Was ist DORA?
Der Digital Operational Resilience Act — Verordnung (EU) 2022/2554 — ist der einheitliche europäische Rahmen für die digitale operationale Resilienz im Finanzsektor. Er gilt seit dem 17. Januar 2025 unmittelbar in allen Mitgliedstaaten.
Die Grundidee: Finanzunternehmen müssen nicht nur Angriffe abwehren, sondern auch dann handlungsfähig bleiben, wenn IT-Systeme ausfallen — durch einen Cyberangriff, einen Dienstleisterausfall oder eine technische Störung.
Neu ist vor allem die Tiefe. DORA verlangt keine allgemeinen Absichtserklärungen, sondern nachweisbare Prozesse: ein gepflegtes Informationsregister, klassifizierte Vorfälle mit engen Meldefristen, ein jährliches Testprogramm und vertraglich abgesicherte IKT-Dienstleister.
Für die deutsche Aufsicht ist die BaFin zuständig. Kritisch eingestufte IKT-Drittdienstleister werden zusätzlich direkt von den europäischen Aufsichtsbehörden überwacht.
Die Struktur der Verordnung
DORA ist entlang von fünf Themenblöcken aufgebaut. Jede Säule bringt eigene Nachweispflichten mit — und in der Praxis unterschiedlich viel Aufwand. Erfahrungsgemäß unterschätzen Unternehmen vor allem Säule vier.
Ein dokumentierter Rahmen für die Steuerung von IKT-Risiken — mit klarer Verantwortung des Leitungsorgans, Schutz- und Erkennungsmaßnahmen, Business-Continuity- und Wiederherstellungsplänen sowie regelmäßiger Überprüfung.
Ein durchgängiger Prozess von der Erkennung über die Klassifizierung bis zur fristgerechten Meldung an die Aufsicht — inklusive Kundeninformation und Auswertung nach dem Vorfall.
Regelmäßige Tests der IKT-Systeme — von Schwachstellenscans und Penetrationstests bis zu bedrohungsgeleiteten Penetrationstests (TLPT) für bedeutende Institute.
Systematische Steuerung ausgelagerter IT-Leistungen: Vorabprüfung von Dienstleistern, vertragliche Mindestinhalte, Konzentrationsrisiken, Unterauftragsketten und belastbare Ausstiegsstrategien.
Freiwilliger, geschützter Austausch von Bedrohungsinformationen zwischen Finanzunternehmen — um Angriffsmuster früher zu erkennen und gemeinsam schneller zu reagieren.
Meldepflichten
Schwerwiegende IKT-Vorfälle sind der Aufsicht in einem dreistufigen Verfahren zu melden. Die kritische Stelle ist nicht die Meldung selbst, sondern die Klassifizierung davor: Wer nicht innerhalb von Minuten entscheiden kann, ob ein Vorfall als schwerwiegend gilt, verliert die Frist bereits im Ansatz.
Deshalb bauen wir den Meldeprozess immer zusammen mit einer klaren Klassifizierungslogik, festen Rollen und vorbereiteten Meldevorlagen auf — und üben ihn mindestens einmal durch, bevor der Ernstfall eintritt.
Incident Response als Basis für DORAnach Einstufung als schwerwiegend, spätestens 24 h nach Kenntnis
nach der Erstmeldung — mit aktualisiertem Lagebild
nach der Zwischenmeldung — inklusive Ursachenanalyse
Anwendungsbereich
DORA erfasst den Finanzsektor sehr breit — deutlich breiter, als viele erwarten. Auch kleinere Institute und Dienstleister sind betroffen, wenn auch teilweise mit Erleichterungen über das Proportionalitätsprinzip.
Dann trifft Sie DORA über Ihre Kunden. Finanzunternehmen müssen ihre IKT-Verträge an die Mindestinhalte aus Artikel 30 anpassen — Zugriffs- und Auditrechte, Informationspflichten bei Vorfällen, Service-Level, Regelungen zur Unterbeauftragung und dokumentierte Ausstiegsszenarien. Wer diese Anforderungen nicht erfüllen kann, verliert im Zweifel den Auftrag. Wir bereiten Sie auf diese Gespräche vor, statt sie über sich ergehen zu lassen.
Unsere Leistungen
Wir klären belastbar, ob und in welchem Umfang DORA für Sie gilt — inklusive Prüfung, ob das vereinfachte IKT-Risikomanagement nach dem Proportionalitätsprinzip greift.
Strukturierter Abgleich Ihres Ist-Zustands gegen alle fünf DORA-Säulen, mit Reifegradbewertung und priorisiertem Maßnahmenplan.
Wir erstellen oder überarbeiten Ihren IKT-Risikomanagementrahmen: Richtlinien, Rollen, Asset-Inventar, Schutzmaßnahmen und Notfallplanung.
Klassifizierungslogik, Meldewege, Eskalationsmatrix und Meldevorlagen — damit die 4-Stunden-Frist im Ernstfall auch wirklich hält.
