Zurück zum Wiki
Verordnung (EU) 2022/2554

DORA – Digital Operational Resilience Act

Der Digital Operational Resilience Act (Verordnung (EU) 2022/2554) gilt seit dem 17. Januar 2025 unmittelbar für nahezu den gesamten europäischen Finanzsektor – von Banken und Versicherungen über Wertpapierfirmen bis zu Krypto-Dienstleistern – sowie für kritische IKT-Drittdienstleister.

DORA harmonisiert die Anforderungen an die digitale Betriebsstabilität und ersetzt bzw. ergänzt bestehende Aufsichtsanforderungen wie BAIT und VAIT. Zuständige Aufsicht in Deutschland ist die BaFin.

Rechtsakt
Verordnung (EU) 2022/2554
Anwendbar seit
17. Januar 2025
Aufsicht (DE)
BaFin

Die fünf Säulen von DORA

  • IKT-Risikomanagement (Art. 5–16): Governance, Schutz, Erkennung, Wiederherstellung und Lernen aus Vorfällen.
  • Meldung IKT-bezogener Vorfälle (Art. 17–23): Klassifizierung und fristgebundene Meldung schwerwiegender Vorfälle an die Aufsicht.
  • Testen der digitalen Betriebsstabilität (Art. 24–27): jährliches Testprogramm; für bedeutende Institute bedrohungsorientierte Penetrationstests (TLPT) mindestens alle drei Jahre.
  • IKT-Drittparteienrisiko (Art. 28–44): Vertragsanforderungen, Konzentrationsrisiken, Überwachungsrahmen für kritische Anbieter.
  • Informationsaustausch (Art. 45): freiwilliger Austausch von Cyber-Bedrohungsinformationen.

Resilienz-Tests im Detail

Art. 25 verlangt ein risikobasiertes Testprogramm, das u. a. Schwachstellenscans, Open-Source-Analysen, Netzwerksicherheitsbewertungen, physische Sicherheitsprüfungen, szenariobasierte Tests und Penetrationstests umfasst. Für als bedeutend eingestufte Finanzunternehmen kommen TLPT nach dem TIBER-EU-Rahmenwerk hinzu – durchgeführt auf kritischen Live-Systemen.

So setzen Sie es um

  1. 1

    Anwendbarkeit klären

    Prüfen, unter welche der 21 Finanzunternehmens-Kategorien Ihr Institut fällt und ob Verhältnismäßigkeits-Erleichterungen greifen.

  2. 2

    IKT-Risikorahmen dokumentieren

    Governance, Rollen, Asset-Inventar, Schutzmaßnahmen und Wiederanlaufpläne nach Art. 5–16 aufbauen.

  3. 3

    Vorfalls-Klassifizierung einführen

    Kriterien und Meldeketten für schwerwiegende IKT-Vorfälle gemäß den technischen Standards (RTS) der ESAs umsetzen.

  4. 4

    Testprogramm aufsetzen

    Jährliche Tests aller kritischen Systeme planen – inkl. Penetrationstests und szenariobasierter Übungen (Art. 25).

  5. 5

    Drittparteien-Register führen

    Informationsregister aller IKT-Dienstleister pflegen und Verträge um DORA-Pflichtklauseln (Art. 30) ergänzen.

  6. 6

    TLPT vorbereiten (falls bedeutend)

    Scoping mit der Aufsicht abstimmen und bedrohungsorientierte Tests nach TIBER-Methodik alle 3 Jahre einplanen.

Was droht bei Verstößen?

Die Sanktionen legen die Mitgliedstaaten fest; die BaFin kann Anordnungen, Zwangsgelder und Bußgelder verhängen. Für kritische IKT-Drittdienstleister sieht DORA Zwangsgelder von bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes vor (Art. 35).

Die Rolle des Penetrationstests

DORA macht Penetrationstests explizit zur Pflicht: Art. 24–25 verlangen sie als Teil des jährlichen Testprogramms, Art. 26–27 regeln TLPT für bedeutende Institute. Ein dokumentierter, methodisch sauberer Pentest ist damit direkter Compliance-Baustein.

DORA-Compliance mit Sodu Secure

Offizielle Quellen & Belege

Alle Angaben dieses Artikels stützen sich auf die folgenden Primärquellen (Stand: 2026-07-17).

DORA – Digital Operational Resilience Act – Wiki | Sodu Secure