Was ist DORA?

DORA einfach erklärt

Ohne IT steht eine Bank heute still: keine Überweisungen, kein Online-Banking, keine Kartenzahlungen. Fällt ein großer Anbieter aus, spüren das viele Menschen und Unternehmen. DORA soll solche Ausfälle verhindern oder zumindest schnell beherrschbar machen. Die Abkürzung steht für „Digital Operational Resilience Act“, auf Deutsch „Verordnung über die digitale operationale Resilienz im Finanzsektor“.

Resilienz bedeutet Widerstandsfähigkeit. Gemeint ist nicht nur, Angriffe abzuwehren, sondern nach einer Störung schnell wieder arbeitsfähig zu sein. Man kann es mit dem Brandschutz in einem Gebäude vergleichen: Rauchmelder, Fluchtwege, Feuerlöscher und regelmäßige Übungen gehören zusammen. DORA verlangt ein solches Gesamtpaket für die IT.

Offiziell heißt DORA Verordnung (EU) 2022/2554. Sie gilt unmittelbar in allen EU-Staaten. In Deutschland überwacht vor allem die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) die Einhaltung.

Das regelt DORA

DORA gilt für 20 Arten von Finanzunternehmen – von Kreditinstituten und Zahlungsdienstleistern über Wertpapierfirmen und Versicherer bis zu Anbietern von Kryptowerte-Dienstleistungen. Kleinere Unternehmen müssen nicht alles im selben Umfang umsetzen; es gilt der Grundsatz der Verhältnismäßigkeit. Die Verordnung ruht auf fünf Säulen:

1. IKT-Risikomanagement: IKT steht für Informations- und Kommunikationstechnik. Unternehmen brauchen einen dokumentierten Rahmen, um IT-Risiken zu erkennen, Systeme zu schützen, Vorfälle zu entdecken und sich davon zu erholen. Die letzte Verantwortung trägt ausdrücklich die Geschäftsleitung.
2. Vorfälle melden: Schwerwiegende IKT-Vorfälle müssen an die Aufsicht gemeldet werden. Die Erstmeldung ist in der Regel spätestens vier Stunden nach der Einstufung als schwerwiegend fällig und höchstens 24 Stunden, nachdem das Unternehmen von dem Vorfall erfahren hat. Zwischen- und Abschlussbericht folgen.
3. Resilienz testen: Unternehmen brauchen ein Testprogramm – vom Schwachstellenscan über Quellcodeprüfungen bis zum Penetrationstest. Systeme, die kritische oder wichtige Funktionen unterstützen, müssen mindestens jährlich angemessen getestet werden; Kleinstunternehmen sind davon ausgenommen.
4. Drittparteienrisiko steuern: Wer IT-Dienstleister einsetzt, bleibt selbst verantwortlich. Verträge brauchen festgelegte Mindestinhalte, alle Vereinbarungen kommen in ein Informationsregister, und für wichtige Dienste sind Ausstiegsstrategien nötig, also Pläne für einen geordneten Anbieterwechsel. Besonders bedeutende Anbieter, etwa große Cloud-Anbieter, unterliegen einer direkten Aufsicht auf EU-Ebene.
5. Informationen austauschen: Finanzunternehmen dürfen sich in vertrauenswürdigen Gemeinschaften über Bedrohungen austauschen.

Ausgewählte Finanzunternehmen müssen zusätzlich mindestens alle drei Jahre einen bedrohungsorientierten Penetrationstest durchführen, kurz TLPT (Threat-Led Penetration Testing). Welche Unternehmen das sind, bestimmt die Aufsicht. Dabei greift ein Red Team – Fachleute, die wie echte Angreifer vorgehen – die Produktivsysteme an, also die laufenden Systeme im echten Betrieb. Vorbild sind reale Angreifergruppen; methodisch orientiert sich der Test am europäischen Rahmenwerk TIBER-EU.

Ein Beispiel aus der Praxis

Ein typisches Szenario: Eine Regionalbank lässt ihr Online-Banking von einem externen Rechenzentrum betreiben und nutzt für E-Mails einen Cloud-Dienst. Im Zuge von DORA erfasst sie alle IT-Dienstleister in ihrem Informationsregister. Dabei fällt auf, dass ein älterer Vertrag weder Prüfrechte noch eine Ausstiegsregelung enthält. Er wird nachverhandelt.

Parallel ordnet die Bank ihr Testprogramm neu: Banking-App und öffentliche Schnittstellen werden jährlich per Penetrationstest geprüft, interne Systeme regelmäßig gescannt. Eine Notfallübung zeigt zudem, dass die Meldekette für schwerwiegende Vorfälle am Wochenende nicht greift. Auch das wird angepasst.

Warum ist das für Unternehmen wichtig?

Für Finanzunternehmen ist DORA verbindliches Recht. Die Aufsicht prüft die Umsetzung und kann bei Verstößen Maßnahmen und Sanktionen verhängen. Weil die Geschäftsleitung die letzte Verantwortung trägt, ist DORA ausdrücklich Chefsache.

DORA betrifft aber auch Unternehmen außerhalb der Finanzbranche. Wer als IT-Dienstleister, Softwarehaus oder Rechenzentrum für Banken oder Versicherer arbeitet, muss mit neuen Vertragsklauseln rechnen: Prüf- und Zugangsrechte, Unterstützung bei Vorfällen, Mitwirkung an Tests und Nachweise über die eigene Sicherheit.

Für den Finanzsektor gilt DORA zudem als Spezialregelung gegenüber NIS2: Wo DORA die IT-Sicherheit regelt, gehen ihre Anforderungen vor.

Was Unternehmen jetzt tun sollten

• Betroffenheit klären: Prüfen Sie, ob Sie direkt als Finanzunternehmen oder indirekt als Dienstleister von DORA betroffen sind.
• Lücken analysieren: Gleichen Sie Ihr IKT-Risikomanagement mit den Anforderungen ab und dokumentieren Sie Zuständigkeiten.
• Meldeprozess üben: Stellen Sie sicher, dass Vorfälle schnell eingestuft und fristgerecht gemeldet werden – auch nachts und am Wochenende.
• Dienstleister erfassen: Führen Sie das Informationsregister vollständig und prüfen Sie Verträge auf die Mindestinhalte.
• Testprogramm aufsetzen: Planen Sie Schwachstellenscans, Penetrationstests und Szenariotests nach Risiko und dokumentieren Sie Ergebnisse und Behebung.
• Auf TLPT vorbereiten: Kommt ein TLPT für Sie infrage, schaffen Sie mit Penetrationstests und Red-Teaming-Übungen eine solide Ausgangslage.

Hinweis: Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung.

Wie Rootsektor unterstützt

Für Finanzunternehmen und ihre Dienstleister führen wir Penetrationstests durch, die sich in Ihr DORA-Testprogramm einfügen – von Online-Banking und Banking-Apps bis zu Schnittstellen und interner Infrastruktur. Einzelheiten finden Sie auf unserer Seite Finanzdienstleister. Szenariobasierte Angriffe nach dem Vorbild von TIBER-EU bieten wir als Red Teaming & APT-Simulation an. Bericht und Prüfbescheinigung dokumentieren Umfang, Methodik und Ergebnisse – etwa zur Vorlage bei Auditoren und Geschäftspartnern.