DORA (Digital Operational Resilience Act)
DefinitionEU-Regeln zur digitalen Resilienz im Finanzsektor und IT-Drittrisiken.
DORA (Digital Operational Resilience Act) ist eine EU-Verordnung, die Finanzunternehmen verpflichtet, ihre IT und digitalen Prozesse so abzusichern, dass sie auch bei Cyberangriffen, Systemausfällen oder Problemen mit IT-Dienstleistern stabil weiterarbeiten können. Im Kern geht es um einheitliche Mindeststandards für IT-Risikomanagement, Incident-Meldungen, Tests der Widerstandsfähigkeit und das Management von IT-Drittrisiken.
Was bedeutet DORA konkret?
DORA ist Teil der EU-Strategie für einen resilienten Finanzmarkt. Die Verordnung richtet sich vor allem an Banken, Versicherungen, Zahlungsdienstleister, Wertpapierfirmen sowie wichtige IT-Dienstleister (z. B. Cloud-Provider), die diese Unternehmen unterstützen. Ziel ist, dass digitale Störungen nicht zu langen Ausfällen, Datenverlust oder Dominoeffekten im Finanzsystem führen.
Wie funktioniert DORA? (vereinfacht in 5 Bausteinen)
- ICT-Risikomanagement: Unternehmen müssen Risiken systematisch identifizieren, schützen, erkennen, reagieren und wiederherstellen (z. B. Backup-Strategie, Zugriffskontrollen, Notfallpläne).
- Incident Management & Meldepflichten: Schwere IT-Sicherheitsvorfälle müssen nach klaren Kriterien erfasst, klassifiziert und fristgerecht gemeldet werden.
- Resilienz-Tests: Regelmäßige Tests (z. B. Wiederanlauf-Tests, Penetrationstests) sollen zeigen, ob Systeme und Prozesse im Ernstfall halten.
- IT-Drittrisiko-Management: Strengere Anforderungen an Verträge, Überwachung und Exit-Pläne bei externen IT-Anbietern (z. B. Cloud, Outsourcing, Managed Services).
- Informationsaustausch: Unter bestimmten Rahmenbedingungen können Finanzunternehmen Bedrohungsinformationen teilen, um schneller zu reagieren.
Warum ist DORA wichtig – auch für kleine Unternehmen?
Viele kleine Unternehmen sind nicht direkt „DORA-pflichtig“. Trotzdem wirkt DORA oft indirekt: Wenn Sie als IT-Dienstleister, Softwareanbieter oder Outsourcing-Partner für Finanzkunden arbeiten, werden Anforderungen über Verträge und Lieferantenbewertungen an Sie weitergereicht. Typische Folgen sind strengere Sicherheitsfragebögen, Nachweise (z. B. ISMS-Policies), klarere SLAs sowie Anforderungen an Notfallbetrieb und Unterauftragnehmer.
Strategisch ist DORA ein Signal: Digitale Resilienz wird zur Management-Aufgabe. Wer heute eine IT-Strategie aufsetzt, sollte daher Themen wie Lieferantenabhängigkeiten, Ausfallszenarien, Wiederherstellungszeiten (RTO/RPO) und Security-by-Design fest einplanen – besonders, wenn Cloud und externe Tools genutzt werden.
Beispiele aus der Praxis
- Ein Zahlungsdienstleister nutzt einen Cloud-Provider: DORA fordert klare Vertragsklauseln zu Verfügbarkeit, Audit-Rechten, Datenstandorten und Exit (Provider-Wechsel).
- Eine Versicherung hat einen Cybervorfall: DORA verlangt definierte Prozesse, wann ein Vorfall „schwerwiegend“ ist, wie intern eskaliert wird und welche Meldungen an Behörden erfolgen.
- Ein IT-Systemhaus betreut eine Bank als Kunde: Die Bank verlangt u. a. dokumentierte Backup- und Restore-Tests, Incident-Prozesse und ggf. Nachweise zu Zugriffskontrollen.
In der Umsetzung überschneidet sich DORA häufig mit Themen wie IT-Compliance, Lieferantensteuerung und Sicherheitsorganisation. Für KI- und Automatisierungsprojekte (z. B. mit AI Governance oder bei sensiblen Daten auch Datenschutz (DSGVO/GDPR) & KI) bedeutet das: Resilienz, Logging, klare Verantwortlichkeiten und Drittanbieter-Risiken sollten von Anfang an mitgedacht werden.
