Kapitalrisiken zu steuern gehört für Banken zum Handwerk. DORA verlangt dieselbe Systematik für die digitale Seite: Ausfälle, Angriffe und Abhängigkeiten von IT-Dienstleistern gelten seit Januar 2025 als Risiken, die genauso konsequent beherrscht und nachgewiesen werden müssen.
Was ist DORA?
Der Digital Operational Resilience Act ist die EU-Verordnung 2022/2554 über die digitale operationale Resilienz im Finanzsektor. Als Verordnung wirkt sie unmittelbar in allen Mitgliedstaaten, ein nationales Umsetzungsgesetz braucht es nicht; anwendbar ist sie seit dem 17. Januar 2025.
Der Adressatenkreis ist weit gefasst: Banken, Versicherungen, Wertpapierfirmen, Zahlungs- und E-Geld-Institute, Handelsplätze und weitere Finanzakteure, insgesamt rund 20 Kategorien. Bemerkenswert ist die Einbeziehung der IKT-Drittdienstleister: Kritische Anbieter können direkt unter die Überwachung der europäischen Aufsichtsbehörden fallen, und jeder Dienstleister eines Finanzunternehmens bekommt die Anforderungen über Verträge und das Informationsregister durchgereicht.
Die fünf Säulen
- IKT-Risikomanagement: Ein dokumentierter Rahmen über Systeme, Rollen und Schutzmaßnahmen; ausdrücklich verlangt sind Strategien zur Begrenzung der Auswirkungen von IKT-Vorfällen, samt Erkennungs- und Wiederherstellungsfähigkeit.
- Vorfallmanagement und Meldewesen: IKT-Vorfälle werden klassifiziert; schwerwiegende Vorfälle sind der Aufsicht in festen Stufen und Fristen zu melden.
- Resilienztests: Systeme und Kontrollen werden regelmäßig getestet; bedeutende Institute müssen zusätzlich etwa alle drei Jahre bedrohungsgeleitete Penetrationstests (TLPT) durchführen.
- IKT-Drittparteirisiko: Gefordert sind ein vollständiges Informationsregister aller IKT-Verträge, Pflichtklauseln mit Dienstleistern und Ausstiegsstrategien für kritische Services.
- Informationsaustausch: Ein Rahmen für das freiwillige Teilen von Bedrohungsinformationen innerhalb der Branche.
Warum die Verordnung Gewicht hat
- Sie gilt unmittelbar und wird in Deutschland von BaFin und Bundesbank beaufsichtigt; Übergangsfristen sind abgelaufen.
- Die Nachweispflichten sind konkret: Register, Klassifizierungen, Testberichte und Meldeprozesse lassen sich nicht improvisieren.
- IT-Dienstleister von Finanzunternehmen werden vertraglich in die Pflicht genommen und müssen ihre Maßnahmen belegen können.
- Der Fokus auf die Begrenzung von Auswirkungen verschiebt Budgets von reiner Prävention hin zu Eindämmung und Wiederanlauf.
Typische Szenarien
- Eine Bank baut ihr Informationsregister auf und stellt fest, dass Dutzende Netzwerk- und Cloud-Verträge DORA-Pflichtklauseln benötigen.
- Ein Zahlungsinstitut segmentiert seine Transaktionssysteme, um die geforderte Begrenzung von Vorfallsauswirkungen belegen zu können.
- Ein Versicherer übt den Ausfall eines kritischen IKT-Dienstleisters durch, inklusive Exit-Szenario.
- Ein IT-Provider im Finanzumfeld erhält von mehreren Kunden gleichlautende Fragebögen zu Resilienz, Tests und Subdienstleistern.
Worauf Prüfungen zielen
Seit dem Anwendungsstart zeichnet sich ab, was Prüfer erwarten. Das Informationsregister muss vollständig und aktuell sein, Subdienstleisterketten eingeschlossen; lückenhafte Register führen am schnellsten zu Feststellungen. Die Vorfallklassifizierung braucht eingeübte Abläufe: Wer erst im Ernstfall klärt, ob ein Vorfall meldepflichtig ist, verpasst Fristen. Und die geforderte Begrenzung von Auswirkungen will technisch belegt sein, etwa über dokumentierte Segmentierungsrichtlinien, Wiederanlauftests und nachvollziehbare Datenflüsse.
