Cyber-Security · Finanzsektor

DORA Readiness

Die Verordnung (EU) 2022/2554 gilt seit dem 17. Januar 2025 unmittelbar. Wir klären aus IT-Sicht, wo Ihre Organisation bei den fünf Säulen steht, und unterstützen dort, wo es technisch klemmt: Resilienztests, technische Anforderungen an Dienstleister, Pflege des Informationsregisters und Exit-Planung. Vertragliche und aufsichtsrechtliche Fragen klären Sie mit Ihrer Rechtsabteilung.

Unser Schwerpunkt ist die technische Seite: IKT-Risikomanagement, Tests der digitalen Resilienz und technische Anforderungen an IKT-Dienstleister. Teil unseres Cyber-Security-Portfolios.

Säulen der Verordnung

TLPT

bedrohungsgeleitete Penetrationstests (Säule 3)

4 h

Erstmeldung nach Klassifizierung

DORA Readiness anfragen →

Wer betroffen ist und was jetzt gilt

DORA (Digital Operational Resilience Act) gilt unmittelbar in allen Mitgliedstaaten, ohne nationales Umsetzungsgesetz. Erfasst sind nahezu alle beaufsichtigten Finanzunternehmen, darunter Banken und Sparkassen, Versicherer, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Kapitalverwaltungsgesellschaften und Anbieter von Kryptowerte-Dienstleistungen. Hinzu kommen IKT-Drittdienstleister, die für den Finanzsektor arbeiten, und die als kritisch eingestuften Anbieter unterliegen sogar einer eigenen europäischen Überwachung.

Der praktische Druck entsteht selten bei der Frage, ob man betroffen ist, sondern bei den Nachweisen: Das Informationsregister muss geliefert werden, Resilienztests müssen geplant und belegt sein, und für kritische oder wichtige Funktionen fehlen oft technisch belastbare Ausstiegspläne. Wir setzen auf der technischen Seite an: Bestandsaufnahme der IKT-Dienstleistungen, Testplanung und technische Ausstiegspläne.

Hinweis: Diese Seite gibt einen Überblick und ersetzt keine Rechtsberatung. Es geht bei unserer Leistung ausschließlich um technische und organisatorische Aspekte; eine rechtliche oder aufsichtsrechtliche Prüfung ist nicht Teil unserer Leistung. Aufsichtsrechtliche Einzelfragen klären Sie mit Ihrer Rechtsabteilung oder Ihrem Fachanwalt.

Die fuenf Saeulen von DORA mit Fokus auf Saeule vier, dem IKT-Drittparteienrisiko: Informationsregister, technische Anforderungen an Dienstleister, kritische Funktionen und Ausstiegsstrategien — Beim IKT-Drittparteienrisiko trennt sich Papier von Praxis.

Die fünf Säulen aus IT-Sicht

Für jede Säule bewerten wir den technischen und organisatorischen Reifegrad, benennen technische Lücken und eine Priorität.

1 · IKT-Risikomanagement
Rahmenwerk mit Rollen, Asset-Inventar, Schutzbedarf und technischen Schutzmaßnahmen wie Zugriffskontrolle, Protokollierung, Backup und Wiederherstellung, verantwortet von der Geschäftsleitung.

2 · Behandlung und Meldung von Vorfällen
Klassifizierung schwerwiegender IKT-Vorfälle und die Meldestrecke an die Aufsicht mit Erst-, Zwischen- und Abschlussmeldung.

3 · Testen der digitalen Resilienz
Regelmäßiges Testprogramm von Schwachstellenscans über Szenario- und Wiederherstellungstests bis hin zu bedrohungsgeleiteten Penetrationstests (TLPT) für Institute, die dazu verpflichtet sind.

4 · IKT-Drittparteienrisiko
Informationsregister, technische Anforderungen an Dienstleister, Konzentrationsrisiken und Ausstiegspläne aus IT-Sicht.

5 · Informationsaustausch
Freiwilliger Austausch zu Bedrohungen und Erkenntnissen, mit klaren Regeln, welche Informationen geteilt werden.

Wo DORA auf Ihre IT trifft

Hier setzen wir technisch an: bei Resilienztests, Informationsregister und klaren technischen Anforderungen an Dienstleister. Die vertragliche Umsetzung liegt bei Ihrer Rechtsabteilung.

Technische Anforderungen an Dienstleister
Technische Leistungsbeschreibung, technische Angaben zu Standorten der Datenverarbeitung und Unterauftragnehmern, technische Anforderungen an die Unterstützung beim Ausstieg.

Informationsregister
Aufbau und Pflege des Informationsregisters als technisches Verzeichnis aller IKT-Dienstleistungen, in der vorgegebenen Datenstruktur und mit klaren Zuständigkeiten.

Abhängigkeiten kritischer Prozesse
Welche IT-Dienste welche Geschäftsprozesse tragen, zeigen wir technisch auf. Die aufsichtsrechtliche Einstufung kritischer oder wichtiger Funktionen trifft Ihr Haus.

Exit-Planung aus IT-Sicht
Technische Exit-Pläne statt Absichtserklärung: Datenformate und Datenrückgabe, Übergang auf einen anderen Dienst, Alternativen und ein realistischer Zeitplan.

Technische Anforderungen im Leistungsverzeichnis
Technische DORA-Anforderungen ins Leistungsverzeichnis übersetzen, damit Anbieter schon im Angebot technisch beschreiben, wie sie sie erfüllen. Eignungs- und Zuschlagskriterien legt Ihre Vergabestelle fest.

Tests der digitalen Resilienz
Wir planen das Testprogramm, von Schwachstellenscans über Szenario- und Wiederherstellungstests bis zur technischen Vorbereitung von TLPT, und koordinieren die Dienstleister, die die Tests durchführen.

