5 Der Digital Operational Resilience Act (DORA) ist eine Verordnung der Europäischen Union, die stärken soll, wie der Finanzsektor digitale und IKT-bezogene Risiken beherrscht. Ihr Ziel ist klar: Finanzinstitute und ihre kritischen Technologieanbieter sollen auch bei schweren Störungen weiterarbeiten können – ob diese durch Cyberangriffe, Systemausfälle oder Ausfälle von Drittanbietern verursacht werden. Da Finanzdienstleistungen immer stärker softwaregetrieben und vernetzt sind, ist operative Resilienz zu einem systemischen statt rein technischen Thema geworden. DORA reagiert auf diesen Wandel mit einem einheitlichen, harmonisierten Rahmen für die digitale operationale Resilienz im gesamten EU-Finanzökosystem. Die Verordnung gilt seit dem 17. Januar 2025 und schafft neue Erwartungen an Governance, Risikomanagement, Tests und Aufsicht. Warum DORA eingeführt wurde In den vergangenen zehn Jahren hat der Finanzsektor eine rasante digitale Transformation durchlaufen. Kernbankensysteme, Handelsplattformen, Versicherungsabläufe und Zahlungsinfrastrukturen hängen heute von komplexen IKT-Umgebungen und externen Dienstleistern ab, darunter Cloud-Plattformen und Anbieter von Dateninfrastruktur. Die EU-Finanzregulierung deckte zwar bereits Aufsichtsrisiken und Marktstabilität ab, doch digitale operationale Risiken unterlagen einem Flickenteppich nationaler Regeln und aufsichtlicher Erwartungen. Diese Fragmentierung führte zu ungleichen Resilienzniveaus und erschwerte die grenzüberschreitende Aufsicht. DORA wurde eingeführt, um drei strukturelle Herausforderungen anzugehen: Steigende IKT- und Cyberrisiken, die kritische Finanzdienstleistungen betreffen Uneinheitliche regulatorische Ansätze in den EU-Mitgliedstaaten Wachsende Abhängigkeit von externen Technologieanbietern, oft konzentriert auf wenige Anbieter Mit gemeinsamen Anforderungen will DORA systemische Risiken verringern, die Transparenz für die Aufsicht verbessern und sicherstellen, dass digitale Ausfälle die Finanzstabilität nicht gefährden. Was DORA abdeckt DORA ist eine unmittelbar geltende EU-Verordnung und muss daher nicht in nationales Recht umgesetzt werden. Das gewährleistet eine einheitliche Anwendung in allen Mitgliedstaaten. Betroffene Unternehmen Die Verordnung gilt für ein breites Spektrum von Finanzunternehmen, darunter: Kreditinstitute und Banken Versicherungs- und Rückversicherungsunternehmen Wertpapierfirmen und Vermögensverwalter Zahlungsinstitute und E-Geld-Institute Marktinfrastrukturen wie Handelsplätze und Zentralverwahrer Bestimmte Anbieter von Krypto-Dienstleistungen, die unter EU-Finanzvorschriften tätig sind Darüber hinaus führt DORA einen Überwachungsrahmen für kritische IKT-Drittdienstleister ein. Dabei handelt es sich um Technologieanbieter, deren Dienste für das Funktionieren von Finanzunternehmen unverzichtbar sind, etwa Cloud-Infrastruktur, Daten-Hosting und zentrale Verarbeitungsplattformen. Auch Anbieter außerhalb der EU können in den Anwendungsbereich fallen, wenn sie kritische IKT-Dienste für regulierte Finanzinstitute in der EU erbringen. Die fünf Säulen von DORA DORA gliedert seine Anforderungen in fünf miteinander verbundene Säulen, die zusammen die digitale operationale Resilienz definieren. 1. IKT-Risikomanagement Finanzunternehmen müssen einen umfassenden Rahmen für das IKT-Risikomanagement einrichten, der auf ihre Geschäftsstrategie und Risikobereitschaft abgestimmt ist. Dazu gehört, kritische Systeme zu identifizieren, Abhängigkeiten abzubilden und Kontrollen festzulegen, um IKT-Störungen zu verhindern, zu erkennen und darauf zu reagieren. Das Risikomanagement beschränkt sich nicht auf Cybersicherheit. Es umfasst auch Systemverfügbarkeit, Datenintegrität, Kapazitätsmanagement und Wiederherstellungsfähigkeiten. Governance ist eine zentrale Anforderung, mit klarer Verantwortung auf Ebene der Geschäftsleitung und des Leitungsorgans. 