DORA (Digital Operational Resilience Act): Bedeutung und Definition

DORA verlangt von Finanzunternehmen einen Rahmen für das IKT-Risikomanagement, die Meldung schwerwiegender IKT-bezogener Vorfälle, regelmäßige Tests der digitalen Resilienz und ein Management der Risiken durch IKT-Drittdienstleister (VO (EU) 2022/2554). Verträge mit IKT-Dienstleistern müssen bestimmte Mindestinhalte enthalten, etwa Leistungsbeschreibung, Standorte der Datenverarbeitung, Zugangs-, Prüf- und Kündigungsrechte sowie Ausstiegsstrategien (Art. 30 VO (EU) 2022/2554). Kritische IKT-Drittdienstleister unterliegen einer direkten Aufsicht durch die europäischen Finanzaufsichtsbehörden. DORA geht als spezielleres Recht den allgemeinen NIS-2-Regeln vor. Die Verordnung gilt seit dem 17.01.2025. Schwerwiegende IKT-bezogene Vorfälle müssen in mehreren Stufen gemeldet werden: eine Erstmeldung, eine Zwischenmeldung und ein Abschlussbericht. Die konkreten Fristen ergeben sich aus den technischen Regulierungsstandards; für die Erstmeldung gilt danach grundsätzlich eine Frist von vier Stunden nach Einstufung als schwerwiegend und höchstens 24 Stunden nach Kenntnis. Finanzunternehmen müssen ein Informationsregister über alle vertraglichen Vereinbarungen mit IKT-Drittdienstleistern führen und den Aufsichtsbehörden vorlegen (Art. 28 Abs. 3 DORA). Bestimmte Finanzunternehmen müssen mindestens alle drei Jahre bedrohungsorientierte Penetrationstests durchführen (Art. 26 DORA). Für IT-Dienstleister bedeutet das konkret, dass Kunden aus dem Finanzsektor Vertragsanpassungen verlangen werden, etwa zu Unterauftragnehmern, Meldewegen und Teilnahme an Tests. Wer kritische oder wichtige Funktionen unterstützt, muss mit besonders umfangreichen Anforderungen rechnen. In Deutschland ist die BaFin die zuständige Aufsichtsbehörde. Die frühere Ausrichtung an den BAIT und VAIT wurde durch DORA weitgehend abgelöst. Finanzunternehmen sollten ihre Verträge mit IKT-Dienstleistern auf die Pflichtinhalte prüfen und ein Informationsregister aller vertraglichen Vereinbarungen führen. Beginnen Sie mit einer Bestandsaufnahme.