Aufbau und Pflege des Informationsregisters, Prüfung Ihrer IKT-Verträge auf die Mindestinhalte nach Artikel 30 und Entwicklung von Exit-Strategien.
Planung und Durchführung des jährlichen Testprogramms: Schwachstellenscans, Penetrationstests und szenariobasierte Notfallübungen.
Unser Vorgehen
Klärung der Anwendbarkeit, Abgrenzung zu NIS2, Identifikation kritischer und wichtiger Funktionen sowie Prüfung von Erleichterungen.
Strukturierte Erhebung des Ist-Zustands über alle fünf Säulen, Bewertung des Reifegrads und Dokumentation der Abweichungen.
Bewertung nach Risiko, Aufsichtsrelevanz und Aufwand. Ergebnis ist ein realistischer Umsetzungsplan mit Zuständigkeiten und Terminen.
Begleitung bei Richtlinien, technischen Maßnahmen, Registeraufbau, Vertragsanpassung und Schulung der beteiligten Rollen.
Aufbau der Nachweisdokumentation für die Aufsicht sowie regelmäßige Reviews, damit die Resilienz auch nach dem Projekt gepflegt wird.
Lokale Einordnung
Hamburg ist ein bedeutender Finanz- und Versicherungsstandort — von Privatbanken über Versicherer und Vermögensverwalter bis zu Zahlungsdienstleistern und FinTechs. Viele dieser Häuser sind mittelständisch organisiert und haben keine eigene Compliance-Abteilung mit freien Kapazitäten für ein zusätzliches Regulierungsprojekt.
Genau da setzen wir an: als lokaler Partner aus Norderstedt, der auch vor Ort ist, wenn es um Workshops, Interviews mit Fachbereichen oder die Vorbereitung eines Aufsichtsgesprächs geht. Kein anonymes Beratungshaus, sondern ein fester Ansprechpartner.
Passt dazu
FAQ
DORA steht für Digital Operational Resilience Act (Verordnung (EU) 2022/2554). Die EU-Verordnung regelt die digitale operationale Resilienz im Finanzsektor und gilt europaweit unmittelbar seit dem 17. Januar 2025. Anders als eine Richtlinie muss DORA nicht erst in nationales Recht übertragen werden — sie gilt direkt.
DORA erfasst rund 20 Kategorien von Finanzunternehmen: Kreditinstitute, Versicherungen und Rückversicherungen, Wertpapierfirmen, Zahlungs- und E-Geld-Institute, Kryptowerte-Dienstleister, Kapitalverwaltungsgesellschaften, Einrichtungen der betrieblichen Altersversorgung, Handelsplätze, Zentralverwahrer, Ratingagenturen und Schwarmfinanzierungsdienstleister. Zusätzlich können IKT-Drittdienstleister von den europäischen Aufsichtsbehörden als kritisch eingestuft und direkt beaufsichtigt werden.
Indirekt fast immer, direkt nur teilweise. Wer Finanzunternehmen mit IKT-Leistungen beliefert, muss die vertraglichen Mindestanforderungen aus Artikel 30 DORA erfüllen — etwa Zugriffs- und Auditrechte, Ausstiegsstrategien, Service-Level und Unterauftragsregelungen. Als kritisch eingestufte IKT-Drittdienstleister unterliegen darüber hinaus einer direkten europäischen Aufsicht.
DORA ist für Finanzunternehmen die speziellere Regelung und geht NIS2 in diesem Bereich vor (lex specialis). Wer als Finanzunternehmen unter DORA fällt, erfüllt die entsprechenden Cybersicherheitspflichten über DORA. Für alle anderen Sektoren bleibt NIS2 maßgeblich. Inhaltlich überschneiden sich beide stark — bestehende NIS2- oder ISO 27001-Arbeit lässt sich meist gut auf DORA anrechnen.
Nach der Einstufung eines Vorfalls als schwerwiegend ist eine Erstmeldung innerhalb von 4 Stunden erforderlich, spätestens jedoch 24 Stunden nach Kenntnisnahme. Es folgt eine Zwischenmeldung innerhalb von 72 Stunden und ein Abschlussbericht spätestens einen Monat nach der Zwischenmeldung. Ohne eingeübten Prozess sind diese Fristen kaum einzuhalten.
Jedes betroffene Finanzunternehmen muss ein Register aller vertraglichen Vereinbarungen über IKT-Dienstleistungen führen und der zuständigen Aufsicht — in Deutschland der BaFin — regelmäßig übermitteln. Erfasst werden unter anderem Dienstleister, unterstützte kritische Funktionen, Unterauftragsketten und Ausstiegsstrategien. Das Register ist in einem strikt vorgegebenen Format zu liefern.
Mit einer Betroffenheitsklärung und einer Gap-Analyse. Erst wird geklärt, ob und in welchem Umfang DORA für Sie gilt und ob Erleichterungen im Rahmen des Proportionalitätsprinzips greifen. Danach zeigt die Gap-Analyse, welche der fünf DORA-Säulen bereits abgedeckt sind und wo konkret nachgesteuert werden muss.