DORA in fünf Säulen: Was Banken und Versicherer jetzt nachweisen müssen

Seit dem 17. Januar 2025 gilt der Digital Operational Resilience Act unmittelbar in der gesamten EU. Knapp zwei Jahre später hat sich die Frage verschoben. Es geht nicht mehr darum, ob Banken und Versicherer DORA umsetzen, sondern ob sie gegenüber der Aufsicht belegen können, dass ihre Prozesse im Ernstfall tragen. Die Verordnung gliedert sich in fünf Bereiche. Für jeden gilt: Dokumentation allein reicht nicht, gefragt ist Evidenz.

1. IKT-Risikomanagement

Das Leitungsorgan trägt die Verantwortung für den IKT-Risikorahmen. Gefordert ist ein vollständiges Bild der eigenen Angriffsfläche: Systeme, Zugänge, Abhängigkeiten und deren Bedeutung für kritische oder wichtige Funktionen. In der Praxis scheitert das selten an der Methodik, sondern an der Aktualität. Ein Inventar, das einmal im Jahr gepflegt wird, bildet eine Angriffsfläche ab, die sich täglich ändert.

Wo Threat Intelligence hilft

Externe Sicht ergänzt die interne Inventur. Kompromittierte Zugangsdaten von Mitarbeitenden, exponierte Dienste und Angebote von Access Brokern zeigen, welche Risiken nicht nur theoretisch bestehen, sondern bereits gehandelt werden.

2. Behandlung und Meldung von Vorfällen

Schwerwiegende IKT-bezogene Vorfälle müssen in drei Stufen gemeldet werden:

• Erstmeldung: innerhalb von 4 Stunden nach Einstufung als schwerwiegend, spätestens 24 Stunden nachdem der Vorfall bekannt wurde.
• Zwischenbericht: spätestens 72 Stunden nach der Erstmeldung.
• Abschlussbericht: spätestens einen Monat nach dem letzten Zwischenbericht.

Die Einstufungskriterien regelt die Delegierte Verordnung (EU) 2024/1772. Entscheidend ist die Zeit bis zur Einstufung. Wer erst durch eine Leak-Seite oder einen Hinweis von außen von einem Datenabfluss erfährt, beginnt die Analyse unter Zeitdruck und ohne gesicherte Faktenlage.

3. Testen der digitalen operationalen Resilienz

Systeme, die kritische oder wichtige Funktionen unterstützen, sind mindestens einmal jährlich angemessen zu testen. Von der Aufsicht ausgewählte Finanzunternehmen müssen zusätzlich alle drei Jahre einen Threat-Led Penetration Test durchführen. Die Anforderungen dafür konkretisiert die Delegierte Verordnung (EU) 2025/1190. Ein TLPT beginnt mit einer Bedrohungsanalyse, die realistische Angreifer und deren Vorgehen beschreibt. Je präziser diese Grundlage ist, desto aussagekräftiger ist der Test.

4. Management des IKT-Drittparteienrisikos

Alle vertraglichen Vereinbarungen über IKT-Dienstleistungen gehören in das Informationsregister. In Deutschland lief die Einreichung bei der BaFin für 2026 vom 9. bis 30. März, mit Stichtag 31. Dezember 2025. Zugelassen waren nur das xBRL-Format nach ESA-Taxonomie oder die offizielle Excel-Vorlage der BaFin.

Am 18. November 2025 haben die europäischen Aufsichtsbehörden erstmals 19 IKT-Drittanbieter als kritisch eingestuft, darunter die europäischen Gesellschaften von Amazon Web Services, Google Cloud und Microsoft. Diese Anbieter stehen nun unter direkter europäischer Aufsicht. Die Verantwortung für das eigene Drittparteienrisiko bleibt dennoch beim Finanzunternehmen.

Das Register als Ausgangspunkt

Das Informationsregister ist mehr als eine Meldepflicht. Es ist die vollständigste Liste der Dienstleister, über die ein Angriff das eigene Haus erreichen kann. Wird es mit Leak-Seiten und Stealer-Logs abgeglichen, zeigt sich, bei welchem Dienstleister ein Vorfall bereits begonnen hat, oft bevor dieser selbst informiert.

5. Informationsaustausch

DORA ermöglicht Finanzunternehmen, Erkenntnisse über Cyberbedrohungen untereinander zu teilen, etwa Indikatoren, Taktiken und Warnungen. Voraussetzung sind geregelte Vereinbarungen zum Austausch. Der Wert dieser Säule hängt davon ab, wie früh und wie geprüft die geteilten Informationen sind.

Was die Aufsicht jetzt sehen will

• Ein aktuelles Bild der Angriffsfläche, das auch die externe Sicht einschließt.
• Prozesse, mit denen Vorfälle innerhalb von 4 Stunden eingestuft werden können.
• Ein Informationsregister, das laufend gegen reale Bedrohungen abgeglichen wird.
• Testszenarien, die auf aktuellen Angreiferprofilen beruhen.

NEXGAP verbindet Untergrund, Angriffsfläche und Drittparteien auf einer Datenbasis. Jeder Befund ist von Analysten geprüft und mit Quelle und Zeitstempel belegt, damit er auch gegenüber der Aufsicht als Evidenz dient.

Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung.