DORA-Verordnung verstehen und umsetzen

DORA steht für Digital Operational Resilience Act. Gemeint ist die Verordnung (EU) 2022/2554 zur digitalen operationalen Resilienz im Finanzsektor. Sie schafft einen einheitlichen Rahmen für den Umgang mit IKT-Risiken, IKT-bezogenen Vorfällen und externen IKT-Drittdienstleistern. Ziel ist es, Finanzunternehmen widerstandsfähiger gegenüber Störungen, Cybervorfällen und Be­triebs­un­ter­bre­chun­gen zu machen.

Warum ist DORA relevant?

In der Praxis hängen zentrale Geschäftsprozesse im Finanzsektor von Informations- und Kom­mu­ni­ka­ti­ons­tech­no­lo­gien (IKT) ab. Fällt ein kritischer Dienst aus, sind häufig nicht nur interne Abläufe betroffen. Auch Kun­den­schnitt­stel­len, Zahlungsprozesse, Berichtspflichten und ausgelagerte Leistungen können beeinträchtigt werden. Deshalb rückt DORA die Frage in den Mittelpunkt, wie Unternehmen digitale Risiken erkennen, beherrschen und nachvollziehbar steuern.

Welche Themen bündelt DORA?

DORA bündelt mehrere zentrale Themenfelder in einem einheitlichen Ordnungsrahmen. Dazu gehören insbesondere das IKT-Risikomanagement, der Umgang mit IKT-bezogenen Vorfällen, digitale Resilienztests und die Steuerung von Risiken aus IKT-Drittdienstleistern. Dadurch verbindet die Verordnung technische, organisatorische und regulatorische Anforderungen. Ergänzend schafft DORA einen Rahmen für den freiwilligen In­for­ma­ti­ons­aus­tausch über signifikante Cyberbedrohungen.

Die folgende Übersicht zeigt, welche Bereiche Unternehmen dabei besonders im Blick behalten müssen.

DORA erfasst eine breite Gruppe regulierter Finanzunternehmen in der Europäischen Union. Dazu zählen unter anderem Banken, Versicherungen, Zahlungs- und E-Geld-Institute, Wertpapierfirmen und weitere regulierte Marktteilnehmer. Die Verordnung ist damit kein Spezialthema für einzelne Institute, sondern ein sektorweites Regelwerk.

Welche Rolle spielen IKT-Drittdienstleister?

DORA richtet sich nicht nur auf interne IT-Strukturen. Ebenso relevant ist der Umgang mit externen IKT-Drittdienstleistern, etwa bei Cloud-Services, Plattformen oder ausgelagerten Un­ter­stüt­zungs­leis­tun­gen. Gerade bei Leistungen für kritische oder wichtige Funktionen verlangt die Verordnung eine strukturierte Steuerung dieser Risiken. Für die strukturierte Steuerung externer IKT-Drittdienstleister kann ein digitales Lie­fe­ran­ten­ma­nage­ment die Umsetzung sinnvoll unterstützen.

DORA verlangt kein Einzelprojekt, sondern einen belastbaren Steuerungsrahmen. Unternehmen müssen digitale Risiken systematisch erfassen, bewerten, überwachen und in Governance, Prozesse und Kontrollen übersetzen. Außerdem müssen Vorfälle, Tests und die Einbindung externer IKT-Drittdienstleister nachvollziehbar organisiert werden.

IKT-Risikomanagement strukturiert aufbauen

Im Zentrum steht ein ganzheitliches IKT-Risikomanagement. Für die praktische Ausgestaltung sind klare Methoden im Risikomanagement entscheidend. Risiken müssen dabei nicht nur technisch, sondern auch organisatorisch abgebildet werden. Dazu gehören typischerweise Zuständigkeiten, Schutzmaßnahmen, Notfallvorsorge, Wiederanlaufplanung und regelmäßige Überprüfungen. Hilfreich ist ein gemeinsames Verständnis darüber, welche Systeme, Prozesse und Drittbeziehungen für kritische oder wichtige Funktionen relevant sind.

IKT-bezogene Vorfälle steuern und bewerten

DORA verlangt einen strukturierten Umgang mit IKT-bezogenen Vorfällen. Unternehmen müssen Vorfälle erfassen, bewerten, eskalieren und je nach Relevanz gegenüber den zuständigen Stellen melden. Deshalb reicht ein rein technischer Incident-Prozess meist nicht aus. Er muss mit Governance, Ver­ant­wort­lich­kei­ten und Nachweisen verbunden sein.

Resilienztests planen und dokumentieren

Digitale Resilienz soll nicht nur beschrieben, sondern regelmäßig überprüft werden. DORA sieht deshalb Tests vor, mit denen Schwachstellen sichtbar werden. Je nach Rolle, Größe und Risikoprofil können unterschiedliche Testformate relevant sein. Entscheidend ist, dass Ergebnisse ausgewertet, Maßnahmen abgeleitet und Nachweise sauber dokumentiert werden.

Drittanbieter-Risiken steuern

Viele Finanzunternehmen sind auf externe IKT-Drittdienstleister angewiesen. Genau deshalb macht DORA das Management dieser Risiken zu einem eigenen Schwerpunkt. Verträge, Leis­tungs­be­zie­hun­gen, kritische Funktionen, Kontrollrechte und Ausstiegsoptionen sollten daher nicht isoliert betrachtet werden. In der Praxis braucht es einen abgestimmten Prozess zwischen Fachbereich, IT, Einkauf, Compliance und Recht.