2. Meldung von IKT-Vorfällen DORA führt einheitliche Anforderungen an die Erkennung, Klassifizierung und Meldung IKT-bezogener Vorfälle ein. Schwerwiegende Vorfälle müssen innerhalb festgelegter Fristen den zuständigen Behörden gemeldet werden, gefolgt von Zwischen- und Abschlussberichten im Verlauf der Untersuchung. Dieser strukturierte Ansatz ermöglicht es der Aufsicht, die Auswirkungen von Vorfällen nicht nur auf Unternehmensebene, sondern auch für das gesamte Finanzsystem zu bewerten. Zudem regt er Unternehmen an, ihre internen Erkennungs- und Eskalationsprozesse zu verbessern. 3. Tests der digitalen operationalen Resilienz Um Resilienzmaßnahmen zu validieren, verlangt DORA regelmäßige Tests von IKT-Systemen und Kontrollen. Dazu gehören grundlegende Tests wie Schwachstellenbewertungen und szenariobasierte Übungen sowie fortgeschrittenere Tests für größere oder systemrelevante Unternehmen. Bestimmte Finanzinstitute müssen bedrohungsorientierte Penetrationstests (TLPT) durchführen, die realistische Angriffsszenarien auf kritische Systeme simulieren. Ziel ist es, Schwachstellen zu finden, bevor sie bei realen Vorfällen ausgenutzt werden können. 4. Management des IKT-Drittparteienrisikos DORA legt großen Wert auf Risiken, die von externen IKT-Anbietern ausgehen. Finanzunternehmen müssen detaillierte Verzeichnisse ihrer IKT-Dienstleister führen, Konzentrationsrisiken bewerten und sicherstellen, dass Verträge klare Bestimmungen zu Sicherheit, Verfügbarkeit, Prüfrechten und Ausstiegsstrategien enthalten. Für Anbieter, die auf EU-Ebene als kritisch eingestuft werden, schafft DORA einen zentralen Überwachungsmechanismus. Damit kann die Aufsicht systemische Risiken direkt bewerten, die mit großen Technologieanbietern verbunden sind, auf die sich weite Teile des Finanzsektors stützen. 5. Vereinbarungen zum Informationsaustausch Um die gemeinsame Resilienz zu verbessern, fördert DORA freiwillige Vereinbarungen zum Informationsaustausch zwischen Finanzunternehmen. Im Mittelpunkt stehen der Austausch von Bedrohungsinformationen, Kompromittierungsindikatoren und Erkenntnissen aus Vorfällen. Die Teilnahme ist zwar freiwillig, doch der Rahmen unterstützt mehr Transparenz und Koordination bei der Reaktion auf neue digitale Bedrohungen. Governance und Verantwortung unter DORA Ein prägendes Merkmal von DORA ist der Fokus auf Governance. Digitale operationale Resilienz wird als strategisches und nicht als rein technisches Thema behandelt. Von den Leitungsorganen wird erwartet, dass sie: Strategien für das IKT-Risikomanagement genehmigen Die Umsetzung von Resilienzmaßnahmen überwachen Ausreichende Ressourcen für IKT-Risiken und -Sicherheit bereitstellen Vorfallberichte und Testergebnisse prüfen Dieser Fokus auf Governance spiegelt wider, dass Betriebsstörungen finanzielle, rechtliche und reputationsbezogene Folgen auf Unternehmens- und Systemebene haben können. Die Rolle der Drittanbieter DORA erkennt formell an, dass die Resilienz im Finanzsektor zunehmend von externen Technologieanbietern abhängt. Cloud-Plattformen, Datenspeichersysteme und Softwaredienste sind tief in die Abläufe von Finanzunternehmen eingebettet. Unter DORA bleiben Finanzunternehmen voll verantwortlich für Risiken, die durch IKT-Dienste von Drittanbietern entstehen. Das erfordert: Laufende Überwachung der Leistung der Anbieter Klare vertragliche Schutzklauseln Dokumentierte Ausstiegs- und Ersatzstrategien Bewertung systemischer Konzentrationsrisiken Für