- 17.01.2025
Anwendungsstart DORA
Seit dem 17. Januar 2025 gelten die DORA-Vorgaben verbindlich für Finanzunternehmen und erhöhen damit auch den Druck auf IT-Dienstleister und KMU in der Lieferkette.
- 5 Säulen
Kernbereiche DORA
DORA bündelt Anforderungen in fünf zentralen Bereichen wie IKT-Risikomanagement, Vorfallmeldung und Drittparteiensteuerung, was besonders für KMU klare Compliance-Strukturen erfordert.
- 24 Stunden
frühe Vorfallmeldung
Unternehmen müssen schwere IKT-Vorfälle sehr kurzfristig initial melden, weshalb belastbare Monitoring- und Eskalationsprozesse für B2B-Organisationen entscheidend sind.
IT-Dienstleister und Cloud-Anbieter systematisch nach DORA-Risiken bewerten
Ein kleines Finanzunternehmen oder Versicherungsvermittler erstellt für alle kritischen IT-Dienstleister eine einfache Bewertungsmatrix zu Ausfallrisiken, Sicherheitsvorfällen und vertraglichen Pflichten. So kann das Unternehmen vor Vertragsabschluss prüfen, ob ein Cloud- oder Software-Anbieter Meldewege, Notfallprozesse und ausreichende Sicherheitsnachweise für DORA-konforme Zusammenarbeit bietet.
Notfall- und Wiederanlaufpläne für digitale Kernprozesse testen
Ein KMU im Finanzsektor definiert für zentrale Prozesse wie Online-Beratung, Zahlungsabwicklung oder Policenverwaltung klare Wiederanlaufzeiten und testet regelmäßig den Ausfall von Systemen. Dadurch wird sichtbar, welche Anwendungen, Dienstleister und internen Teams im Ernstfall schnell reagieren müssen, um regulatorische Anforderungen und Kundenerwartungen zu erfüllen.
Meldeprozesse für Cybervorfälle zwischen Fachbereich, IT und Compliance festlegen
Ein kleiner Finanzdienstleister richtet einen verbindlichen Ablauf ein, wie Sicherheitsvorfälle intern erkannt, dokumentiert und an Compliance oder Aufsicht eskaliert werden. Das hilft besonders KMU, bei Phishing, Systemausfällen oder Dienstleisterproblemen schneller zu handeln und keine Zeit durch unklare Zuständigkeiten zu verlieren.
Häufig gestellte Fragen
Was ist DORA (Digital Operational Resilience Act)?
DORA ist eine EU-Verordnung, die einheitliche Regeln für digitale Resilienz im Finanzsektor festlegt. Sie verlangt u. a. IT-Risikomanagement, Meldung schwerer IT-Vorfälle, Resilienz-Tests und strikteres Management von IT-Dienstleistern.
Für wen gilt DORA?
DORA gilt primär für Finanzunternehmen wie Banken, Versicherungen, Zahlungsdienstleister und Wertpapierfirmen in der EU. Indirekt kann es auch IT- und Software-Dienstleister betreffen, wenn Finanzkunden DORA-Anforderungen vertraglich an Lieferanten weitergeben.
Wie funktioniert DORA in der Praxis?
Unternehmen müssen Prozesse und Kontrollen für Schutz, Erkennung, Reaktion und Wiederherstellung ihrer IT etablieren. Zusätzlich kommen feste Kriterien für Incident-Klassifizierung und Meldewege, regelmäßige Tests sowie strengere Anforderungen an Outsourcing- und Cloud-Verträge hinzu.
Was bedeutet DORA für IT-Drittrisiken und Cloud-Anbieter?
DORA fordert mehr Transparenz und Kontrolle über kritische IT-Dienstleister, z. B. durch Audit-Rechte, klare SLAs, Subdienstleister-Regeln und Exit-Pläne. Für Cloud-Nutzung heißt das oft: Verträge, Monitoring und Notfallkonzepte müssen deutlich professioneller aufgesetzt werden.
Welche ersten Schritte sind sinnvoll, wenn DORA indirekt relevant wird?
