DORA-Verordnung

Q: Was regelt Artikel 2 der DORA-Verordnung?

Artikel 2 legt den Geltungsbereich der DORA-Verordnung fest und bestimmt, welche Finanzunternehmen und IKT-Drittdienstleister unter die Regulierung fallen. Erfasst werden unter anderem Banken, Versicherungen, Wertpapierfirmen und weitere Unternehmen aus dem Finanzwesen.

Q: Was ist der Unterschied zwischen DORA und NIS2?

DORA ist eine unmittelbar geltende EU-Verordnung speziell für die digitale Resilienz im Finanzsektor, während NIS2 als Richtlinie von den Mitgliedstaaten in nationales Recht umgesetzt wurde und deutlich mehr Branchen erfasst. Bei Überschneidungen gelten die spezielleren DORA-Regeln.

Die DORA-Verordnung macht digitale Widerstandsfähigkeit im Finanzsektor zur verbindlichen Aufgabe. Der Artikel zeigt, welche Unternehmen betroffen sind, welche Anforderungen gelten und wie sich die Vorgaben praxisnah umsetzen lassen.

DORA – Auf einen Blick

Was ist die DORA-Verordnung?

Mit DORA schafft die EU verbindliche Regeln für die digitale operationale Resilienz im Finanzsektor und den Umgang mit IKT-Risiken, IT-Störungen und Cyberangriffen.

Wer muss DORA umsetzen?

Betroffen sind nahezu alle beaufsichtigten Finanzunternehmen in der EU sowie bestimmte IKT-Dienstleister und kritische IKT-Drittdienstleister.

Welche fünf tragenden Säulen umfasst die DORA-Verordnung?

Im Kern stützt sich DORA auf IKT-Risikomanagement, Vorfallmanagement, Resilienztests, das Management von IKT-Drittparteienrisiken und den Austausch über Cyberbedrohungen.

Warum ist DORA für den Finanzsektor wichtig?

DORA soll verhindern, dass IT-Störungen oder Cyberangriffe geschäftskritische Prozesse der Finanzbranche und damit die Stabilität des Finanzsystems gefährden.

Was ist der Digital Operational Resilience Act (DORA)?

Der Digital Operational Resilience Act (DORA) ist eine EU-Verordnung für mehr digitale Widerstandsfähigkeit im Finanzsektor. Finanzunternehmen sollen auch dann handlungsfähig bleiben, wenn IT-Systeme ausfallen, Cyberangriffe den Betrieb stören oder andere Risiken der Informations- und Kommunikationstechnologie (IKT) eintreten.

Beschlossen wurde die Verordnung (EU) 2022/2554 am 14. Dezember 2022 und anschließend im Amtsblatt der Europäischen Union veröffentlicht. Sie trat am 17. Januar 2023 in Kraft und wird seit dem 17. Januar 2025 verbindlich angewendet. Eine nationale Umsetzungsfrist gab es bei DORA nicht.

DORA setzt damit einen gemeinsamen Rahmen für die digitale operationale Resilienz in der Europäischen Union. Der Blick geht über reine Cybersicherheit hinaus und umfasst auch die Stabilität wichtiger Prozesse, Systeme und digitaler Dienstleistungen im laufenden Betrieb.

Welche Unternehmen sind von DORA betroffen?

DORA gilt für einen großen Teil des europäischen Finanzsektors. Artikel 2 der EU-Verordnung legt fest, welche Finanzunternehmen in den Anwendungsbereich fallen und wo Ausnahmen oder Erleichterungen vorgesehen sind.

Betroffen sind unter anderem:

Banken und Kreditinstitute
Zahlungsdienstleister und E-Geld-Institute
Wertpapierfirmen
Versicherungs- und Rückversicherungsunternehmen
Fonds- und Vermögensverwalter
Finanzmarktinfrastrukturen
bestimmte Anbieter von Krypto-Dienstleistungen

Auch externe IKT-Dienstleister spielen eine wichtige Rolle, wenn sie Leistungen für regulierte Finanzunternehmen bereitstellen. Dazu gehören etwa Cloud-Anbieter, Rechenzentren oder Softwareunternehmen.

DORA mit bestehenden Strukturen verbinden

CSM Consulting zeigt Ihnen, welche Prozesse Sie weiterverwenden können und wo gezielte Ergänzungen nötig sind, um Ihre DORA-Anforderungen effizient umzusetzen.

