DORA (Digital Operational Resilience Act) ist die EU-Verordnung zur digitalen operationellen Resilienz im Finanzsektor. Sie verpflichtet Finanzunternehmen und kritische IT-Drittanbieter zu IKT-Risikomanagement, Vorfallsmeldung, Resilienztests und Lieferantensteuerung.
Definition
DORA (Verordnung (EU) 2022/2554) gilt seit Januar 2025 und stellt die digitale Widerstandsfähigkeit des Finanzsektors sicher. Betroffen sind Banken, Versicherer, Wertpapierfirmen, Zahlungsdienstleister und auch IT-Drittanbieter. Die Verordnung verlangt ein IKT-Risikomanagement, die Klassifizierung und Meldung schwerwiegender Vorfälle, regelmäßige Tests der digitalen Resilienz (bis hin zu Threat-Led Penetration Tests) sowie die Steuerung von IKT-Drittanbieter-Risiken. Kritische IT-Drittanbieter unterliegen direkt der EU-Aufsicht. DORA ist faktisch das NIS2-Pendant für den regulierten Finanzsektor, mit spezifischeren und strengeren Anforderungen. Für betroffene Unternehmen bedeutet DORA die systematische Dokumentation von IKT-Prozessen, Verträgen und Abhängigkeiten.
Praxisbezug
Ein IT-Dienstleister, der für Banken arbeitet, wird als IKT-Drittanbieter von DORA erfasst. Er dokumentiert seine IKT-Prozesse, schließt die geforderten Vertragsklauseln mit seinen Kunden ab und führt regelmäßige Resilienztests durch, um die Anforderungen seiner Finanzkunden zu erfüllen.
Normbezug
Verordnung (EU) 2022/2554 (DORA)