Der 17. Januar 2025 war die Frist. Nach einem zweijährigen Umsetzungsfenster wurde der Digital Operational Resilience Act — DORA — im gesamten EU-Finanzsektor vollständig anwendbar. Achtzehn Monate später ist die Durchsetzung keine Theorie mehr. Aufsichtsbehörden haben Feststellungen getroffen, Sanierungsanforderungen gestellt und in einigen Fällen Sanktionen verhängt. Falls Ihre Organisation den EU-Finanzdienstleistungen berührt und Sie noch kein klares Bild von den DORA-Anforderungen haben, ist das eine kritische Lücke.
Dieser Leitfaden liefert eine vollständige DORA-Verordnungszusammenfassung, erklärt die Aufsichtsstruktur, die regulatorischen technischen Standards, die UK-Position und wie Organisationen die Compliance 2026 operationalisieren.
Was ist DORA? Eine Zusammenfassung, die wirklich Sinn macht
Der Digital Operational Resilience Act (Verordnung EU 2022/2554) ist eine horizontale EU-Verordnung zur IKT-Risikosteuerung im Finanzsektor. Vor DORA unterlagen Finanzinstitute fragmentierter nationaler Leitlinien zur operativen Resilienz. DORA harmonisiert all das in einem verbindlichen Rahmen.
Die fünf Kernpfeiler von DORA sind: IKT-Risikomanagement, IKT-bezogenes Vorfall-Management und Berichterstattung, digitale Resilienzprüfung, IKT-Drittparteienrisikomanagement und Informationsaustausch. DORA gilt für rund 22.000 Finanzunternehmen in der EU — Banken, Versicherungsunternehmen, Investmentfirmen, Kryptowerte-Dienstleister, Zahlungsinstitute und mehr.
Wer beaufsichtigt DORA?
Auf nationaler Ebene überwachen zuständige Behörden — dieselben, die Finanzinstitute aus aufsichtsrechtlichen Gründen beaufsichtigen — die DORA-Compliance. In Deutschland ist das die BaFin, in Frankreich die ACPR. Auf EU-Ebene teilen die drei Europäischen Aufsichtsbehörden (ESAs) — EBA, EIOPA und ESMA — gemeinsame Aufsichtsverantwortlichkeiten.
Für kritische IKT-Drittanbieter (CTPPs) gibt es ein spezielles Aufsichtsregime. Die ESAs bestimmen, welche Drittanbieter als kritisch gelten, und der federführende Aufseher führt direkte Aufsichtsgespräche mit diesen CTPPs durch.
DORA Regulatorische Technische Standards: Was wirklich drin steht
Die RTS und ITS sind der Ort, an dem die abstrakte Verordnung zur operativen Realität wird.
RTS zum IKT-Risikomanagement
Dieser Standard erfordert ein aktuelles Informationsasset-Register, die Klassifizierung von Assets nach Kritikalität und die Dokumentation von Abhängigkeiten zwischen Geschäftsfunktionen und IKT-Systemen. Die Bedrohungserkennung muss kontinuierlich sein und sich auf MITRE ATT&CK als Referenzrahmen stützen. Eine robuste Cloud Inventory-Lösung ist hier unverzichtbar.
RTS zur Vorfallklassifikation
Organisationen müssen IKT-bezogene Vorfälle nach fünf Kriterien klassifizieren: Anzahl betroffener Kunden, Dauer, geografische Ausbreitung, Datenverluste und wirtschaftliche Auswirkungen. Ein schwerwiegender Vorfall muss innerhalb von vier Stunden gemeldet werden.
RTS zu TLPT
Threat-Led Penetration Testing unter DORA folgt der TIBER-EU-Methodik — intelligence-gesteuerte Red-Team-Übungen in der Live-Produktionsumgebung. Dies ist kein Standard-Penetrationstest und erfordert erhebliche Vorbereitung.
RTS zum IKT-Drittparteienrisiko
Vertragsvorlagen, Pflichtklauseln und Risikokonzentrationsrahmen. Unternehmen müssen ein Register aller IKT-Drittparteivereinbarungen führen und solche identifizieren, die kritische oder wichtige Funktionen unterstützen. Dabei sind Werkzeuge zur Vulnerability Management und CSPM entscheidend.
DORA und das UK: Die Position nach dem Brexit
Kurze Antwort: DORA gilt nicht im UK. Das UK verließ die EU, bevor DORA verabschiedet wurde. UK-autorisierte Finanzunternehmen müssen DORA nur einhalten, wenn sie in der EU tätig sind oder Dienstleistungen für EU-regulierte Unternehmen erbringen. Das UK hat seinen eigenen Operational Resilience Policy-Rahmen der Bank of England, PRA und FCA.
Operationalisierung von DORA: Wo Unternehmen 2026 kämpfen
Nach Fristablauf haben sich vorhersehbare Schwachstellen gezeigt. Drittparteienrisikoregister sind unvollständig, Vorfallklassifizierung wird falsch kalibriert, und IKT-Risikorahmen fehlt technische Tiefe. Aufsichtsbehörden wollen Beweise: Schwachstellen-Scan-Ergebnisse, Bedrohungserkennungsprotokolle, Patch-Management-Aufzeichnungen.
Für die Code-Sicherheit sollten SAST-Tooling und Secret Detection in CI/CD-Pipelines eingebettet sein. Hartcodierte Anmeldeinformationen im Quellcode sind ein wiederkehrender Befund bei IKT-Sicherheitsaudits.
DORA und das breitere Compliance-Ökosystem
DORA existiert nicht in einem Vakuum. Es überschneidet sich mit NIS2, DSGVO und den EBA-Leitlinien zur Auslagerung. DORA-Compliance muss in ein breiteres Compliance-Programm integriert werden. Die Organisationen, die dies 2026 richtig machen, haben DORA-Anforderungen auf spezifische technische Kontrollen mit benannten Eigentümern abgebildet und generieren kontinuierlich Compliance-Nachweise.
Bei SECRAILS unterstützen wir Finanzsektor-Organisationen bei genau dieser Herausforderung — die regulatorischen Verpflichtungen von DORA mit den technischen Kontrollen zu verbinden, die Aufsichtsbehörden tatsächlich prüfen.