DORA Digitale Resilienz im Finanzsektor

DORA ist seit dem 17. Januar 2025 anzuwenden. Als EU-Verordnung gilt sie unmittelbar in allen Mitgliedstaaten, ohne dass ein nationales Umsetzungsgesetz erforderlich ist. Eine Übergangsfrist gibt es nicht: Die Anforderungen an IKT-Risikomanagement, Vorfallmeldung und Resilienztests sind für betroffene Finanzunternehmen bereits verbindlich.

DORA ruht auf fünf Säulen: dem IKT-Risikomanagement, der Behandlung und Meldung IKT-bezogener Vorfälle, dem Testen der digitalen operationalen Resilienz, dem Management des Risikos durch IKT-Drittdienstleister sowie dem freiwilligen Austausch von Informationen über Cyberbedrohungen. Penetrationstests und TLPT gehören zur dritten Säule und liefern zugleich Belege für die erste.

DORA gilt für rund zwanzig Arten von Finanzunternehmen: Banken, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Versicherer und Rückversicherer, Versicherungsvermittler, Kapitalverwaltungsgesellschaften, Handelsplätze, Krypto-Dienstleister, Ratingagenturen und weitere. Hinzu kommen IKT-Drittdienstleister, die für Finanzunternehmen kritische Leistungen erbringen. Kleinstunternehmen unterliegen einem vereinfachten Rahmen, sind aber nicht ausgenommen.

TLPT ist ein bedrohungsorientierter Penetrationstest, der reale Angreifer und aktuelle Bedrohungsszenarien nachstellt. Bedeutende Finanzunternehmen müssen TLPT mindestens alle drei Jahre durchführen – methodisch angelehnt an den europäischen TIBER-EU-Rahmen.

DORA folgt dem Proportionalitätsprinzip: Umfang und Tiefe der Anforderungen richten sich nach Größe, Risikoprofil und Bedeutung des Unternehmens. TLPT ist nur für bedeutende Institute verpflichtend, regelmäßige Penetrationstests und Schwachstellenanalysen betreffen jedoch nahezu alle.

Ja. DORA bezieht kritische IKT-Drittdienstleister ausdrücklich ein. Finanzunternehmen müssen das Drittparteienrisiko aktiv steuern, und kritische Anbieter unterliegen einer direkten europäischen Aufsicht.

Wir übernehmen die technische Säule: Penetrationstests, TLPT-nahe Angriffssimulationen und Schwachstellenanalysen samt aufsichtskonformer Berichte. Damit weisen Sie die geforderte Resilienz Ihrer Systeme nach. Unsere Tester arbeiten mit OSCP-, OSWE- und CEH-Zertifizierung und haben über 500 Penetrationstests durchgeführt, remote oder vor Ort bei Ihnen.

Das Testprogramm nach Art. 24 und 25 muss mindestens jährlich alle kritischen IKT-Systeme und -Anwendungen abdecken. Dazu zählen Schwachstellenbewertungen, Netzwerksicherheitstests und Penetrationstests. Bedeutende Finanzunternehmen, die von der Aufsicht dafür bestimmt werden, führen zusätzlich mindestens alle drei Jahre ein Threat-Led Penetration Testing durch.

Zuerst bestimmen wir gemeinsam die kritischen oder wichtigen Funktionen und leiten daraus den Scope ab. Danach testen unsere Pentester Ihre Anwendungen, APIs und Netzwerke manuell, inklusive der Schnittstellen zu IKT-Drittdienstleistern. Jedes Finding ordnen wir der betroffenen Funktion zu, damit sich der Test in Ihr Testprogramm nach Art. 24 und 25 einfügt.

Ein manueller Penetrationstest wird individuell nach Aufwand kalkuliert und liegt meist zwischen 4.000 und 20.000 EUR, je nach Zahl der kritischen Funktionen, Anwendungen und Schnittstellen. Der automatisierte Schwachstellenscan als Einstieg kostet ab 1.499 EUR. Den Aufwand treibt bei Finanzunternehmen vor allem die Zahl der IKT-Drittdienstleister im Prüfumfang, weil jede Schnittstelle nach außen gesondert betrachtet und mit dem Anbieter abgestimmt werden muss.

Die zuständigen Aufsichtsbehörden können Anordnungen treffen, Tätigkeiten einschränken und Sanktionen verhängen; die Höhe richtet sich nach nationalem Recht. Kritische IKT-Drittdienstleister können mit Zwangsgeldern von bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes belegt werden. Hinzu kommen Reputationsschäden und Nachfragen von Kunden und Wirtschaftsprüfern.

Die Aufsicht erwartet nachvollziehbare Belege: Scope und Methodik des Tests, die gefundenen Schwachstellen mit Risikobewertung, die getroffenen Gegenmaßnahmen und den Nachweis der Behebung. Genau so ist unser Bericht aufgebaut - mit Management Summary für die Geschäftsleitung und technischem Teil für Ihre IT, auf Deutsch und Englisch.