Mit der DORA-Verordnung zieht die EU klare Grenzen: Finanzinstitute müssen IT-Risiken künftig genauso managen wie klassische operationale Risiken. Was bedeutet das konkret für Banken, Versicherungen und IT-Dienstleister im Finanzwesen?
Was ist die DORA-Verordnung?
Die Verordnung über digitale operationale Resilienz im Finanzsektor – kurz DORA (Digital Operational Resilience Act) – wurde am 27. Dezember 2022 im Amtsblatt der Europäischen Union veröffentlicht und tritt am 17. Januar 2025 in Kraft. Ziel ist es, ein einheitliches regulatorisches Rahmenwerk zu schaffen, das sicherstellt, dass Finanzdienstleister in der EU Cyberrisiken aktiv und systematisch begegnen. Besonders relevant ist, dass DORA erstmals auch sogenannte ICT-Drittanbieter (Information and Communication Technology) reguliert, also z. B. Cloud-Dienste.
DORA gilt verbindlich für mehr als 20 Arten von Finanzunternehmen, darunter Kreditinstitute, Zahlungsdienstleister, Wertpapierfirmen, Versicherer und auch Krypto-Dienstleister. Nicht zuletzt umfasst sie auch kritische ICT-Dienstleister wie AWS, Microsoft Azure oder Google Cloud, sofern sie als systemrelevant angesehen werden.
Kernanforderungen an die digitale Resilienz
DORA definiert fünf zentrale Handlungsbereiche, in denen Unternehmen digitale Resilienz aufbauen müssen:
- ICT-Risikomanagement: Aufbau belastbarer Prozesse zur Identifikation, Bewertung und Steuerung von ICT-Risiken.
- ICT-Vorfallerkennung und -meldung: Verpflichtende Meldung signifikanter Sicherheitsvorfälle an Aufsichtsbehörden innerhalb von 24 Stunden.
- Digitale Resilienztests: Durchführung regelmäßiger Penetrationstests, insbesondere durch Threat-Led Penetration Testing (TLPT).
- Drittparteienmanagement: Strengere Anforderungen an Verträge, Risikobewertungen und Exit-Strategien für ICT-Dienstleister.
- Informationsaustausch und Zusammenarbeit: Förderung des sektorübergreifenden Austausches über Cyberbedrohungen.
Diese Anforderungen bedeuten insbesondere für mittelgroße Finanzunternehmen und FinTechs eine massive Umstellung ihrer Prozesse – organisatorisch wie technologisch.
Auswirkungen auf die IT-Infrastruktur
Mit DORA rückt die gesamte IT-Infrastruktur von Finanzdienstleistern in den Mittelpunkt der Compliance. Unternehmen müssen technische und organisatorische Lösungen implementieren, die sowohl auditiert als auch gegenüber Aufsichtsbehörden nachgewiesen werden können. Besonders im Fokus stehen dabei Themen wie Netzwerksicherheit, Verschlüsselung, Zugriffsmanagement und Business Continuity.
Laut dem ENISA Threat Landscape Report 2023 waren 20 Prozent der registrierten Cyberattacken im Finanzsektor durch Angriffe auf Drittanbieter bedingt. Solche Vorfälle würde DORA künftig strenger ahnden – sowohl in Richtung der beauftragenden Institute als auch der Provider.
Finanzdienstleister müssen daher sicherstellen, dass ihre IT-Landschaften den Prinzipien von Security-by-Design, Monitoring-by-Default und Incident Response folgen. Besonders bei Cloud-Infrastrukturen ist ein durchgängiges Verständnis über Verantwortlichkeiten und technische Kontrollen unerlässlich.
