Kurzdefinition: DORA (Digital Operational Resilience Act, VO (EU) 2022/2554) ist die EU-Verordnung über die digitale operationale Resilienz im Finanzsektor. Sie legt einheitliche Anforderungen an IKT-Risikomanagement, Vorfallmeldung, Resilienztests und das Management von IKT-Drittparteienrisiken fest. [N-DORA-2]
Der Normwortlaut
Art. 1 DORA legt „einheitliche Anforderungen für die Sicherheit von Netzwerk- und Informationssystemen, die die Geschäftsprozesse von Finanzunternehmen unterstützen“ fest — darunter Anforderungen an das IKT-Risikomanagement, die Behandlung IKT-bezogener Vorfälle, das Testen der digitalen operationalen Resilienz und das Management des IKT-Drittparteienrisikos. Art. 2 bestimmt den Anwendungsbereich. [N-DORA-2]
Was regelt DORA?
Digitale Widerstandsfähigkeit im Finanzsektor. DORA schafft einen einheitlichen Rahmen, damit Finanzunternehmen IKT-Störungen und -Angriffe überstehen — von der Governance über Tests bis zum Umgang mit IT-Dienstleistern. [N-DORA-2]
Für wen gilt DORA?
Für Finanzunternehmen. Art. 2 DORA erfasst Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Versicherungs- und Rückversicherungsunternehmen, Krypto-Dienstleister und weitere — sowie IKT-Drittdienstleister. [N-DORA-2]
Was sind die Kernpflichten?
Vier Säulen. IKT-Risikomanagementrahmen, Behandlung und Meldung IKT-bezogener Vorfälle, Testen der digitalen operationalen Resilienz (bis hin zu TLPT) und Management des IKT-Drittparteienrisikos einschließlich Informationsregister und Vertragsanforderungen. [N-DORA-2]
Wie verhält sich DORA zum BSIG?
DORA ist spezielleres Recht. Für erfasste Finanzunternehmen tritt das BSIG nach § 28 Abs. 6 BSIG hinsichtlich bestimmter Pflichten zurück; stattdessen gelten die DORA-Pflichten. Die Abgrenzung in gemischten Konzernen ist zu prüfen. [N-DORA-2]
Häufige Fehlannahmen
- „DORA ist eine Empfehlung.“ Nein. Es ist eine unmittelbar geltende EU-Verordnung. [N-DORA-2]
- „DORA gilt für alle Unternehmen.“ Nein. Nur für Finanzunternehmen und IKT-Drittdienstleister nach Art. 2. [N-DORA-2]
- „DORA und BSIG gelten kumulativ voll.“ Nicht pauschal. Für erfasste Pflichten kann DORA im geregelten Umfang gegenüber BSIG-Pflichten vorgehen; nicht erfasste Pflichten bleiben gesondert zu prüfen. [N-DORA-2]
- „DORA betrifft nur große Banken.“ Nein. Auch kleinere Finanzunternehmen können erfasst sein. [N-DORA-2]
- „IT-Dienstleister sind nicht betroffen.“ Doch. IKT-Drittdienstleister fallen in den Rahmen. [N-DORA-2]
Was die Geschäftsleitung tun sollte
- Betroffenheit klären. Prüfen, ob das Unternehmen unter Art. 2 DORA fällt.
- Vier Säulen aufbauen. Risikomanagement, Meldung, Tests, Drittparteienrisiko.
- Verträge anpassen. IKT-Verträge an die DORA-Anforderungen anpassen.
- Abgrenzen. Verhältnis zu BSIG/BSI klären.
Für die Geschäftsleitung
DORA macht digitale Widerstandsfähigkeit im Finanzsektor zur Pflicht — mit vier Säulen von der Governance bis zum Drittparteienrisiko. Wer erfasst ist, sollte früh klären, welche Pflichten DORA und welche das BSIG bestimmen.
Quellen
- [N-DORA-2] Art. 2 DORA (VO (EU) 2022/2554, Anwendungsbereich); Art. 1 (Gegenstand). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554
