Informationssicherheit
DORA
Digital Operational Resilience Act (DORA)
DORA ist die Verordnung der Europäischen Union, die gemeinsame Regeln für die digitale operative Resilienz des Finanzsektors festlegt. Wir helfen Ihnen, die Lücken in den Bereichen IKT-Risiko, Vorfallmeldung, Tests und Überwachung von Drittanbietern zu schließen und die Einhaltung nachzuweisen.
Was DORA ist
Der Digital Operational Resilience Act ist ein Gesetz der Europäischen Union, das von Finanzunternehmen verlangt, IKT-bezogenen Störungen standzuhalten, auf sie zu reagieren und sich von ihnen zu erholen. Er führt das IKT-Risikomanagement, die Klassifizierung und Meldung von Vorfällen, das Testen der operativen Resilienz sowie die Überwachung von IKT-Drittdienstleistern unter einem harmonisierten Rahmenwerk zusammen.
DORA ist eine Verordnung, deren Einhaltung Sie nachweisen und die von den zuständigen Finanzbehörden beaufsichtigt wird, und keine Norm, gegen die eine akkreditierte Stelle Sie zertifiziert. Ihre Pflichten gelten für ein breites Spektrum von Finanzunternehmen und erreichen über vertragliche und aufsichtsrechtliche Bestimmungen auch die IKT-Anbieter, die sie bedienen.
Die fünf Säulen von DORA
Säule 1 · IKT-Risikomanagement
Finanzunternehmen müssen ein gesteuertes Rahmenwerk aus Strategien, Richtlinien und Werkzeugen unterhalten, um IKT-Risiken zu erkennen, sich davor zu schützen und sich davon zu erholen, wobei die letztendliche Verantwortung beim Leitungsorgan liegt.
Säule 2 · Vorfallmeldung
Schwerwiegende IKT-bezogene Vorfälle müssen anhand definierter Kriterien klassifiziert und der zuständigen Behörde über Erst-, Zwischen- und Abschlussmeldungen innerhalb festgelegter Fristen gemeldet werden.
Säule 3 · Testen der digitalen operativen Resilienz
Unternehmen müssen ein verhältnismäßiges Testprogramm durchführen, und die bedeutendsten unter ihnen müssen mindestens alle drei Jahre bedrohungsgeleitete Penetrationstests durchführen.
Säule 4 · Management des IKT-Drittanbieterrisikos
Verträge mit IKT-Dienstleistern müssen vorgeschriebene Bedingungen erfüllen, in einem Informationsregister erfasst werden, und kritische Anbieter unterliegen einem eigenen europäischen Überwachungsregime.
Säule 5 · Informationsaustausch
Die Verordnung ermöglicht es Finanzunternehmen, auf freiwilliger Basis Cyber-Bedrohungsinformationen und Indikatoren innerhalb vertrauenswürdiger Gemeinschaften auszutauschen.
Technische Standards · RTS und ITS
Die übergeordneten Pflichten werden durch technische Regulierungs- und Durchführungsstandards, die von den Europäischen Aufsichtsbehörden entwickelt werden, operativ konkretisiert.
Wer es braucht
- Banken, Versicherer, Wertpapierfirmen und andere regulierte Finanzunternehmen, die in der EU tätig sind
- Anbieter von Zahlungs-, E-Geld- und Krypto-Dienstleistungen im Anwendungsbereich der EU-Finanzvorschriften
- IKT-Drittdienstleister, deren Dienste Finanzunternehmen in der EU unterstützen
Was Sie erhalten
- Eine Lückenanalyse und ein priorisierter Fahrplan gegen die DORA-Anforderungen
- Ein IKT-Risikomanagement-Rahmenwerk mit Prozessen zur Klassifizierung und Meldung von Vorfällen
- Ein Register der IKT-Drittanbietervereinbarungen und ein Programm für Resilienztests
- Ein Nachweispaket zur Einhaltung und Bereitschaft für den Austausch mit der Aufsicht
Die Zeitpläne hängen davon ab, wie DORA auf Sie zutrifft, wie ausgereift Ihre IKT-Risiko- und Drittanbietervereinbarungen sind und wie groß Ihre Systemlandschaft ist. Wir ermitteln den Umfang ehrlich im Voraus, anstatt eine feste Anzahl von Wochen zu versprechen.
Aktuelle Version
DORA trat im Januar 2023 in Kraft und wird seit dem 17. Januar 2025 vollständig angewendet, sodass von den Finanzunternehmen im Anwendungsbereich und ihren IKT-Anbietern nun erwartet wird, die Pflichten zu erfüllen, statt sich auf sie vorzubereiten. Die detaillierten Anforderungen werden weiterhin durch technische Regulierungs- und Durchführungsstandards sowie durch aufsichtsrechtliche Leitlinien der Europäischen Aufsichtsbehörden ausgestaltet, von denen mehrere rund um und nach dem Anwendungsdatum finalisiert wurden. Die praktische Übergangsaufgabe besteht darin, Ihr Rahmenwerk, Ihr Informationsregister und Ihre Vorfallprozesse abgestimmt zu halten, während sich diese Standards festigen und die zuständigen Behörden ihre Erwartungen präzisieren.
