DORA — Digital Operational Resilience Act

DORA ist eine EU-Verordnung, die Finanzunternehmen (Banken, Versicherungen, Investmentfonds) verpflichtet, ihre digitale Widerstandskraft gegen Cyberbedrohungen zu stärken. Sie regelt ICT-Risikomanagement, Schwachstellenoffenlegung und regelmäßige Cyber-Resilienztests. Finanzunternehmen müssen Sicherheitsanforderungen in den Softwareentwicklungsprozess einbinden, Drittanbieter-Risiken in den ICT-Diensten überwachen und kritische Incidents innerhalb von vier Stunden an die Behörde melden.

Aktualisiert am: 25.08.2026

Konkrete Anforderungen aus DORA

ICT-Risikoklassifizierung: Einteilung in kritische und wichtige Systeme
Advanced-Threat-Szenarien regelmäßig testen, um Widerstandskraft zu messen
Schwachstellen zeitnah erkennen, bewerten und an Behörden melden
ICT-Incident-Meldung an die Behörde innerhalb von vier Stunden bei kritischen Störungen
Drittanbieter-Risikokonzept: Vorgaben für Cloud-Provider und externe Dienstleister
Board-Verantwortung: Geschäftsleitung trägt direkte Haftung für Umsetzung

DORA und andere Regulierungen

DORA gilt speziell für den Finanzsektor, während NIS2 breiter Kritische Einrichtungen erfasst und ISO 27001 ein generisches Sicherheitsmanagementsystem ist. DORA ist strenger in der Eskalation von Incidents — vier Stunden für Behördenmeldungen versus längere Fristen in anderen Regeln. Finanzunternehmen müssen alle Anforderungen aufeinander abstimmen.

Praktische Umsetzung für Finanzinstitute

Die Umsetzung von DORA erfordert von Banken und Versicherungen nicht nur technische Maßnahmen, sondern auch eine Neuorganisation der Prozesse. Viele Institute bauen dedizierte Cyber-Response-Teams auf und investieren in Automatisierung, um die Vier-Stunden-Frist für Behördenmeldungen einzuhalten. Auch die Kommunikation zwischen Geschäftsleitung und Technik-Teams wird formalisiert, um schnelle Entscheidungen in kritischen Situationen zu ermöglichen.

Wo das im Mandat vorkommt

Wenn meine Mandanten aus dem Finanzsektor kommen, nutze ich ISO-27001-basierte Frameworks, um die speziellen DORA-Anforderungen abzubilden. Die Behördenmeldungsfrist macht schnelle Prozesse und klare Eskalation nicht verhandelbar. Oft beginne ich mit einer Lückenanalyse, um zu sehen, wo heute noch Verzögerungen auftreten.

Häufige Frage

Wem hilft DORA-Compliance weiter?

Unmittelbar nur Finanzunternehmen innerhalb der EU. Mittelbar profitieren ihre Kunden und Geschäftspartner, weil DORA eine höhere Verfügbarkeit und Resistenz gegen Cyberattacken erzwingt. Auch externe Dienstleister wie Cloud-Provider müssen Anforderungen erfüllen. Die vier-Stunden-Frist für Behördenmeldungen zwingt auch zu besseren internen Eskalationsprozessen und Kommunikationsstrukturen.