Der Digital Operational Resilience Act gilt seit Januar 2025 unmittelbar. Er trifft nicht nur Banken und Versicherungen, sondern auch deren IT-Dienstleister — häufig über den Vertrag, bevor die Aufsicht überhaupt ins Spiel kommt.
30 Minuten · kostenlos · kein Verkaufsdruck · Sie bekommen danach eine schriftliche Einschätzung
DORA richtet sich an Finanzunternehmen. In der Praxis landen die Anforderungen aber zu einem großen Teil bei deren Dienstleistern — vertraglich weitergereicht und mit kurzen Fristen.
Der Punkt, der IT-Dienstleister überrascht: DORA verpflichtet Finanzunternehmen, ihre IKT-Verträge um konkrete Inhalte zu ergänzen — Zugangs- und Prüfrechte, Meldewege, Ausstiegsstrategien, Unterauftragsvergabe. Diese Anforderungen landen unmittelbar bei Ihnen als Dienstleister. Wer sie nicht erfüllen kann, verliert im Zweifel den Vertrag, nicht das Verfahren.
DORA ist stringenter aufgebaut als die meisten Regelwerke. Die fünf Bereiche bauen aufeinander auf — wer die erste Säule auslässt, kann die übrigen nicht belegen.
Ein dokumentiertes Rahmenwerk mit Governance, Rollen und Verantwortlichkeiten. Das Leitungsorgan trägt die Verantwortung ausdrücklich und muss sich damit befassen.
Erkennung, Klassifizierung und Meldung schwerwiegender IKT-Vorfälle nach vorgegebenen Kriterien und Fristen — mit definierten Meldewegen an die zuständige Behörde.
Regelmäßige Tests der digitalen Widerstandsfähigkeit. Für bestimmte, besonders bedeutende Institute kommen bedrohungsgeleitete Penetrationstests hinzu.
Ein Informationsregister aller IKT-Dienstleister, Risikobewertung, vorgeschriebene Vertragsinhalte und dokumentierte Ausstiegsstrategien für kritische Funktionen.
Freiwilliger, aber ausdrücklich vorgesehener Austausch über Cyberbedrohungen und Erkenntnisse innerhalb vertrauenswürdiger Kreise.
Die Frage, was passiert, wenn ein einzelner Anbieter ausfällt — und ob eine tragfähige Alternative existiert. In der Praxis der unbequemste Teil.
Die zuständigen Behörden können Anordnungen treffen und Sanktionen verhängen; die konkreten Rahmen sind national ausgestaltet. Kritische IKT-Drittdienstleister unterliegen zusätzlich einem europäischen Überwachungsrahmen.
Für Dienstleister das realere Risiko: Finanzkunden müssen ihre Verträge DORA-konform gestalten. Wer die geforderten Zusagen nicht geben kann, wird ersetzt — oft ohne große Diskussion.
Schwerwiegende Vorfälle sind nach festen Kriterien einzustufen und fristgerecht zu melden. Ohne vorbereitetes Klassifizierungsschema vergeht die entscheidende Zeit mit der Frage, ob überhaupt gemeldet werden muss.
Wir beginnen dort, wo der Druck am größten ist: beim Vertrag oder bei der Aufsichtsfrist. Der Rest folgt in einer Reihenfolge, die sich rechnet.
Fallen Sie als Finanzunternehmen oder als IKT-Dienstleister darunter — und welche Funktionen sind kritisch oder wichtig? Diese Abgrenzung bestimmt den gesamten Aufwand.
Abgleich Ihres Ist-Zustands gegen alle fünf Bereiche, mit priorisiertem Maßnahmenplan und realistischer Aufwandsschätzung.
IKT-Risikomanagement-Rahmenwerk, Informationsregister der Dienstleister, Klassifizierungsschema für Vorfälle. Das Fundament für alles Weitere.
Prüfung Ihrer IKT-Verträge auf die vorgeschriebenen Inhalte, Nachverhandlung und dokumentierte Ausstiegsstrategien für kritische Funktionen.
Testprogramm aufsetzen, durchführen, dokumentieren. Der Meldeprozess wird einmal vollständig durchgespielt, bevor er gebraucht wird.
Neue Dienstleister, geänderte Verträge, durchgeführte Tests. Das Informationsregister ist kein einmaliges Dokument, sondern ein laufend gepflegter Bestand.
DORA verlangt Nachweise in einer bestimmten Form. Diese Unterlagen liegen am Ende vor.
Platzhalter: Die drei Kennzahlen oben sind noch nicht belegt. Vor dem Livegang durch echte Werte ersetzen — oder den Zahlenblock entfernen und nur die Liste stehen lassen. Markierung entfernen: class="todo" im Quelltext löschen.
In 30 Minuten wissen Sie, ob und wie DORA Sie trifft, was zuerst dran ist — und was Sie sich sparen können. Ohne Fachchinesisch, ohne Verkaufsdruck.