Was ist die DORA-Verordnung?
DORA, der Digital Operational Resilience Act, ist die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor. Sie legt einheitliche Regeln fest, wie Banken, Versicherer, Zahlungsinstitute und andere Finanzunternehmen IKT-Risiken steuern, um Störungen und Cyberangriffen standzuhalten, darauf zu reagieren und sich davon zu erholen.
DORA gilt seit dem 17. Januar 2025 unmittelbar in allen EU-Mitgliedstaaten. Die Verantwortung für das IKT-Risiko trägt das Leitungsorgan. DORA ist keine Zertifizierung: Es gibt kein DORA-Zertifikat, die Einhaltung prüfen die zuständigen Aufsichtsbehörden.
Wer muss DORA erfüllen?
- Kreditinstitute und Banken
- Zahlungsinstitute und E-Geld-Institute
- Wertpapierfirmen und weitere Kapitalmarktteilnehmer
- Versicherungs- und Rückversicherungsunternehmen
- Nach MiCA zugelassene Anbieter von Kryptowerte-Dienstleistungen
- IKT-Drittdienstleister von Finanzunternehmen; kritische Anbieter werden direkt von den Europäischen Aufsichtsbehörden (EBA, EIOPA, ESMA) überwacht
Was die DORA Selbstbewertung prüft
Die Fragen folgen den fünf Säulen der Verordnung:
- IKT-Risikomanagementrahmen: Governance, Rolle des Leitungsorgans, Inventar, Schutz, Erkennung, Backup und Wiederherstellung
- Behandlung, Klassifizierung und Meldung IKT-bezogener Vorfälle an die Aufsicht
- Tests der digitalen operationalen Resilienz, einschließlich bedrohungsorientierter Penetrationstests (TLPT) für bedeutende Unternehmen
- Management des IKT-Drittparteienrisikos: Due Diligence, vertragliche Anforderungen, Exit-Strategien und Informationsregister
- Austausch von Informationen über Cyberbedrohungen und Schwachstellen
Typische Lücken bei der DORA Compliance
- Der IKT-Risikorahmen existiert auf dem Papier, wurde aber vom Leitungsorgan nicht genehmigt oder überprüft
- Es fehlen Kriterien, um schwerwiegende Vorfälle zu klassifizieren, daher sind die Meldefristen nicht einzuhalten
- Das Informationsregister zu IKT-Drittdienstleistungen ist unvollständig oder veraltet
- Verträge mit IKT-Anbietern enthalten nicht die von DORA geforderten Klauseln, etwa Prüfrechte und Exit-Pläne
- Backups und Wiederanlaufpläne werden nicht regelmäßig getestet, ein Testprogramm fehlt
DORA, ISO 27001 und nächste Schritte
Ein Informationssicherheits-Managementsystem nach ISO/IEC 27001 hilft sehr, deckt aber nicht alles ab, was DORA verlangt – etwa die Meldefristen für Vorfälle, das Informationsregister oder TLPT. Die Selbstbewertung zeigt, was bereits vorhanden ist und was fehlt.
IT-Dienstleister außerhalb der EU, zum Beispiel in der Ukraine, Georgien oder Kasachstan, die für EU-Banken und Fintechs arbeiten, erfüllen DORA über Kundenverträge, Audits und Sicherheitsfragebögen. Bereiten Sie mit dem Lückenbericht Nachweise vor und üben Sie optional das Auditgespräch im BALTUM KI-Auditsimulator.