der gesamten EU gilt. DORA schafft einen einheitlichen Rechtsrahmen für die digitale operationale Resilienz im Finanzsektor und konsolidiert bisher fragmentierte nationale und sektorale Anforderungen. Sie gilt für ein breites Spektrum von Finanzunternehmen: Banken, Versicherungen, Wertpapierfirmen, Zahlungsdienstleister, Börsen, Ratingagenturen und erstmals auch für kritische IKT-Drittdienstleister wie Cloud-Anbieter.
Die fünf Säulen von DORA umfassen: IKT-Risikomanagement (Governance, Rahmenwerk, Strategien), IKT-bezogenes Vorfallmanagement und Meldepflichten, Digital Operational Resilience Testing (DORA-spezifische Pen-Tests und TLPT), Management von IKT-Drittparteirisiken sowie Informationsaustausch. Besonders hervorzuheben ist die Pflicht zur Registrierung und Beaufsichtigung kritischer IKT-Drittdienstleister direkt durch die europäischen Aufsichtsbehörden (ESAs).
Für Compliance-Verantwortliche im Finanzsektor bedeutet DORA eine erhebliche Ausweitung der Anforderungen gegenüber bisherigen nationalen Regelungen. Überschneidungen mit NIS2 existieren, sind jedoch bewusst so gestaltet, dass DORA als lex specialis für den Finanzsektor gilt. Die Umsetzung erfordert enge Zusammenarbeit zwischen IT-Sicherheit, Compliance, Rechtsabteilung und dem Vorstand sowie eine systematische Überprüfung aller IKT-Drittdienstleisterverträge auf DORA-Konformität.
Rechtliche Grundlage
EU-Verordnung 2022/2554 (DORA), delegierte Rechtsakte der ESAs
Praxisbeispiel
Eine mittelgroße Regionalbank führt eine DORA-Gap-Analyse durch und stellt fest, dass die IKT-Drittdienstleisterverträge mit zwei kritischen Cloud-Anbietern nicht den DORA-Anforderungen entsprechen: Ausstiegsstrategien fehlen, und Prüfrechte der Aufsichtsbehörden sind nicht vertraglich verankert. Das Compliance-Team verhandelt die Verträge nach und implementiert ein IKT-Drittparteienregister. Zusätzlich werden Threat-Led Penetration Tests (TLPT) mit einem autorisierten Tester durchgeführt und ein formelles IKT-Vorfallmeldeverfahren bei der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) eingerichtet.
Häufige Fragen
So unterstützt preeco Sie
Erfahren Sie, wie unsere Software Sie bei diesem Thema unterstützt.
Mehr erfahren