DORA-Readiness-Check
Sind Sie fit für den 17. Januar?
20 Fragen, 5 Kategorien, 3 Minuten. Finden Sie heraus, wie weit Ihr Finanzunternehmen mit den DORA-Anforderungen ist.
Was DORA von Finanzunternehmen verlangt
DORA ist die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor. Sie gilt seit dem 17. Januar 2025 unmittelbar – anders als eine Richtlinie musste sie nicht erst in nationales Recht überführt werden. Der Grundgedanke: Ein Finanzunternehmen muss auch dann handlungsfähig bleiben, wenn seine IT oder ein Dienstleister ausfällt. Der Check oben bewertet Ihre Reife entlang der fünf Säulen.
Wer ist betroffen?
DORA erfasst den Finanzsektor sehr breit – deutlich breiter, als viele erwarten:
- Kreditinstitute, Zahlungs- und E-Geld-Institute
- Wertpapierfirmen, Handelsplätze, Zentralverwahrer
- Versicherungs- und Rückversicherungsunternehmen sowie deren Vermittler
- Kryptowerte-Dienstleister, Crowdfunding-Dienstleister, Ratingagenturen
- Einrichtungen der betrieblichen Altersversorgung, Verwalter alternativer Investmentfonds
Zusätzlich können kritische IKT-Drittdienstleister unter direkte europäische Aufsicht gestellt werden – für IT-Anbieter des Finanzsektors ein Novum.
Proportionalität gilt: DORA verlangt nicht von jedem dasselbe. Umfang und Tiefe richten sich nach Größe, Risikoprofil und Komplexität. Für bestimmte kleine Unternehmen sieht die Verordnung ausdrücklich einen vereinfachten IKT-Risikomanagementrahmen vor. „Wir sind zu klein dafür" ist damit kein Argument – „wir setzen es angemessen um" schon.
Die fünf Säulen
| Säule | Worum es geht |
|---|---|
| 1. IKT-Risikomanagement | Governance-Rahmen, Verantwortung des Leitungsorgans, Schutz- und Erkennungsmaßnahmen, Backup, Wiederherstellung, Kommunikation |
| 2. IKT-Vorfälle | Erfassen, klassifizieren und melden schwerwiegender IKT-bezogener Vorfälle an die Aufsicht – in gestufter Form |
| 3. Resilienztests | Regelmäßiges Testprogramm; für bestimmte Institute zusätzlich bedrohungsgeleitete Penetrationstests (TLPT) |
| 4. Drittparteienrisiko | Vertragliche Mindestinhalte, Ausstiegsstrategien und das Informationsregister aller IKT-Dienstleister |
| 5. Informationsaustausch | Freiwilliger Austausch über Cyberbedrohungen zwischen Finanzunternehmen |
Das Informationsregister unterschätzen viele
Säule 4 ist in der Praxis der häufigste Stolperstein. Sie müssen ein vollständiges Register aller vertraglichen Vereinbarungen über IKT-Dienstleistungen führen – inklusive der Frage, welche davon kritische oder wichtige Funktionen unterstützen. Dieses Register wird der Aufsicht gemeldet. Wer seine Dienstleisterlandschaft nie systematisch erfasst hat, braucht dafür allein mehrere Wochen.
Wie Sie Ihr Check-Ergebnis lesen
Der Check prüft Ihre Reife je Säule und zeigt, wo die Lücken am größten sind:
- Niedrige Reife – Governance und Register fehlen. Beginnen Sie mit dem Leitungsorgan und der Bestandsaufnahme Ihrer Dienstleister; alles andere baut darauf auf.
- Mittlere Reife – Prozesse existieren, sind aber nicht durchgängig dokumentiert oder getestet. Typisch: Vorfälle werden bearbeitet, aber nicht DORA-konform klassifiziert und gemeldet.
- Hohe Reife – Der Rahmen steht. Feinschliff liegt meist bei Testprogramm, Ausstiegsstrategien und der Aktualität des Registers.
Der Check ist eine Selbsteinschätzung und ersetzt keine aufsichtsrechtliche Beratung.
Der pragmatische Weg
Wer bereits ein ISMS nach ISO 27001 betreibt, hat für DORA einen erheblichen Vorsprung: Risikomanagement, Lieferantensteuerung, Vorfallbehandlung und Business Continuity sind bereits angelegt. Ergänzen müssen Sie vor allem die DORA-Spezifika – das Informationsregister, die Meldeklassifizierung, das Testprogramm und die ausdrückliche Verantwortung des Leitungsorgans.
Häufige Fragen zu DORA
Seit wann gilt DORA?
Seit dem 17. Januar 2025. Als EU-Verordnung gilt sie unmittelbar in allen Mitgliedstaaten – es gab keine zusätzliche nationale Umsetzungsfrist und keine allgemeine Übergangsphase.
Gilt DORA auch für kleine Finanzunternehmen?
Ja, aber verhältnismäßig. Die Verordnung sieht für bestimmte kleine und nicht komplexe Unternehmen einen vereinfachten IKT-Risikomanagementrahmen vor. Die Pflichten entfallen dadurch nicht, sie werden im Umfang angemessen reduziert.
Sind wir als IT-Dienstleister von DORA betroffen?
Mittelbar auf jeden Fall: Ihre Kunden aus dem Finanzsektor müssen DORA-konforme Verträge mit Ihnen schließen, Sie ins Informationsregister aufnehmen und Ausstiegsszenarien planen. Wird ein Dienstleister als kritisch eingestuft, kommt sogar direkte EU-Aufsicht hinzu.
Ersetzt DORA die BAIT/VAIT?
DORA ist als EU-Verordnung vorrangig und deckt die Themen der bisherigen aufsichtlichen Anforderungen an die IT weitgehend ab. Die nationalen Regelwerke wurden entsprechend angepasst. Maßgeblich ist heute DORA.
Was ist ein TLPT und brauchen wir das?
TLPT steht für Threat-Led Penetration Testing – ein bedrohungsgeleiteter Test unter realistischen Angriffsszenarien. Er ist nicht für alle Pflicht, sondern nur für Institute, die von der Aufsicht anhand ihrer Bedeutung dafür bestimmt werden.
Brauchen wir ISO 27001 für DORA?
Nein, DORA schreibt keine Zertifizierung vor. Ein ISMS nach ISO 27001 deckt aber einen großen Teil der Anforderungen ab und ist der etablierteste Weg, sie strukturiert nachzuweisen.