DORA (Digital Operational Resilience Act)

IT-Resilienz für den Finanzsektor ab Januar 2025.

Der Digital Operational Resilience Act (EU-Verordnung 2022/2554) ist das zentrale europäische Regelwerk für die digitale Betriebsstabilität im Finanzsektor. DORA ist am 16. Januar 2023 in Kraft getreten und wird seit dem 17. Januar 2025 vollständig angewendet. Die Verordnung verpflichtet Finanzunternehmen, ihre IKT-Risiken systematisch zu managen, die Widerstandsfähigkeit ihrer digitalen Infrastruktur nachzuweisen und ein einheitliches Schutzniveau über alle EU-Mitgliedstaaten hinweg sicherzustellen.

DORA geht über bestehende Anforderungen hinaus: Die Vorschriften für IKT-Risikomanagement und die Meldung von IKT-Vorfällen sind strenger als die bisherigen Regelungen im europäischen Finanzdienstleistungsrecht. Damit wird ein verbindlicher Rahmen geschaffen, der Cyberbedrohungen und IT-Ausfälle nicht mehr nur als technisches, sondern als strategisches Risiko behandelt.

Wen betrifft DORA?

DORA gilt für nahezu alle regulierten Finanzunternehmen in der EU sowie für deren kritische IKT-Dienstleister:

Banken und Kreditinstitute
Versicherungen und Rückversicherer
Wertpapierfirmen und Zahlungsdienstleister
Verwaltungsgesellschaften und Investmentfonds
Krypto-Asset-Dienstleister
Handelsplattformen und zentrale Gegenparteien
Kritische IKT-Drittdienstleister (z. B. Cloud-Anbieter, Rechenzentren)

Die fünf Säulen von DORA

1. IKT-Risikomanagement: Finanzunternehmen müssen einen internen Governance- und Kontrollrahmen etablieren, der ein effektives Management aller IKT-Risiken gewährleistet. Dazu gehören die Identifikation und Klassifikation von IKT-Assets, Schutzmaßnahmen, Wiederherstellungspläne sowie regelmäßige interne Revisionen durch qualifizierte IKT-Auditoren.

2. IKT-Vorfallberichterstattung: Unternehmen müssen IKT-bezogene Vorfälle klassifizieren, dokumentieren und schwerwiegende Vorfälle innerhalb festgelegter Fristen an die zuständigen Aufsichtsbehörden melden. Dies umfasst Erstmeldungen, Zwischenberichte und Abschlussberichte.

3. Digitale Betriebsstabilitätstests: Die Verordnung schreibt regelmäßige Tests der digitalen Resilienz vor, darunter Schwachstellenanalysen, Netzwerksicherheitstests und — für systemrelevante Institute — bedrohungsgeleitete Penetrationstests (Threat-Led Penetration Testing, TLPT) auf Basis des TIBER-EU-Frameworks.

4. IKT-Drittparteirisiko: DORA führt einen verbindlichen Rahmen für das Management von Risiken ein, die aus der Auslagerung an IKT-Drittdienstleister entstehen. Dazu gehören vertragliche Mindestanforderungen, laufende Überwachung und ein EU-weites Überwachungsframework für kritische IKT-Drittanbieter durch die Europäischen Aufsichtsbehörden (ESAs).

5. Informationsaustausch: DORA ermöglicht und fördert den freiwilligen Austausch von Informationen über Cyberbedrohungen zwischen Finanzunternehmen, um die kollektive Resilienz des Finanzsektors zu stärken.

Zentrale Fristen und Meilensteine

16. Januar 2023: Inkrafttreten der Verordnung
17. Januar 2025: Vollständige Anwendung aller Anforderungen
17. Januar 2025: Technische Regulierungsstandards (RTS) und technische Durchführungsstandards (ITS) gelten