Dabei gilt das Proportionalitätsprinzip: Ein kleines Zahlungsinstitut muss nicht die Testtiefe einer Großbank erreichen, wohl aber ein zur eigenen Größe passendes, gelebtes Rahmenwerk vorweisen. Für IKT-Dienstleister heißt das umgekehrt: Wer Finanzkunden fertige Nachweise liefert, vom Betriebsbericht über Testergebnisse bis zur vertraglich zugesagten Exit-Unterstützung, wandelt sich in Prüfungen vom Risikofaktor zum Vorteil und verkürzt Vertragsverhandlungen spürbar.
Abgrenzung zu NIS-2
Beide Regelwerke entstammen demselben EU-Paket, regeln aber Unterschiedliches: NIS-2 ist eine sektorübergreifende Richtlinie mit nationalem Umsetzungsspielraum, DORA eine unmittelbar geltende Spezialverordnung für den Finanzsektor. Für Finanzunternehmen hat DORA als das speziellere Regelwerk in seinen Themen Vorrang; wer beide Welten berührt, etwa als IT-Dienstleister mehrerer Branchen, muss beide Anforderungskataloge bedienen. Einen Überblick über die Regelwerke gibt der Eintrag Cybersecurity-Compliance.
Die Kernforderung, Auswirkungen von IKT-Vorfällen zu begrenzen, ist am Ende eine Architekturfrage: Mikrosegmentierung hält den Radius eines Angriffs klein und schafft die Sicht auf Datenflüsse, die Register und Prüfungen erleichtert; redundante private Anbindungen stärken die Verfügbarkeitsseite. In der Praxis betreiben spezialisierte Managed-Service-Provider solche Bausteine mit der Dokumentationstiefe, die Finanzaufsichten erwarten, etwa als gemanagte Zero-Trust-Mikrosegmentierung.
Häufige Fragen
Für wen gilt DORA?
Für rund 20 Kategorien von Finanzunternehmen in der EU, von Banken und Versicherungen über Zahlungsinstitute bis zu Handelsplätzen, und mittelbar für deren IKT-Dienstleister. Kritische IKT-Drittanbieter können zusätzlich direkt der Überwachung durch die europäischen Aufsichtsbehörden unterliegen.
Seit wann ist DORA anwendbar?
Seit dem 17. Januar 2025. Als EU-Verordnung gilt DORA unmittelbar und ohne nationales Umsetzungsgesetz. In Deutschland überwachen BaFin und Deutsche Bundesbank die Einhaltung; die Übergangszeit zur Vorbereitung ist vorbei.
Was umfassen die fünf Säulen von DORA?
IKT-Risikomanagement, Management und Meldung von IKT-Vorfällen, Tests der digitalen operationalen Resilienz einschließlich bedrohungsgeleiteter Penetrationstests für bedeutende Institute, Steuerung des IKT-Drittparteirisikos mit Informationsregister sowie Vereinbarungen zum Austausch von Bedrohungsinformationen.
Betrifft DORA auch IT-Dienstleister außerhalb der Finanzbranche?
Ja, mittelbar fast immer: Finanzunternehmen müssen DORA-Pflichtklauseln in IKT-Verträge aufnehmen, Dienstleister im Informationsregister führen und deren Risiken steuern. Wer Finanzkunden bedient, muss Resilienz, Tests und Subdienstleister nachweisen können, unabhängig von der eigenen Branchenzugehörigkeit.
Welche Rolle spielt Mikrosegmentierung unter DORA?
DORA fordert ausdrücklich, die Auswirkungen von IKT-Vorfällen zu begrenzen. Mikrosegmentierung setzt genau das um: Ein kompromittiertes System bleibt isoliert, kritische Prozesse laufen weiter, und die gewonnene Sicht auf Kommunikationsbeziehungen liefert Nachweise für Prüfungen und das Vorfallmanagement.