Governance und Verantwortung verankern

DORA ist kein reines IT-Thema. Die Verordnung verlangt vielmehr, dass digitale Resilienz auf Steuerungs- und Leitungsebene verankert wird. Deshalb müssen Ver­ant­wort­lich­kei­ten klar zugeordnet, Entscheidungen nachvollziehbar dokumentiert und Prüfpfade belastbar aufgesetzt werden. Genau hier entstehen in der Praxis oft die größten Reibungsverluste. Gerade bei Ver­ant­wort­lich­kei­ten, Vorgaben und Nachweisen kann ein strukturiertes Richt­li­ni­en­ma­nage­ment die Umsetzung unterstützen.

Typischer Start: Gap-Analyse und Priorisierung

Hilfreich ist eine strukturierte Gap-Analyse. Sie vergleicht bestehende Prozesse mit den regulatorischen Anforderungen und macht Lücken sichtbar. Dadurch entsteht eine belastbare Grundlage für Prioritäten, Ver­ant­wort­lich­kei­ten und Umsetzungsphasen. Zugleich hilft dieser Schritt, parallele Einzelinitiativen ohne gemeinsame Steuerung zu vermeiden.

Rollen früh festlegen

In der Umsetzung sollten Rollen früh geklärt werden. Typischerweise sind IT, In­for­ma­ti­ons­si­cher­heit, Compliance, Recht, Einkauf, Risikomanagement und Fachbereiche beteiligt. Entscheidend ist, dass Zuständigkeiten nicht nur benannt, sondern in Prozessen verankert werden. Nur dann lassen sich Vorfälle, Maßnahmen, Reviews und Freigaben nachvollziehbar steuern. Wenn In­for­ma­ti­ons­si­cher­heit, Nachweise und Rollen zusammenspielen müssen, kann ein klar aufgebautes ISMS die Umsetzung sinnvoll unterstützen.

Prozesse und Nachweise zusammen denken

DORA verlangt einen belastbaren Umgang mit Nachweisen. Deshalb sollten Unternehmen nicht nur Maßnahmen definieren, sondern auch festlegen, wo Dokumente, Entscheidungen, Prüfstände und Fristen geführt werden. Genau das ist in der Praxis oft ein Stolperstein. Informationen liegen verteilt in E-Mails, Tabellen, Vertragssammlungen und Einzellösungen. Dadurch steigen Abstimmungsaufwand und Prüfungsrisiko.

Typische Stolpersteine

Ein häufiger Fehler ist ein zu enger Fokus auf IT-Sicherheit. DORA betrifft ebenso Governance, Einkauf, Aus­la­ge­rungs­steue­rung und Dokumentation. Ebenfalls kritisch ist ein unvollständiger Blick auf IKT-Drittdienstleister. Wer Verträge, Risikobewertung und operative Steuerung nicht zusammenführt, schafft schnell Lücken im Nachweis. Außerdem werden Fristen, Ver­ant­wort­lich­kei­ten und Review-Zyklen oft zu spät harmonisiert.

Gerade bei der praktischen Umsetzung ist neben dem EU-Rechtsrahmen auch der nationale Aufsichtskontext relevant. Einen Überblick aus deutscher Perspektive bietet die BaFin auf ihrer Seite DORA – Digital Operational Resilience Act.

Wo digitale Unterstützung besonders hilft

In der Praxis sind vor allem fünf Bereiche relevant: die strukturierte Erfassung von Risiken, die Steuerung von IKT-Drittdienstleistern, die Dokumentation von Anforderungen, die Fristen- und Aufgabenverfolgung sowie ein konsistentes Reporting. Dadurch sinkt der manuelle Abstimmungsaufwand. Zugleich werden Ver­ant­wort­lich­kei­ten, Prüfpunkte und offene Maßnahmen transparenter.

Welche Funktionen typischerweise sinnvoll sind

Hilfreich sind zentrale Akten oder Register für Dienstleister, Verträge, Risiken und Maßnahmen. Ebenso nützlich sind Freigabe-Workflows, Eskalationslogiken, Fristenüberwachung und einheitliche Nachweisstrukturen. Wenn mehrere Fachbereiche beteiligt sind, wird außerdem eine gemeinsame Datenbasis wichtig. Sie erleichtert Reviews, reduziert Medienbrüche und verbessert die Auskunftsfähigkeit gegenüber internen und externen Prüfstellen.

Vertragsgrundlagen und Nachweise strukturiert steuern

Die Umsetzung von DORA betrifft nicht nur Risiken und Kontrollen, sondern auch Vertragsgrundlagen, Drittbeziehungen und Nachweise. Eine geeignete Software kann dabei helfen, diese Informationen strukturiert zusammenzuführen und für Reviews, Audits und regulatorische Anforderungen nachvollziehbar bereitzustellen. Das ist besonders dann hilfreich, wenn mehrere Bereiche gemeinsam an Resilienz, Compliance und Aus­la­ge­rungs­steue­rung arbeiten.

Vertrags­management-Software von otris entdecken

Weitere passende Lösungen:
Lie­fe­ran­ten­ma­nage­ment, Risikomanagement, ISMS