Technologieanbieter, die mehrere Finanzinstitute unterstützen, sieht DORA eine direkte Aufsicht auf EU-Ebene vor. Damit soll das Risiko verringert werden, dass der Ausfall eines einzelnen Anbieters große Teile des Finanzsystems stört. Vorteile der DORA-Compliance Die Einhaltung von DORA bringt zwar neue betriebliche und Governance-Anforderungen mit sich, bietet aber auch greifbare Vorteile. Stärkere operative Resilienz Durch formalisierte Resilienztests, Vorfallmanagement und Wiederherstellungsplanung können Unternehmen Störungen besser standhalten und sich schneller davon erholen. Einheitliche Regulierung Ein einheitlicher EU-Rahmen verringert die Komplexität, die sich aus abweichenden nationalen Regeln und aufsichtlichen Erwartungen ergibt. Mehr Transparenz über IKT-Risiken Standardisierte Meldungen und Dokumentation verbessern das interne Verständnis von IKT-Abhängigkeiten und Schwachstellen. Besseres Management von Lieferkettenrisiken DORA stärkt die Aufsicht über externe IKT-Anbieter und verringert so verborgene oder unkontrollierte Risiken. Herausforderungen bei der Umsetzung Viele Unternehmen stehen bei der Umsetzung von DORA vor praktischen Herausforderungen, insbesondere wenn ihre IKT-Umgebungen komplex oder stark ausgelagert sind. Typische Herausforderungen sind: Die Erfassung von IKT-Assets und Abhängigkeiten in Altsystemen Die Anpassung der Meldeprozesse an strenge Fristen Die Aktualisierung von Verträgen mit bestehenden Drittanbietern Die Abstimmung zwischen IT-, Risiko-, Compliance- und Fachbereichen DORA stützt sich zudem auf technische Regulierungsstandards, die sich weiterentwickeln. Unternehmen müssen Aktualisierungen verfolgen und ihre Kontrollen entsprechend anpassen. DORA in der Praxis vorbereiten Unternehmen, die sich auf DORA vorbereiten, gehen in der Regel strukturiert vor: Bewertung des aktuellen Reifegrads von IKT-Risikomanagement und Resilienz Identifizierung von Lücken gegenüber den DORA-Anforderungen Stärkung der Governance- und Verantwortungsstrukturen Formalisierung der Workflows für Klassifizierung und Meldung von Vorfällen Überprüfung der Drittanbietervereinbarungen und Konzentrationsrisiken Durchführung von Resilienztests und Behebung von Schwachstellen Schulung und Sensibilisierung sind ebenfalls entscheidend. Mitarbeitende spielen eine zentrale Rolle bei der Erkennung von Vorfällen und der Umsetzung von Reaktionsplänen, besonders in Störungsszenarien mit hohem Druck. Sanktionen und Durchsetzung DORA enthält Durchsetzungsmechanismen, um die Einhaltung sicherzustellen. Aufsichtsbehörden können bei Verstößen je nach Schwere und Auswirkungen Verwaltungsmaßnahmen und finanzielle Sanktionen verhängen. Für kritische IKT-Drittdienstleister können die Durchsetzungsmaßnahmen auch verbindliche Abhilfeanforderungen oder in Extremfällen Einschränkungen der Dienstleistungserbringung umfassen. DORA als langfristiger Rahmen für Resilienz Der Digital Operational Resilience Act markiert einen strukturellen Wandel in der Regulierung digitaler Risiken im EU-Finanzsektor. Statt sich allein auf Prävention zu konzentrieren, betont DORA die Fähigkeit, auch während einer Störung weiterzuarbeiten und sich schnell zu erholen. Für Finanzinstitute und ihre Technologiepartner ist DORA keine einmalige Compliance-Übung. Die Verordnung schafft einen dauerhaften Rahmen für das Management digitaler Risiken in einem Umfeld, in dem sich Bedrohungen, Technologien und Abhängigkeiten ständig weiterentwickeln. Unternehmen, die DORA als Chance begreifen, ihre operativen Grundlagen zu stärken, statt als regulatorische Last, sind besser aufgestellt, um langfristig stabile, sichere und resiliente Finanzdienstleistungen zu unterstützen.