Drittanbieter im Visier der Regulierung
Ein Novum: DORA ermächtigt die EU-Aufsichtsbehörden (z. B. EBA, ESMA, EIOPA), direkte Kontrollen bei als „kritisch“ eingestuften ICT-Dienstleistern durchzuführen. Damit muss sich etwa ein großer Cloud-Provider, der Infrastrukturen für viele Finanzinstitute betreibt, künftig selbst auf Cyber-Compliance einstellen. Die Abhängigkeit zentraler Systeme von wenigen Anbietern – häufig als „Cloud-Konzentrationsrisiko“ bezeichnet – wird regulatorisch adressiert.
Für Finanzunternehmen resultiert daraus eine weitere Herausforderung: Sie müssen Exit-Strategien entwickeln, mit denen sie auch im Falle eines Ausfalls oder regulatorischen Problems eines Providers betriebsfähig bleiben.
In der Praxis bedeutet das: Redundante Systeme, Interoperabilitätsstandards und regelmäßige Notfalltests werden zur Pflicht.
Chancen durch DORA: Sicherheit und Wettbewerbsfähigkeit
So anspruchsvoll die Umsetzung von DORA auch ist – sie bringt auch klare Vorteile. Finanzdienstleister, die ihre Prozesse systematisch nach DORA ausrichten, bauen strukturelle Resilienz auf und erhöhen damit ihre operative Leistungsfähigkeit und Sicherheit. Gleichzeitig steigen Marktchancen durch ein gestärktes Vertrauen von Kund:innen und Investoren.
Eine Studie von Deloitte (2024) zeigt: 68 % der Finanzunternehmen in der EU sehen in DORA neben regulatorischem Aufwand vor allem einen Wettbewerbsvorteil durch klare Sicherheitsprofile und höhere Transparenz.
Auch Spezialanbieter im Bereich Cybersecurity und Hosting profitieren: Laut IDC stieg der europäische Markt für Security Operations Center (SOCs) allein 2023 um 19 %, was unter anderem auf verstärkte regulatorische Anforderungen zurückzuführen ist.
Handlungsempfehlungen für die Umsetzung
Für betroffene Unternehmen empfiehlt sich eine frühzeitige und strategisch geplante Implementierung der DORA-Anforderungen. Die folgenden Schritte helfen dabei, regulatorisch und technologisch vorbereitet zu sein:
- Interne Gap-Analyse durchführen: Messen Sie bestehende Strukturen und Prozesse an den Anforderungen von DORA, insbesondere in den Bereichen ICT-Risikomanagement und Vorfallreaktion.
- Starke Governance-Strukturen etablieren: Setzen Sie klare Verantwortlichkeiten und eskalationsfähige Entscheidungswege – idealerweise mit einem dedizierten Chief Information Security Officer (CISO).
- Drittanbieter-Verträge prüfen: Überarbeiten Sie bestehende Auslagerungsverträge. Achten Sie dabei auf Notfallmaßnahmen, Zugriffskontrollen und Berichtspflichten.
Zusätzlich sollten Unternehmen in Schulungen für Mitarbeitende investieren, um ein Bewusstsein für neue Vorfallmeldungen und Risiken zu schärfen. Auch der Aufbau eines funktionsfähigen Security Operation Center (SOC) wird zunehmend zur Mindestanforderung.
Ausblick: Einheitlicher europäischer Cyber-Standard
DORA ist ein wesentlicher Schritt in Richtung eines einheitlichen europäischen Cyber-Rahmens für den Finanzsektor. Neben anderen Initiativen wie dem EU Cyber Resilience Act und NIS-2 wird hier immer deutlicher: Cybersicherheit ist kein IT-Thema mehr, sondern Managementverantwortung.
Die Frist zur Umsetzung läuft am 17. Januar 2025 ab. Bis dahin sollten sich Finanzinstitute nicht nur an die Buchstaben der Verordnung halten, sondern daraus auch strategische Innovationschancen ableiten.
Welche Erfahrungen machen Sie bei der Umsetzung der DORA-Anforderungen? Teilen Sie Ihre Perspektiven und Herausforderungen in den Kommentaren – und lassen Sie uns die digitale Resilienz gemeinsam gestalten.