Die fünf Säulen für die operationale Resilienz im Finanzsektor

DORA bündelt die zentralen Anforderungen an die operationale Resilienz im Finanzsektor in fünf Themenfeldern. Ziel ist, dass Finanzunternehmen auch bei schweren IT-Störungen oder Cyberangriffen handlungsfähig bleiben und kritische Leistungen möglichst schnell wiederherstellen können.

IKT-Risikomanagement und Informationssicherheit

Das IKT-Risikomanagement bildet die Grundlage der DORA-Verordnung und ist in Kapitel II geregelt. Finanzunternehmen müssen IKT-Risiken und Cyberrisiken systematisch erfassen, bewerten und geeignete Maßnahmen für die Sicherheit ihrer Systeme und Prozesse ableiten. Dafür braucht es zunächst einen vollständigen Blick auf Systeme, Anwendungen, Daten und kritische Prozesse.

Typische Aufgaben sind:

kritische IKT-Systeme und Assets identifizieren
Risiken und mögliche Auswirkungen bewerten
Zugriffe, Netzwerke und Daten angemessen schützen
Schwachstellen und Veränderungen laufend überwachen
Wiederherstellung und Betriebsfähigkeit vorbereiten
Maßnahmen und Entscheidungen nachvollziehbar dokumentieren

Die Verantwortung dafür liegt auf Leitungsebene. Die Geschäftsleitung muss den Rahmen für das IKT-Risikomanagement festlegen, überwachen und dafür sorgen, dass ausreichend Ressourcen vorhanden sind.

Umgang mit IKT-bezogenen Vorfällen

Kapitel III regelt, wie Finanzunternehmen IKT-bezogene Vorfälle erkennen, klassifizieren und melden müssen. Ein festes Incident Management schafft dafür klare Abläufe von der Erkennung bis zur Eskalation und Dokumentation. Für schwerwiegende Ereignisse gelten dabei gestufte Meldepflichten gegenüber der zuständigen Aufsicht. In Deutschland ist die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) die zentrale Meldestelle.

Der Ablauf bei einem Vorfall:

Erstmeldung: so früh wie möglich, spätestens vier Stunden nach der Einstufung als schwerwiegender IKT-Vorfall und höchstens 24 Stunden nach Kenntnis des Vorfalls
Zwischenbericht: spätestens 72 Stunden nach der Erstmeldung, mit aktualisierten Informationen zu Auswirkungen, Ursache und Maßnahmen
Abschlussbericht: grundsätzlich innerhalb eines Monats, sobald der Vorfall aufgearbeitet ist und belastbare Ergebnisse vorliegen

Entscheidend sind beispielsweise Dauer und Ausmaß des Vorfalls, betroffene Kunden oder Transaktionen, wirtschaftliche Auswirkungen und die Frage, ob kritische Dienste ausgefallen sind.

DORA verlangt außerdem, IKT-bezogene Vorfälle intern vollständig zu dokumentieren. Ursache, Auswirkungen und ergriffene Maßnahmen fließen anschließend zurück in das Risikomanagement. So soll derselbe Fehler nicht einfach beim nächsten IT-Ausfall wieder auftauchen.

Tests der digitalen operationalen Resilienz

Schutzmaßnahmen müssen unter DORA auch praktisch funktionieren. Finanzunternehmen brauchen deshalb ein risikobasiertes Testprogramm, mit dem sie die digitale operationale Resilienz ihrer Systeme regelmäßig überprüfen.

Je nach Risikolage und Bedeutung der Systeme kommen unterschiedliche Verfahren infrage. Dazu gehören Schwachstellenanalysen, Netzwerk- und Sicherheitstests, Szenariotests sowie Penetrationstests. Ein strukturiertes Schwachstellenmanagement hilft dabei, gefundene Sicherheitslücken systematisch zu erfassen, zu priorisieren und zu schließen.

Für ausgewählte Finanzunternehmen gelten strengere Vorgaben. Sie müssen mindestens alle drei Jahre ein Threat-Led Penetration Testing (TLPT) durchführen. Dabei werden realistische Angriffsszenarien genutzt, um auch Schwachstellen sichtbar zu machen, die bei klassischen Tests unentdeckt bleiben.

IKT-Drittparteienrisiko und externe IKT-Dienstleister

Viele Finanzunternehmen sind bei wichtigen Prozessen auf Cloud-Anbieter, Rechenzentren, Softwareunternehmen oder andere externe Partner angewiesen. DORA verlangt deshalb, Risiken aus diesen Abhängigkeiten genauso systematisch zu steuern wie Risiken innerhalb der eigenen Organisation.