Unser Vorgehen: 4 Phasen

Phase 1 · Standortbestimmung
Technischer und organisatorischer Reifegrad je Säule. Ergebnis ist eine ehrliche Karte des Ist-Zustands, kein Fragebogen zum Abhaken. Ob und in welchem Umfang DORA für Sie gilt, klärt Ihre Rechtsabteilung.

Phase 2 · Dienstleister- und Registeranalyse
Technische Bestandsaufnahme der IKT-Dienstleistungen und ihrer Abhängigkeiten, Aufbau oder Pflege des Informationsregisters als technisches Verzeichnis. Die Prüfung der Verträge liegt bei Ihrer Rechtsabteilung.

Phase 3 · Fahrplan
Priorisierte Maßnahmen mit Aufwand, Verantwortlichkeit und Budgetindikation, abgestimmt auf Ihre Aufsichts- und Prüftermine.

Phase 4 · Umsetzung und Begleitung
Auf Wunsch begleiten wir die technische Umsetzung und die Resilienztests, liefern technische Leistungsbeschreibungen für Ausschreibungen und steuern den Aufbau der Prozesse als unabhängiges PMO.

Typische Lücken, die wir immer wieder finden

Das Informationsregister existiert als Excel-Liste, aber niemand pflegt es nach Änderungen an den IKT-Dienstleistungen.
Die Zuordnung der IT-Dienste zu kritischen oder wichtigen Funktionen fehlt oder wurde einmalig erstellt und nie aktualisiert.
Ausstiegsstrategien beschreiben den Wunsch, nicht den Weg: keine Datenformate, keine Fristen, keine Alternative.
Unterauftragsverhältnisse der Dienstleister sind unbekannt, damit auch die Konzentrationsrisiken.
Die Meldestrecke für schwerwiegende Vorfälle ist beschrieben, aber nie geübt worden.
Neue Ausschreibungen enthalten keine technischen Resilienzanforderungen an den Dienstleister, sodass das nächste Problem gerade eingekauft wird.

Für wen wir DORA Readiness machen

Finanzunternehmen
Banken, Sparkassen, Versicherer, Zahlungsinstitute und Kapitalverwaltungsgesellschaften, die Nachweise gegenüber der Aufsicht liefern müssen.

IKT-Dienstleister des Finanzsektors
Anbieter, die gegenüber Finanzkunden ihre technische Resilienz und Ausstiegsfähigkeit belegen müssen.

Einkauf und Vergabestellen
Teams, die IKT-Leistungen beschaffen und dafür die technischen DORA-Anforderungen im Leistungsverzeichnis beschreiben wollen.

Häufige Fragen zu DORA

Seit wann gilt DORA und gibt es Übergangsfristen?

Die Verordnung gilt seit dem 17. Januar 2025 unmittelbar in allen EU-Mitgliedstaaten. Eine allgemeine Übergangsfrist gibt es nicht. In der Praxis arbeiten viele Häuser die Umsetzung priorisiert ab, beginnend bei den Dienstleistungen, die kritische oder wichtige Funktionen unterstützen.

Was ist der Unterschied zwischen DORA und NIS2?

DORA ist eine Verordnung speziell für den Finanzsektor und geht für diesen als spezielleres Recht vor. NIS2 ist eine Richtlinie mit breiterem Anwendungsbereich, die in nationales Recht umgesetzt wird. Inhaltlich überschneiden sich beide bei Risikomanagement, Vorfallsmeldung und Lieferkette, DORA ist beim Drittparteienrisiko und beim Testen jedoch deutlich detaillierter. Wenn Sie beide Themen haben, verbinden wir die technischen Maßnahmen, statt zwei getrennte Projekte zu fahren. Siehe auch unser NIS2 Gap Assessment.

Was steht im Informationsregister?

Das Register erfasst alle vertraglichen Vereinbarungen über IKT-Dienstleistungen, unter anderem Vertragspartner, Art der Leistung, Zuordnung zu kritischen oder wichtigen Funktionen, Standorte der Datenverarbeitung und Unterauftragnehmer. Es wird der Aufsicht in einer vorgegebenen Struktur zur Verfügung gestellt und muss aktuell gehalten werden.

Wir sind IKT-Dienstleister und keine Bank. Betrifft uns DORA?

Mittelbar über Ihre Kunden: Finanzunternehmen müssen ihr IKT-Drittparteienrisiko steuern und geben technische Anforderungen, etwa zu Meldewegen, Resilienztests und Unterstützung beim Ausstieg, an ihre Dienstleister weiter. Wer das technisch belegen kann, ist in Ausschreibungen besser vorbereitet. Für als kritisch eingestufte Anbieter kommt eine direkte europäische Überwachung hinzu. Ob und wie DORA für Ihr Haus gilt, klären Sie mit Ihrer Rechtsberatung.

Wie lange dauert eine DORA Readiness und was kostet sie?

Die technische Standortbestimmung mit Dienstleister- und Registeranalyse ist ein Kompaktformat von wenigen Personentagen, abhängig von der Zahl der IKT-Dienstleistungen. Den Aufwand schätzen wir im kostenfreien Erstgespräch, danach erhalten Sie ein Festpreisangebot. Die anschließende Umsetzung buchen Sie modular.

Ist das eine Rechtsberatung?

Nein. Wir liefern technische Zuarbeit. Rechtliche Bewertungen, Vertragsprüfung und Vertragsgestaltung übernehmen Ihre Rechtsabteilung oder Ihre Anwälte. Auch die aufsichtsrechtliche Auslegung im Einzelfall liegt dort.