Was es kostet
DORA ist eine Verordnung, deren Einhaltung Sie gegenüber Ihrer Aufsichtsbehörde nachweisen, und keine Norm mit einem käuflichen Zertifikat, sodass keine akkreditierte Zertifizierungsgebühr damit verbunden ist. Die Kosten, die daneben anfallen, sind unser im Umfang festgelegtes Beratungs- und Umsetzungshonorar, das wir im Voraus angeben, sobald wir Ihre Größe, Ihren Umfang und Ihren Ausgangspunkt verstehen, sowie jede unabhängige Leistung, die Sie hinzufügen möchten, etwa ein bedrohungsgeleiteter oder technischer Resilienztest, ein externes Audit oder rechtliche und fachliche Beratung dazu, wie die Pflichten auf Sie zutreffen. tr3labs ist niemals Ihr Zertifizierer, Prüfer oder Regulierer. Wir legen den Arbeitsumfang gemeinsam mit Ihnen fest, statt blind zu kalkulieren.
Wie tr3labs Sie dorthin bringt
Anwendungsbereichs- und Lückenanalyse
Wir bestätigen, wie DORA auf Sie zutrifft, gleichen Ihr aktuelles IKT-Risikomanagement sowie Ihre Vorfall-, Test- und Drittanbietervereinbarungen mit den Anforderungen ab und übergeben Ihnen einen priorisierten Fahrplan.
Das Rahmenwerk aufbauen
Wir unterstützen Sie bei der Umsetzung des IKT-Risikomanagement-Rahmenwerks, der Prozesse zur Klassifizierung und Meldung von Vorfällen sowie der Anforderungen an das Drittanbieterrisiko und das Informationsregister, die die Verordnung vorsieht.
Resilienztests und Nachweise
Wir bringen Sicherheitstests und Prüfungen ein, um Ihr Programm zum Testen der operativen Resilienz zu unterstützen, und stellen die Nachweise zusammen, die zeigen, dass das Rahmenwerk wirksam ist.
Bereitschaft und aufsichtsrechtliche Unterstützung
Wir bereiten Sie darauf vor, Ihrer Aufsichtsbehörde die Einhaltung nachzuweisen, und halten das Rahmenwerk aktuell, während sich die technischen Standards unter DORA weiterentwickeln.
DORA und ISO 27001 im Vergleich
Beide befassen sich mit IKT- und Informationssicherheitsrisiken, daher nehmen Unternehmen oft an, dass die Erfüllung des einen das andere abdeckt.
| DORA | ISO 27001 | |
|---|---|---|
| Deckt ab | Digitale operative Resilienz von EU-Finanzunternehmen | Informationssicherheitsmanagement für jede Organisation |
| Wer es verlangt | EU-Finanzregulierer und Aufsichtsbehörden | Kunden, Partner und Beschaffungsteams |
| Grundidee | Eine gesetzliche Pflicht über fünf Resilienzsäulen hinweg | Eine zertifizierbare Managementsystem-Norm |
| Prüfmodell | Aufsichtsrechtliche Überwachung, kein Zertifikat | Unabhängige akkreditierte Zertifizierungsstelle |
| Reichweite | Finanzunternehmen und ihre IKT-Drittanbieter | Jede Organisation, freiwillige Einführung |
| Oft gehalten mit | ISO 27001 als Kontrollbasis | DORA, NIS2 und Branchenvorschriften |
DORA FAQ
- Gilt DORA auch für IKT-Anbieter und nicht nur für Finanzunternehmen?
- Ja. DORA legt direkte Pflichten für Finanzunternehmen fest und erreicht IKT-Drittdienstleister über vertragliche Anforderungen, und kritische Anbieter können einem eigenen Überwachungsregime unterliegen. Wir helfen Ihnen während der Umfangsbestimmung zu klären, wie es auf Sie zutrifft.
- Ist DORA eine Zertifizierung?
- Nein. Es ist eine EU-Verordnung, deren Einhaltung Sie gegenüber Ihrer Aufsichtsbehörde nachweisen, und keine zertifizierbare Norm. Wir bauen das Rahmenwerk und die Nachweise auf und bereiten Sie auf den Austausch mit der Aufsicht vor.
- Wie verhält sich DORA zu ISO 27001?
- Ein ausgereiftes Informationssicherheits-Managementsystem gibt Ihnen eine solide Grundlage, doch DORA fügt spezifische Pflichten zur Vorfallmeldung, zu Resilienztests und zur Überwachung von IKT-Drittanbietern hinzu. Wir gleichen ab, was Sie bereits haben, und schließen die DORA-spezifischen Lücken.
Verwandte Standards
Weiterführende Artikel
Die OWASP LLM Top 10, erklärt: Ein verständlicher Leitfaden für Teams, die KI-Funktionen ausliefern
Ein klarer, praxisnaher Durchgang durch die OWASP Top 10 der Risiken für Anwendungen mit großen Sprachmodellen, mit einer verständlichen Beschreibung und einer konkreten Gegenmaßnahme für jedes Risiko, gerichtet an Teams, die zum ersten Mal KI-Funktionen hinzufügen.
9 Min. Lesezeit
Wie Sie einen Penetrationstest-Bericht (VAPT) lesen: ein verständlicher Leitfaden für Teams
Eine praxisnahe Erläuterung, was in einen Penetrationstest-Bericht gehört, Abschnitt für Abschnitt, damit Gründerinnen und Gründer sowie Engineering-Teams ihn souverän lesen und auf seiner Grundlage handeln können.
8 Min. Lesezeit
SOC 2 vs. ISO 27001: ein ehrlicher Vergleich als Entscheidungshilfe
Ein verständlicher Leitfaden zu den tatsächlichen Unterschieden zwischen SOC 2 und ISO 27001: was jeder Standard ist, wer welchen verlangt, wie die Prüfungen ablaufen, was Sie am Ende in der Hand halten und ob Sie beides machen sollten.
8 Min. Lesezeit