DORA-Compliance für den Finanzsektor

DORA (Digital Operational Resilience Act, Verordnung (EU) 2022/2554) ist der EU-Rechtsrahmen für die digitale operationale Resilienz im Finanzsektor. Die Verordnung gilt seit dem 17. Januar 2025 unmittelbar in allen Mitgliedstaaten — ohne nationales Umsetzungsgesetz; in Deutschland flankiert das Finanzmarktdigitalisierungsgesetz die Aufsichtszuständigkeiten.

DORA erfasst über 20 Kategorien von Finanzunternehmen — unter anderem Banken, Versicherer, Wertpapierinstitute, Zahlungs- und E-Geld-Institute, Kapitalverwaltungsgesellschaften und Krypto-Dienstleister. Zusätzlich unterliegen als kritisch eingestufte IKT-Drittdienstleister (etwa Cloud-Provider) einem eigenen EU-Überwachungsrahmen.

DORA ruht auf fünf Säulen: IKT-Risikomanagement, Behandlung und Meldung IKT-bezogener Vorfälle, Testen der digitalen operationalen Resilienz (bis hin zu TLPT), Management des IKT-Drittparteienrisikos inklusive Informationsregister und Vertragspflichten nach Art. 30 sowie freiwilliger Informationsaustausch zu Cyberbedrohungen.

Nach der Klassifizierung als schwerwiegend muss die Erstmeldung spätestens vier Stunden nach der Einstufung und in jedem Fall innerhalb von 24 Stunden nach Kenntnis erfolgen. Der Zwischenbericht folgt binnen 72 Stunden, der Abschlussbericht spätestens einen Monat nach dem Zwischenbericht. In Deutschland laufen die Meldungen über die BaFin-Plattform MVP.

TLPT (Threat-Led Penetration Testing) nach Art. 26/27 DORA ist ein bedrohungsgeleiteter Penetrationstest auf Produktivsystemen, methodisch an TIBER-EU angelehnt. Verpflichtet sind die von der Aufsicht dafür bestimmten Finanzunternehmen — mindestens alle drei Jahre, mit Threat-Intelligence-Phase und externem Red Team.

Das Informationsregister dokumentiert alle vertraglichen Vereinbarungen über IKT-Dienstleistungen mit Drittanbietern — auf Basis der ESA-Vorlagen. Es wird jährlich bei der Aufsicht eingereicht; die BaFin hat für 2026 das Einreichungsfenster vom 9. bis 30. März über die MVP-Plattform vorgegeben, wahlweise als xBRL-Datei nach ESA-Taxonomie oder als Excel-Vorlage.

DORA ist für den Finanzsektor lex specialis: Wo DORA greift, gehen seine Anforderungen den NIS2-Pflichten vor — Finanzunternehmen richten ihr Programm daher primär an DORA aus. Konzerne mit Gesellschaften außerhalb des Finanzsektors müssen beide Regime sauber abgrenzen und Synergien etwa im Risikomanagement gezielt nutzen.

Wir liefern die DORA-Bausteine aus einer Hand: Gap-Analyse und IKT-Risikomanagement-Framework, Aufbau und Pflege des Informationsregisters, Vertragsanalysen nach Art. 30, Meldeprozesse für IKT-Vorfälle sowie Resilienztests bis zum TLPT — mit VamiRedTeam, methodisch TIBER-EU-ready.