DORA-Verordnung: Die DORA-Verordnung (Digital Operational Resilience Act) ist eine seit Januar 2025 geltende EU-Verordnung, die Finanzunternehmen und ihre kritischen IT-Dienstleister zu einheitlichen Standards der digitalen Betriebsstabilität verpflichtet.
Adressiert werden Banken, Versicherungen, Wertpapierfirmen, Zahlungsdienstleister und weitere Finanzmarktteilnehmer, zusätzlich auch kritische IT-Drittdienstleister dieser Unternehmen. Die Verordnung verlangt unter anderem ein IKT-Risikomanagement, verpflichtende Meldungen schwerwiegender IT-Vorfälle, regelmäßige Resilienztests und eine strukturierte Steuerung von IT-Dienstleisterrisiken.
| DORA-Baustein | Inhalt |
|---|---|
| IKT-Risikomanagement | Systematische Steuerung von IT-Risiken |
| Vorfallmeldung | Meldepflicht schwerwiegender IT-Vorfälle |
| Resilienztests | Regelmäßige Prüfung der Widerstandsfähigkeit |
| Drittparteirisiko | Steuerung kritischer IT-Dienstleister |
Anders als NIS2, das branchenübergreifend kritische Infrastrukturen adressiert, ist DORA speziell auf den Finanzsektor zugeschnitten und geht dort in mehreren Punkten über NIS2 hinaus, etwa bei verpflichtenden Resilienztests und der direkten Aufsicht über kritische IT-Dienstleister.
Ein bereits nach ISO 27001 zertifiziertes ISMS deckt zentrale DORA-Anforderungen wie Risikomanagement und Vorfallbehandlung strukturell bereits ab, ersetzt die spezifischen DORA-Pflichten aber nicht vollständig.
Auch Unternehmen außerhalb des Finanzsektors können indirekt betroffen sein, wenn sie als IT-Dienstleister für Banken oder Versicherungen arbeiten: Finanzunternehmen geben DORA-Anforderungen zunehmend vertraglich an ihre Dienstleister weiter, etwa zu Meldefristen bei Sicherheitsvorfällen oder Resilienztests. Ein ISO-27001-Zertifikat erleichtert in solchen Fällen den Nachweis grundlegender Informationssicherheits-Standards gegenüber dem Finanzkunden erheblich.
Relevanz für die Zertifizierung
Radikale Ehrlichkeit an dieser Stelle: DORA ist keine ISO-Managementsystemnorm und wird nicht durch eine ISO-27001-Zertifizierung ersetzt, auch wenn beide inhaltlich große Überschneidungen bei Risikomanagement und Vorfallbehandlung haben. Betroffene Finanzunternehmen benötigen zusätzlich eine eigene, DORA-konforme Umsetzung samt aufsichtsrechtlicher Nachweise. Ein bestehendes ISO-27001-ISMS bei KCERT erleichtert diesen Weg aber erheblich, da zentrale Strukturen wie Risikoanalyse, Schwachstellenmanagement und Incident-Prozesse bereits vorhanden sind. Unternehmen, die als IT-Dienstleister für den Finanzsektor tätig sind oder es werden möchten, sollten frühzeitig prüfen, welche DORA-Anforderungen ihnen vertraglich auferlegt werden könnten, um nicht erst bei einer konkreten Kundenanfrage unvorbereitet mit umfangreichen Zusatzpflichten konfrontiert zu werden. Eine frühzeitige vertragliche Klärung mit dem Finanzkunden schafft hier beidseitig Planungssicherheit. So lassen sich unangenehme Überraschungen kurz vor einer wichtigen Ausschreibung zuverlässig vermeiden.
Häufige Fragen zu DORA-Verordnung
Vor allem Banken, Versicherungen, Wertpapierfirmen, Zahlungsdienstleister und weitere Finanzmarktteilnehmer in der EU, zusätzlich kritische IT-Drittdienstleister dieser Unternehmen. Reguläre Unternehmen außerhalb des Finanzsektors fallen nicht unter DORA, können aber indirekt betroffen sein, wenn sie als IT-Dienstleister für Finanzunternehmen arbeiten. Ausgenommen sind Unternehmen außerhalb des Finanzsektors, sofern sie nicht als kritischer IT-Dienstleister gelten.
NIS2 gilt branchenübergreifend für kritische und wichtige Infrastrukturen, DORA speziell und ausschließlich für den Finanzsektor. Wo beide Regelungen theoretisch überschneiden könnten, geht DORA als spezielleres Recht vor. DORA stellt in mehreren Bereichen, etwa bei Resilienztests, strengere Anforderungen als die branchenübergreifende NIS2-Richtlinie.
Nein, nicht vollständig. Ein ISMS nach ISO 27001 deckt zentrale DORA-Bausteine wie Risikomanagement und Vorfallbehandlung strukturell ab, ersetzt aber nicht die spezifischen DORA-Pflichten wie verpflichtende Resilienztests oder die besondere Steuerung kritischer IT-Drittdienstleister. Betroffene Unternehmen benötigen eine zusätzliche, eigenständige DORA-Umsetzung. Auch vertragliche Zusicherungen von IT-Dienstleistern werden dabei zunehmend zum Prüfpunkt in Kundenaudits.