Wenn Sie in einem Finanzunternehmen arbeiten oder in einem Unternehmen, das Technologiedienste für ein solches erbringt, gehört DORA bereits zu Ihrem Alltag. Der Digital Operational Resilience Act gilt seit dem 17. Januar 2025 unmittelbar in der gesamten Europäischen Union, und er ist keine Empfehlung: Er ist eine Pflicht. In diesem Artikel erkläre ich klar, was er ist, wer betroffen ist, was er verlangt und wo es sinnvoll ist anzufangen.

Was DORA ist, in einem Satz

DORA (der Digital Operational Resilience Act) ist die europäische Verordnung, die vom Finanzsektor verlangt, jedem Vorfall im Zusammenhang mit der Informationstechnologie standzuhalten, darauf zu reagieren und sich davon zu erholen. Mit anderen Worten: IT-Sicherheit zu haben reicht nicht mehr; Sie müssen nachweisen, dass die Organisation weiterarbeitet, auch wenn etwas ausfällt.

Der Kerngedanke: DORA holt die digitale operationelle Resilienz aus der technischen Ecke in den Vorstandssaal. Sie ist nicht mehr „eine Sache der IT“, sondern eine Pflicht der Unternehmensführung, in der Verantwortung des Leitungsorgans.

Für wen die Verordnung gilt

Der Anwendungsbereich von DORA ist breit. Er erfasst nahezu den gesamten europäischen Finanzsektor und, mittelbar, aber sehr real, dessen Technologieanbieter. Zu den erfassten Unternehmen gehören:

  • Kreditinstitute, Zahlungsinstitute und E-Geld-Institute.
  • Wertpapierfirmen und Fondsverwaltungsgesellschaften.
  • Versicherungs- und Rückversicherungsunternehmen.
  • Anbieter von Krypto-Dienstleistungen.
  • Und insbesondere als kritisch eingestufte IKT-Drittdienstleister, die unter direkte Aufsicht gestellt werden.

Wenn Sie Technologieanbieter für Banken sind, sollten Sie DORA verstehen, auch wenn Sie kein Finanzunternehmen sind: Ihre Kunden werden es Ihnen vertraglich auferlegen.

Möchten Sie sich als DORA Foundation zertifizieren lassen?
Offizielle PECB-Schulung mit einem praktizierenden Berater, im Selbststudium oder mit Einzelbegleitung auf Englisch.

Zum Kurs →Mit Ricardo sprechen

Die fünf Säulen von DORA

Die gesamte Verordnung ist um fünf Blöcke herum aufgebaut. Wer sie versteht, versteht DORA:

1. IKT-Risikomanagement

Die Grundlage von allem. Sie verlangt einen soliden Rahmen zum Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen. Das ist weder optional noch delegierbar: Die letzte Verantwortung liegt beim Leitungsorgan.

2. Management, Einstufung und Meldung von Vorfällen

Sie müssen IKT-bezogene Vorfälle erkennen, nach Schweregrad einstufen und die schwerwiegendsten innerhalb genauer Fristen an die Behörden melden. Improvisation ist hier teuer.

3. Tests der digitalen operationellen Resilienz

Zu sagen, dass Sie bereit sind, reicht nicht: Sie müssen es durch regelmäßige Tests belegen. Die bedeutendsten Unternehmen müssen erweiterte Tests auf der Grundlage realer Bedrohungen durchführen.

4. Management des Risikos durch Dritte

Einer der anspruchsvollsten Punkte. Sie müssen das Risiko kontrollieren, das Technologieanbieter einbringen, mit spezifischen Vertragsklauseln und einem aktuellen Informationsregister.

5. Austausch von Informationen

DORA ermutigt die Unternehmen, Bedrohungsinformationen untereinander auszutauschen, um die Resilienz des gesamten Sektors zu stärken.

Wo Sie anfangen, wenn Sie noch keine Fortschritte gemacht haben

Wenn Sie im Rückstand sind, geraten Sie nicht in Panik, aber Sie müssen in Bewegung kommen. Das sind die ersten Schritte, die ich in den Projekten empfehle, an denen ich arbeite:

  1. Lückenanalyse. Vergleichen Sie, was Sie bereits haben (wahrscheinlich viel, wenn Sie ISO 27001 erfüllen), mit dem, was DORA verlangt. Identifizieren Sie die tatsächlichen Lücken.
  2. Verzeichnis der IKT-Anbieter. Zu wissen, von wem Sie abhängen, ist die halbe Säule der Drittparteien. Ohne diese Landkarte können Sie sie nicht steuern.
  3. Rahmen für das Vorfallmanagement. Legen Sie fest, wie Sie erkennen, einstufen und melden, mit klaren Fristen.
  4. Einbindung der obersten Leitung. DORA fällt in die Verantwortung des Leitungsorgans. Wenn es nicht informiert und eingebunden ist, bleibt das Projekt auf halbem Weg stehen.
Ein zu wenig genutzter Vorteil: Wenn Ihre Organisation bereits ein Informationssicherheits-Managementsystem nach ISO 27001 hat, beginnen Sie mit einem guten Teil des Weges bereits hinter sich. DORA und das Management von Sicherheitsrisiken überschneiden sich in vielen Punkten.

Schulung zu DORA: warum die Zertifizierung den Unterschied macht

DORA durch das Lesen der Verordnung zu verstehen ist möglich, aber langsam und voller Feinheiten. Eine anerkannte Zertifizierung wie DORA Lead Manager von PECB gibt Ihnen den vollständigen, strukturierten Rahmen und weist Sie gegenüber Ihrer Organisation und dem Markt als die Person aus, die den Weg zur Konformität leiten kann. Für Compliance- und Risikoteams im Finanzsektor ist es derzeit einer der wertvollsten Kurse. Der Kurs DORA Lead Manager ist als offizielle PECB-Option im Selbststudium verfügbar, damit Sie in Ihrem eigenen Tempo vorankommen, oder mit Einzelbegleitung, bis Sie bereit für die Prüfung sind, in den Normen, die ich als PECB Certified Trainer unterrichte. Die Begleitung findet auf Englisch statt.