Kapitel V stellt dafür konkrete Anforderungen an das Drittparteienmanagement. Vor einer Beauftragung müssen Risiken bewertet werden. Eine bestehende Lieferantenbewertung lässt sich dafür um IKT- und Sicherheitsrisiken erweitern.

Besonders wichtig sind:

klare Sicherheitsanforderungen in Verträgen
festgelegte Zugangs-, Informations- und Prüfungsrechte
Regelungen für Vorfälle und Betriebsunterbrechungen
laufendes Monitoring der Dienstleister
dokumentierte Ausstiegs- und Wechselmöglichkeiten

Zusätzlich müssen Finanzunternehmen ihre Verträge mit IKT-Drittdienstleistern in einem Informationsregister erfassen.

Informationsaustausch über Cyberbedrohungen

DORA erlaubt Finanzunternehmen, Erkenntnisse über Cyberbedrohungen freiwillig miteinander auszutauschen. Gemeint sind vor allem technische Informationen zu Angriffsmethoden, Schwachstellen oder verdächtigen Mustern, mit denen sich neue Bedrohungen schneller erkennen und Schutzmaßnahmen gezielter anpassen lassen.

Der Austausch erfolgt innerhalb vertrauenswürdiger Gemeinschaften und auf Basis klarer Vereinbarungen. Dabei müssen Vertraulichkeit, Datenschutz, Wettbewerbsrecht und der Schutz sensibler Geschäftsinformationen berücksichtigt werden, damit der Informationsfluss kontrolliert und rechtssicher bleibt.

Der praktische Nutzen liegt vor allem im Zeitgewinn. Erkennt ein Institut eine neue Angriffsmethode frühzeitig, können andere Teilnehmer ihre Informationssicherheit anpassen, bevor dieselbe Attacke sie erreicht.

DORA Level 2: Technische Standards und Konkretisierungen

Die europäische Finanzmarktregulierung folgt einem mehrstufigen Aufbau nach dem Lamfalussy-Verfahren. Die vier Ebenen bauen aufeinander auf und reichen vom eigentlichen Gesetz bis zur Aufsicht über seine Anwendung.

Level 1: Die DORA-Verordnung bildet den rechtlichen Rahmen und legt die grundlegenden Pflichten fest.
Level 2: RTS und ITS konkretisieren einzelne Anforderungen technisch und organisatorisch.
Level 3: Leitlinien von EBA, ESMA und EIOPA unterstützen bei Auslegung und einheitlicher Anwendung.
Level 4: Die Europäische Kommission überwacht gemeinsam mit den zuständigen Stellen die korrekte Anwendung und Durchsetzung des EU-Rechts.

Die technischen Regulierungsstandards (RTS) und Durchführungsstandards (ITS) aus Level 2 legen deutlich genauer fest, wie einzelne DORA-Anforderungen umgesetzt und dokumentiert werden müssen. Das betrifft beispielsweise die Kriterien zur Einstufung schwerwiegender Cybervorfälle, Vorgaben zum IKT-Risikomanagement sowie Aufbau und Datenfelder des Informationsregisters für IKT-Drittdienstleister.

Auch Meldeformate und weitere Dokumentationspflichten werden auf dieser Ebene vereinheitlicht. Finanzunternehmen müssen deshalb neben der eigentlichen DORA-Verordnung auch die ergänzenden Level-2-Rechtsakte berücksichtigen. Bei der Erfassung von Systemen, Verträgen und digitalen Abhängigkeiten kann ein bestehendes ISO-27001-Asset-Management eine gute Grundlage liefern.

BaFin und die Überwachung kritischer IKT-Drittdienstleister

In Deutschland übernimmt die BaFin die Federführung bei der DORA-Aufsicht. Sie fungiert als Meldestelle für schwerwiegende IKT-Vorfälle, nimmt Anzeigen zum Drittparteienrisikomanagement entgegen und nutzt diese Informationen für die laufende Aufsicht über Finanzunternehmen.

Für kritische IKT-Drittdienstleister greift zusätzlich ein europäischer Überwachungsrahmen. Entscheidend ist, wie stark der Finanzsektor von einem Anbieter abhängt, wie viele Institute seine Leistungen nutzen und ob sich diese kurzfristig ersetzen lassen.