Sinnvoll sind ein Überblick über kritische IT-Abhängigkeiten, dokumentierte Backup/Restore- und Notfalltests sowie ein sauberer Incident-Response-Prozess. Außerdem sollten Lieferantenverträge (SLA, Sicherheit, Exit) überprüft werden, damit Kundenanforderungen schnell erfüllbar sind.
Ab wann gilt DORA und was müssen Unternehmen bis dahin umgesetzt haben?
DORA gilt seit dem 17. Januar 2025 verbindlich in der EU. Betroffene Finanzunternehmen müssen bis dahin belastbare Prozesse für IT-Risikomanagement, Incident-Handling, Resilienztests und das Management von IT-Drittrisiken etabliert haben – also nicht nur Richtlinien auf Papier, sondern nachweisbar funktionierende Abläufe.
Welche Strafen oder Folgen drohen bei fehlender DORA-Umsetzung?
Die konkreten Maßnahmen hängen von der zuständigen Aufsicht und dem Einzelfall ab, möglich sind aber aufsichtsrechtliche Auflagen, Prüfungsfeststellungen, Reputationsschäden und erhöhter Handlungsdruck bei Auslagerungen oder IT-Prüfungen. Für viele Unternehmen ist das größere Risiko nicht nur ein Bußgeld, sondern operative Unsicherheit, wenn Prozesse, Dienstleister oder Dokumentation den Anforderungen nicht standhalten.
Wir sind kein Finanzunternehmen – ist DORA für uns trotzdem relevant?
Ja, oft indirekt. Wenn du Software, IT-Services, Cloud-Leistungen oder digitale Prozesse für regulierte Kunden bereitstellst, wirst du zunehmend an Themen wie Dokumentation, Ausfallsicherheit, Zugriffsmanagement und Drittanbieter-Steuerung gemessen. Mit einem Tech-Gutachten oder einer laufenden Tech-Partnerschaft helfe ich dir, solche Anforderungen früh sauber aufzusetzen, statt erst unter Kundendruck zu reagieren.
Müssen wir für DORA sofort unsere komplette Systemlandschaft austauschen?
Nein, in den meisten Fällen nicht. Häufig geht es zuerst um Transparenz, klare Verantwortlichkeiten, saubere Prozesse, Risikoübersichten und die Frage, welche Tools kritisch sind oder unnötige Lücken erzeugen. Genau dafür ist mein Tech-Gutachten da: Wir analysieren dein Setup strukturiert und leiten konkrete Maßnahmen ab – behalten, verbessern, ersetzen oder absichern.
Wie können wir DORA-Anforderungen praktisch in unsere Abläufe übersetzen?
DORA wird erst dann greifbar, wenn aus regulatorischen Anforderungen konkrete Prozesse werden: Wer meldet Incidents, wie werden Zugriffe dokumentiert, welche Systeme sind kritisch und wie läuft ein Ausfallprozess ab? Mit meiner Tech-Umsetzung auf OrbitOS lassen sich zentrale Workflows, Dokumentation, Aufgaben, Freigaben und Dashboards in einem System abbilden, damit Compliance nicht in verstreuten Tools hängen bleibt.
Wir haben intern wenig technisches Know-how – können wir das trotzdem angehen?
Ja, genau dafür bin ich da. Du musst kein internes IT- oder Compliance-Team aufbauen, um strukturiert vorzugehen: Als externer CTO denke ich technische Entscheidungen mit, priorisiere die nächsten Schritte und übersetze komplexe Anforderungen in verständliche Maßnahmen für dein Unternehmen. So entsteht Orientierung statt Überforderung.
Kann KI bei DORA-relevanten Prozessen überhaupt sinnvoll eingesetzt werden?
Ja, aber gezielt und nicht als Selbstzweck. KI kann zum Beispiel bei Dokumentationsprozessen, Wissenszugriff, internen Assistenten oder der strukturierten Aufbereitung von Richtlinien helfen – vorausgesetzt, Datenschutz, Berechtigungen und Prozessgrenzen sind sauber definiert. In meiner KI-Beratung prüfen wir mit dem PUR-Framework, wo KI wirklich sinnvoll ist und bauen nur Lösungen, die dein Team sicher und praktisch nutzen kann.