DORA-Umsetzung - digitale Resilienz im Finanzsektor, prüffest belegt

DORA gilt als EU-Verordnung seit Januar 2025 unmittelbar in allen Mitgliedstaaten - ohne dass es ein nationales Umsetzungsgesetz braucht und ohne weitere Übergangsfrist.

Möglicherweise mittelbar: Wenn Du Finanzunternehmen IT-Leistungen lieferst, ziehen Dich deren DORA-Pflichten über Verträge und das Drittparteien-Management mit ein. Besonders kritische Anbieter können sogar direkt beaufsichtigt werden. Wir klären Deine konkrete Betroffenheit im Erstgespräch.

IKT-Risikomanagement, Behandlung & Meldung IKT-bezogener Vorfälle, Tests der digitalen operationalen Resilienz (inkl. TLPT), Management des IKT-Drittparteienrisikos und Informationsaustausch.

Threat-Led Penetration Testing - ein bedrohungsgeleiteter Penetrationstest, der ein realistisches Angreiferszenario nachstellt. Er ist für bestimmte, bedeutende Finanzunternehmen verpflichtend und geht deutlich über einen Standard-Pentest hinaus.

Ja, erheblich. Ein bestehendes ISMS deckt Risikomanagement, Asset-Management und Vorfallbehandlung methodisch weitgehend ab. DORA ergänzt vor allem finanzsektor-spezifische Pflichten wie TLPT, das Drittparteien-Register und behördliche Meldewege.

DORA ist die speziellere Regelung für den Finanzsektor und geht dort den IKT-Vorgaben von NIS2 vor. Inhaltlich sind viele Mechaniken verwandt.

Ja. Wir bauen kontinuierliches Monitoring (optional als Managed SOC), richten einen dokumentierten Incident-Response-Prozess mit Meldefristen ein und begleiten Resilienz- und Penetrationstests.

Die Pflichten gelten, der Umfang richtet sich aber nach dem Verhältnismäßigkeitsprinzip: Größe, Risikoprofil und Komplexität der Dienstleistungen bestimmen die Tiefe. Für bestimmte kleine und nicht verflochtene Unternehmen ist ein vereinfachter IKT-Risikomanagementrahmen vorgesehen. Welche Variante für Dich greift, klären wir in der Scope-Klärung, bevor wir Aufwand kalkulieren.

Alle vertraglichen Vereinbarungen über IKT-Dienstleistungen, mit Angaben zu Anbieter und Konzernzugehörigkeit, Art der Leistung, unterstützter Funktion und deren Kritikalität, Standorten der Datenverarbeitung, Vertragsdaten und eingebundenen Unterauftragnehmern. Das Register wird der Aufsicht in einem vorgegebenen Format übermittelt - deshalb ist eine strukturierte, gepflegte Datenbasis wichtiger als ein schön formatiertes Dokument.

Die Einstufung folgt festgelegten Kriterien, unter anderem Zahl der betroffenen Kunden und Transaktionen, Dauer und Ausfallzeit, geografische Ausbreitung, Datenverluste, Kritikalität der betroffenen Dienste und wirtschaftliche Auswirkung. Entscheidend ist, dass diese Schwellen vorab im Prozess hinterlegt sind, sonst diskutierst Du die Einstufung im Ernstfall unter Zeitdruck. Wir hinterlegen die Kriterien im Incident-Prozess und üben die Bewertung durch.

Gemeint sind Funktionen, deren Ausfall die Fortführung Deines Geschäfts, die Einhaltung der Zulassungsvoraussetzungen oder die Solidität Deines Unternehmens wesentlich beeinträchtigen würde. An dieser Einstufung hängen die strengeren Vertragsanforderungen, die Register-Angaben, die Testtiefe und die Pflicht zu Ausstiegsstrategien. Zu großzügig eingestuft explodiert der Aufwand, zu eng eingestuft wird es in der Prüfung angreifbar.

In aller Regel ja. DORA verlangt konkrete Mindestinhalte, unter anderem eine klare Leistungsbeschreibung, die Standorte der Datenverarbeitung, Zugangs-, Prüf- und Auditrechte, Melde- und Mitwirkungspflichten sowie Kündigungsrechte und Unterstützung beim Ausstieg; für Dienstleister kritischer oder wichtiger Funktionen sind die Anforderungen strenger. Wir bewerten die technische Seite und liefern die Fakten zu, die Vertragsgestaltung selbst gehört zu Deiner Rechtsberatung.

Nein. TLPT ist nur für bestimmte, von der Aufsicht benannte bedeutende Finanzunternehmen verpflichtend und läuft in einem eigenen, aufsichtlich begleiteten Rahmen. Alle anderen brauchen ein regelmäßiges Testprogramm aus Schwachstellen-Scans, Penetrationstests, Restore-Tests und Szenario-Übungen. Wir sagen Dir ehrlich, wenn ein TLPT für Dich nicht einschlägig ist, statt Dir eines zu verkaufen.

DORA verlangt nicht nur Pläne, sondern den Nachweis, dass sie funktionieren. Praktisch heißt das: geplante Restore-Tests mit protokolliertem Ergebnis, Tabletop-Übungen für die Krisenorganisation und der Beleg, dass die vereinbarten Wiederanlaufzeiten realistisch sind. Wir fahren die Tests, dokumentieren Abweichungen und leiten die Korrekturen daraus ab - ein Restore, der nur auf dem Papier existiert, ist im Prüfungsfall wertlos.

Die Aufwandstreiber sind die Zahl Deiner IKT-Dienstleister, der Zustand von Incident-Prozess und Register sowie die Testpflichten. Nach der Gap-Analyse bekommst Du einen belastbaren Rahmen statt einer Hausnummer. Auf den Beratungsanteil sind als BAFA-gelisteter Berater bis zu 50 % möglich (Bemessungsgrundlage 3.500 €, Zuschuss also max. 1.750 €; bis zu zwei geförderte Beratungen pro Jahr), den Antrag übernehmen wir.