DORA-Compliance für den Finanzsektor

DORA steht für Digital Operational Resilience Act (EU-Verordnung 2022/2554) und regelt die digitale operationale Resilienz des Finanzsektors. Die Verordnung ist seit dem 17. Januar 2025 in Kraft und verpflichtet Finanzunternehmen, ihre IKT-Risiken systematisch zu managen, IKT-Vorfälle zu melden, Resilienztests durchzuführen und das Drittparteienrisiko zu kontrollieren.

DORA gilt für 21 Kategorien von Finanzunternehmen: Kreditinstitute, Versicherungen, Rückversicherungen, Pensionskassen, Zahlungsinstitute, E-Geld-Institute, Wertpapierfirmen, Kapitalverwaltungsgesellschaften, Krypto-Dienstleister, Ratingagenturen, zentrale Gegenparteien und weitere. Darüber hinaus betrifft DORA indirekt auch kritische IKT-Drittdienstleister über die Lieferkette.

DORA ist seit dem 17. Januar 2025 unmittelbar anwendbar. Die Verordnung wurde am 14. Dezember 2022 im Amtsblatt der EU veröffentlicht und trat am 16. Januar 2023 in Kraft, mit einer zweijährigen Umsetzungsfrist bis zum 17. Januar 2025. Für die Ablösung von BAIT/VAIT/KAIT/ZAIT gilt eine Übergangsfrist bis zum 1. Januar 2027.

Artikel 16 DORA sieht für Kleinstunternehmen im Finanzsektor (weniger als 10 Mitarbeitende, Jahresumsatz unter 2 Mio. EUR) einen vereinfachten IKT-Risikomanagementrahmen vor. Dieser reduziert die Anforderungen an Governance, Dokumentation und Tests, behält aber die grundlegenden Pflichten zur Risikoidentifikation und zum Vorfallsmanagement bei.

Das Informationsregister nach Artikel 28 Absatz 3 DORA ist ein vollständiges Verzeichnis aller vertraglichen Vereinbarungen mit IKT-Drittdienstleistern. Es muss Angaben zu Dienstleister, Vertragslaufzeit, Art der Dienstleistung, Kritikalität und Subunternehmer-Ketten enthalten und jährlich an die zuständige Aufsichtsbehörde gemeldet werden.

DORA sieht ein dreistufiges Meldeverfahren vor: Erstmeldung innerhalb von 4 Stunden nach Klassifizierung des Vorfalls, Zwischenbericht innerhalb von 72 Stunden mit aktualisierter Bewertung, und Abschlussbericht innerhalb von 30 Tagen mit Ursachenanalyse und ergriffenen Maßnahmen. Die Meldung erfolgt an die zuständige Aufsichtsbehörde (z. B. BaFin).

TLPT ist ein bedrohungsgesteuerter Penetrationstest nach TIBER-EU-Rahmenwerk, der in Artikel 26 DORA vorgeschrieben wird. Er simuliert realistische Angriffsszenarien auf die kritischen Funktionen eines Finanzunternehmens. TLPT ist alle 3 Jahre Pflicht für systemrelevante Institute und muss von qualifizierten externen Anbietern durchgeführt werden.

Die bisherigen deutschen Aufsichtsanforderungen an die IT (BAIT, VAIT, KAIT, ZAIT) werden schrittweise durch DORA abgelöst. Die Übergangsfrist läuft bis zum 1. Januar 2027. Bis dahin gelten beide Regelwerke parallel. DORA geht in Bereichen wie Drittparteienrisiko, Informationsregister und Resilienztests deutlich über die bisherigen Anforderungen hinaus.

Die Kosten hängen stark von der Unternehmensgröße und dem bestehenden Reifegrad ab. Für Kleinstunternehmen mit vereinfachtem Rahmen liegen die Kosten bei 20.000 bis 50.000 EUR. Mittelgroße Finanzunternehmen sollten mit 50.000 bis 200.000 EUR rechnen. Großbanken und Versicherungskonzerne investieren typischerweise 500.000 EUR bis mehrere Millionen EUR. Mit einem GRC-Tool wie Kopexa lässt sich der Aufwand um 40 bis 60 Prozent reduzieren.

Kopexa bietet ein vorgeladenes DORA-Framework mit allen 5 Säulen, einen Maßnahmenkatalog mit Best-Practice-Maßnahmen, Vorlagen für Richtlinien und Prozesse, ein integriertes IKT-Drittparteien-Register für das DORA-Informationsregister, Cross-Mapping zu ISO 27001 und BAIT/VAIT, sowie zentrale Evidence Collection für die Audit-Readiness. Die Gap-Analyse zeigt sofort, wo Handlungsbedarf besteht.