DORA: was Finanzunternehmen und ihre IT-Dienstleister tun müssen
DORA (Digital Operational Resilience Act) — die EU-Verordnung zur digitalen operationalen Resilienz des Finanzsektors — gilt seit Januar 2025. In meiner Praxis kommt die DORA-Frage immer öfter — nicht nur von Banken, sondern auch von den IT-Firmen, die sie bedienen.
Für wen sie gilt
Banken, Zahlungs- und Kryptounternehmen (im Verbund mit MiCA), Versicherer, Wertpapierfirmen — und die kritischen IKT-Dienstleister dieser Organisationen. Liefert Ihre Firma Finanzinstituten Software, Hosting oder Support, kommen die DORA-Anforderungen über die Verträge zu Ihnen.
Die fünf Säulen
- IKT-Risikomanagement — ein Rahmen, der der ISO 27001 sehr nahe steht;
- Incident-Reporting — Klassifizierung und strenge Meldefristen an die Aufsicht;
- Resilienztests — regelmäßig, bis zu TLPT (fortgeschrittene Penetrationstests) für große Akteure;
- Drittparteirisiken — Register der IKT-Verträge, Pflichtklauseln;
- Informationsaustausch über Cyberbedrohungen.
Wie ISO-Normen helfen
DORA verlangt keine Zertifizierung, aber ein funktionierendes ISMS nach ISO 27001 deckt einen Großteil der Anforderungen an Risiko-, Incident- (der Prozess) und Lieferantenmanagement (die Analyse) ab; ISO 22301 deckt Kontinuität und Tests. Für IT-Dienstleister des Finanzsektors sind Zertifikate der schnellste Konformitätsnachweis.
Der Einstieg
Gap-Analyse gegen DORA, das IKT-Vertragsregister ordnen, den Incident-Prozess mit Meldefristen aufsetzen. Ohne ISMS: mit ISO 27001 starten — der kürzeste Weg zur Systematik.
Lesen Sie auch
Autor — Kyrylo Proskurnya, leitender ISO-Auditor und internationaler Experte für Managementsysteme. Ich führe Zertifizierungs- und interne Audits nach ISO 27001, ISO 9001, ISO 27701 und ISO 42001 für Unternehmen in der DACH-Region, Europa und den USA durch. Über mich · Beratung anfragen