DORA
Verordnung über die digitale operationale Resilienz im Finanzsektor
Digital Operational Resilience Act
DORA ist die Europäische Union (EU)-Verordnung (EU) 2022/2554 für die digitale operationale Resilienz des Finanzsektors. Als Verordnung gilt sie unmittelbar in allen Mitgliedstaaten — anders als EU-Richtlinie über Netz- und Informationssicherheit 2 (NIS2) ist keine nationale Umsetzung nötig. Sie verpflichtet Finanzunternehmen und ihre Informations- und Kommunikationstechnik (IKT)-Dienstleister zu IKT-Risikomanagement, Vorfallsmeldung, Resilienztests und strenger Steuerung von Drittparteienrisiken.
Historie. Vor DORA steuerten Finanzinstitute operationelle Risiken vor allem über Eigenkapitalpuffer, während Informations- und Kommunikationstechnik (IKT)-Risiken fragmentiert und national unterschiedlich reguliert waren. DORA wurde am 14. Dezember 2022 verabschiedet, trat Anfang 2023 in Kraft und gilt verbindlich seit dem 17. Januar 2025 nach einer zweijährigen Übergangsphase. Finanzunternehmen sind dabei weitgehend aus EU-Richtlinie über Netz- und Informationssicherheit 2 (NIS2) ausgenommen und stattdessen durch DORA reguliert.
Fakten. DORA ruht auf mehreren Säulen: Informations- und Kommunikationstechnik (IKT)-Risikomanagement mit Verantwortung auf Leitungsebene, Klassifizierung und Meldung schwerwiegender IKT-Vorfälle, Resilienztests sowie das Management von IKT-Drittparteienrisiken samt Aufsicht über kritische Anbieter. Das anspruchsvollste Instrument ist das Threat-Led Penetration Testing (TLPT) nach Art. 26-27: bedeutende Institute müssen mindestens alle drei Jahre intelligence-geführte Angriffstests gegen ihre Live-Systeme durchführen, methodisch am Rahmenwerk TIBER-Europäische Union (EU) ausgerichtet.
Ausblick & Empfehlung. DORA zieht Informations- und Kommunikationstechnik (IKT)-Dienstleister mit Finanzkunden direkt in die Pflicht — auch außerhalb der klassischen Bankenwelt. Wer TLPT-pflichtig ist, sollte Bedrohungsaufklärung und Red-Team-Kapazität früh planen, da geeignete Tester und Vorlaufzeiten knapp sind. Für die laufende Detektions- und Reaktionsfähigkeit, die ein TLPT überhaupt erst sinnvoll prüfbar macht, ist ein betriebenes Erkennungs- und Reaktionsmodell die Voraussetzung — nicht das Testresultat selbst.