Sie betrifft Banken, Versicherungen und auch deren IT-Dienstleister.
Wie funktioniert DORA in der Praxis?
Die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (DORA) gilt EU-weit unmittelbar, ohne nationales Umsetzungsgesetz, seit dem 17. Januar 2025. Sie verlangt von Finanzunternehmen ein einheitliches IKT-Risikomanagement, eine gestufte Meldepflicht für schwerwiegende IKT-Vorfälle, regelmässige Resilienztests der eigenen Systeme und eine strenge, vertragliche Steuerung kritischer IT-Dienstleister.
Anders als NIS2 ist DORA damit direkt anwendbares EU-Recht und nicht auf eine nationale Umsetzung angewiesen.
Wen betrifft DORA?
DORA betrifft klassische Finanzunternehmen wie Banken, Versicherungen, Wertpapierfirmen und Zahlungsdienstleister, aber auch deren kritische IKT-Drittdienstleister. Laut der europäischen Versicherungsaufsicht EIOPA erfasst die Verordnung rund 20 verschiedene Arten von Finanzunternehmen.
Wer selbst kein Finanzunternehmen ist, aber IT-Dienste für Banken oder Versicherungen erbringt, kann über Verträge, Lieferantenaudits und Fragebogen mittelbar zur Einhaltung verpflichtet werden, unabhängig von der eigenen Unternehmensgrösse. Das betrifft in der Praxis auch kleinere IT-Dienstleister, sobald sie fester Bestandteil der Lieferkette eines regulierten Finanzunternehmens sind.
Was verlangt DORA konkret?
Die Verordnung gliedert sich laut der europäischen Versicherungsaufsicht EIOPA in fünf Bereiche, von der Governance des IKT-Risikomanagements bis zur Aufsicht kritischer Drittdienstleister. Für besonders kritische IKT-Dienstleister sieht DORA zusätzlich eine direkte Aufsicht durch die europäischen Finanzaufsichtsbehörden vor.
- IKT-Risikomanagement-Rahmenwerk
- Management von IKT-Drittparteirisiken inklusive Vertragsinhalten
- Regelmässige Tests der digitalen operationalen Resilienz
- Erkennung und Meldung schwerwiegender IKT-Vorfälle
- Aufsicht kritischer IKT-Drittdienstleister auf EU-Ebene
Welche Fehler passieren bei DORA am häufigsten?
Der häufigste Fehler ist, DORA als reines IT-Sicherheitsthema statt als Regulatorik mit Governance-Pflichten zu behandeln, obwohl die Geschäftsleitung das IKT-Risikomanagement ausdrücklich verantwortet. Fast ebenso häufig werden Verträge mit IT-Dienstleistern nicht rechtzeitig an die DORA-Anforderungen angepasst, obwohl die Verordnung konkrete Vertragsinhalte vorschreibt. Ein dritter Fehler ist, Resilienztests einmalig statt regelmässig durchzuführen.
Aufwand und Kostentreiber bei DORA
Der Aufwand hängt von der Anzahl kritischer IKT-Dienstleister ab, die vertraglich neu erfasst werden müssen, vom Reifegrad des bestehenden IKT-Risikomanagements und davon, ob bereits ein ISMS besteht, das als Grundlage dient. Finanzunternehmen mit vielen historisch gewachsenen Dienstleisterbeziehungen brauchen für die Vertragsprüfung deutlich mehr Zeit als solche mit wenigen, zentral gesteuerten Verträgen.
Ein weiterer Treiber ist die Tiefe der geforderten Resilienztests: Ein einfacher Funktionstest ist mit wenig Aufwand verbunden, ein vertiefter Test kritischer Systeme braucht deutlich mehr Vorbereitung und Fachwissen.
Zusammenhang mit anderen Normen
DORA baut in der Praxis auf einem bestehenden ISMS nach ISO 27001 auf und ergänzt es um finanzsektor-spezifische Pflichten. Zur allgemeinen NIS2-Richtlinie verhält sich DORA als spezifischere Regelung für den Finanzsektor, sodass betroffene Finanzunternehmen primär DORA statt der allgemeinen NIS2-Pflichten anwenden.
| Bereich | Inhalt |
|---|---|
| IKT-Risikomanagement | Grundsätze und Anforderungen für das Management von IKT-Risiken im Finanzunternehmen |
| Management von IKT-Drittparteirisiken | Überwachung von Dienstleistern inklusive vertraglicher Mindestinhalte |
| Testen der digitalen operationalen Resilienz | Grundlegende und vertiefte Tests der Widerstandsfähigkeit |
| IKT-bezogene Vorfälle | Anforderungen an Erkennung und Meldung schwerwiegender IKT-Vorfälle an die Aufsicht |
| Aufsicht kritischer IKT-Drittdienstleister | EU-weiter Aufsichtsrahmen für besonders kritische Anbieter (CTPPs) |
Häufige Fragen
Seit wann gilt DORA?
Seit dem 17. Januar 2025, unmittelbar als EU-Verordnung, ohne dass ein nationales Umsetzungsgesetz nötig war.
Betrifft uns DORA auch als IT-Dienstleister?
Ja, wenn Sie kritische IKT-Dienstleistungen für ein Finanzunternehmen erbringen. Die Anforderungen erreichen Sie dann über Verträge und Lieferantenaudits, unabhängig von Ihrer eigenen Grösse.
Was ist der Unterschied zwischen DORA und NIS2?
DORA ist eine unmittelbar geltende EU-Verordnung speziell für den Finanzsektor, NIS2 ist eine Richtlinie, die von den Mitgliedstaaten erst in nationales Recht umgesetzt werden muss und mehr Sektoren erfasst.
Hilft uns ein bestehendes ISO-27001-ISMS bei DORA?
Ja, ein bestehendes ISMS deckt wesentliche Teile des IKT-Risikomanagements ab und ist ein sinnvoller Ausgangspunkt für die DORA-Umsetzung.
Was passiert bei einem schwerwiegenden IKT-Vorfall?
Er muss klassifiziert und innerhalb der von DORA vorgesehenen Fristen an die zuständige Aufsichtsbehörde gemeldet werden.
Quellen
- Verordnung (EU) 2022/2554 (DORA), EUR-Lex, Amt für Veröffentlichungen der Europäischen Union, 2022
- Digital Operational Resilience Act (DORA), European Insurance and Occupational Pensions Authority (EIOPA), 2025