Die direkte Überwachung solcher kritischer Anbieter erfolgt auf europäischer Ebene durch eine der zuständigen Aufsichtsbehörden (EBA, EIOPA oder ESMA). BaFin und Deutsche Bundesbank bleiben dabei eng eingebunden und begleiten die Umsetzung in Deutschland.

DORA und ISO 27001

Ein bestehendes ISMS nach ISO 27001 ist eine gute Ausgangsbasis für DORA. Viele Prozesse, die die Verordnung verlangt, gehören bereits zum normalen Werkzeugkasten der Informationssicherheit.

Das betrifft zum Beispiel die Risikobewertung, Rollen und Verantwortlichkeiten sowie die Steuerung von Dienstleistern. Auch interne Audits und Managementbewertungen helfen dabei, Sicherheitsmaßnahmen dauerhaft im Unternehmen zu verankern. DORA setzt an einigen Stellen jedoch deutlich konkretere Vorgaben.

Dazu gehören vor allem:

feste Meldeverfahren für schwerwiegende IT-Sicherheitsvorfälle
das Informationsregister für IKT-Drittdienstleister
detaillierte Anforderungen an Verträge und Drittparteienrisiken
regelmäßige Resilienztests einschließlich TLPT für ausgewählte Finanzunternehmen

Eine ISO-27001-Zertifizierung ersetzt DORA daher nicht. Unternehmen mit vorhandenem ISMS können jedoch auf bestehenden Prozessen aufbauen und fehlende Compliance-Anforderungen gezielt ergänzen.

DORA umsetzen – erste Schritte

Die Umsetzung der DORA-Verordnung beginnt am besten mit einer Bestandsaufnahme. Vorhandene Prozesse sollten zuerst geprüft werden, bevor neue und mitunter kostenintensive Technologien oder Systeme beschafft werden.

Ein praktikabler Ablauf besteht aus fünf Schritten:

Anwendungsbereich festlegen: Kritische Prozesse, IT-Systeme, Standorte und externe Abhängigkeiten erfassen. Gleichzeitig werden Verantwortlichkeiten und Ressourcen auf Leitungsebene festgelegt.
Lücken sichtbar machen: Eine GAP-Analyse zeigt, welche Anforderungen bereits erfüllt sind und wo Handlungsbedarf besteht.
IKT-Risiken bewerten: Systeme und Assets erfassen, Risiken priorisieren und passende Schutzmaßnahmen ableiten. Ein bestehendes Asset-Management und eine Risikoanalyse können dafür direkt genutzt werden.
Dienstleister und Verträge prüfen: Das Drittparteienmanagement verlangt klare Sicherheitsanforderungen, Monitoring und belastbare Vertragsregelungen. Eine bestehende Lieferantenbewertung lässt sich dafür um DORA-relevante Kriterien ergänzen.
Prozesse testen und dokumentieren: Meldewege, Resilienztests und Wiederanlauf müssen im Alltag funktionieren. Ein internes Audit hilft dabei, Schwachstellen früh zu erkennen und die Umsetzung regelmäßig zu überprüfen.

Häufige Fragen und Antworten

Was regelt Artikel 2 der DORA-Verordnung?

Artikel 2 legt den Geltungsbereich der DORA-Verordnung fest und bestimmt, welche Finanzunternehmen und IKT-Drittdienstleister unter die Regulierung fallen. Erfasst werden unter anderem Banken, Versicherungen, Wertpapierfirmen und weitere Unternehmen aus dem Finanzwesen.

Was ist der Unterschied zwischen DORA und NIS2?

DORA ist eine unmittelbar geltende EU-Verordnung speziell für die digitale Resilienz im Finanzsektor, während NIS2 als Richtlinie von den Mitgliedstaaten in nationales Recht umgesetzt wurde und deutlich mehr Branchen erfasst. Bei Überschneidungen gelten die spezielleren DORA-Regeln.

Wann gilt ein IT-Unternehmen als kritischer IKT-Drittdienstleister?

Die europäischen Aufsichtsbehörden können einen IKT-Drittdienstleister als kritisch einstufen, wenn viele Finanzunternehmen von seinen Leistungen abhängen und ein Ausfall erhebliche Folgen für den Finanzmarkt hätte. Entscheidend sind unter anderem die systemische Bedeutung, die Konzentration bei einem Anbieter und seine Ersetzbarkeit.