DORA

DORA steht für Digital Operational Resilience Act und ist die EU-Verordnung zur digitalen operationellen Resilienz im Finanzsektor. Die Verordnung schafft ein einheitliches Regelwerk für ICT-Risikomanagement, Vorfallmeldungen, Tests der Resilienz und das Management von ICT-Drittanbietern. Sie gilt seit dem 17. Januar 2025.

Warum ist DORA für Organisationen relevant?

DORA richtet sich nicht an irgendeine IT, sondern an die Widerstandsfähigkeit digitaler Prozesse im Finanzumfeld. Banken, Versicherer, Zahlungsdienstleister und weitere regulierte Finanzunternehmen müssen zeigen, dass sie technische Störungen, Cybervorfälle und Lieferantenrisiken strukturiert beherrschen. Zwischen formaler Anforderung und gelebter Praxis liegt oft eine Lücke. Gute Governance verkleinert diese Lücke, weil sie Nachweise, Verantwortlichkeiten und technische Umsetzung miteinander verbindet.

Im Alltag zeigt sich das an diesen Punkten:

• DORA deckt ICT-Risikomanagement, Incident Reporting, digitale Resilienztests, Informationsaustausch und Drittparteirisiken ab.
• Ein Schwerpunkt liegt auf ICT-Dienstleistern und deren Verträgen, Steuerung und Registerführung.
• Die Verordnung verlangt nicht nur Prävention, sondern eine nachweisbare Fähigkeit, auf Störungen vorbereitet zu sein und wieder anlaufen zu können.

Gerade an diesen Punkten wird sichtbar, wie stark DORA von klaren Rollen, Standards und nachvollziehbaren Entscheidungen lebt.

Wie greifen Recht, Prozesse und Technik zusammen?

In der Praxis wiederholen sich oft diese Schritte:

• Finanzunternehmen müssen ihre bestehenden Sicherheits- und Governance-Strukturen gegen die DORA-Anforderungen spiegeln.
• Daraus folgen Maßnahmen für Risikomanagement, Meldewege, Resilienztests, Lieferantenregister und Vertragsprüfungen.
• Im Betrieb entstehen enge Bezüge zu Security, Notfallmanagement, Auslagerungssteuerung und Audit.

Im Alltag trennt sich bei DORA gute Theorie von tragfähigem Betrieb meist an der Qualität dieser Abläufe.

An welchen Beispielen wird DORA konkret?

Typische Einsatzmuster sind:

• DORA wird besonders relevant bei Cloud-Nutzung, ausgelagerten IT-Services und kritischen Drittanbietern.
• Auch Vorfallmanagement und Meldeketten werden im Finanzsektor neu bewertet, weil technische und regulatorische Reaktion enger zusammenrücken.
• Für viele Institute ist DORA kein isoliertes Projekt, sondern ein Hebel zur Konsolidierung bestehender Sicherheits- und Governance-Strukturen.

Anwendungen und Szenarien zeigen meist schneller als Definitionen, ob DORA im eigenen Umfeld den erwarteten Mehrwert liefert. Sie machen zugleich sichtbar, welche Voraussetzungen dafür erfüllt sein müssen.

Welche Vorteile entstehen – und wo drohen Lücken?

Typische Pluspunkte sind:

• Rechtssicherheit steigt, wenn Anforderungen dokumentiert, geprüft und regelmäßig nachgezogen werden.
• Risikosteuerung wird strukturierter, weil Verantwortlichkeiten, Nachweise und Kontrollen klar benannt sind.
• Vertrauen wächst bei Kunden, Partnern und Aufsicht, wenn Organisation und Technik zusammenpassen.
• Einheitliche Anforderungen erleichtern die Abstimmung zwischen Sicherheits-, Risiko-, Compliance- und Auslagerungsfunktionen.

Diese Punkte bremsen Projekte besonders oft:

• Papier alleine schützt nicht: Richtlinien ohne Umsetzung bleiben wertlos.
• Zu enge Auslegung einzelner Vorschriften erzeugt Aufwand am falschen Ende.
• Wer Fachbereich, IT, Recht und Datenschutz trennt, übersieht Wechselwirkungen.
• Lieferantensteuerung wird schnell zum Engpass, wenn Verträge, Register und Verantwortlichkeiten historisch gewachsen sind.

Für Leitung und Fachbereiche wird Compliance deutlich anschlussfähiger, wenn Risiken, Pflichten und Maßnahmen in einer gemeinsamen Sprache beschrieben sind. Das erleichtert Priorisierung und Finanzierung.

Worauf sollten Verantwortliche bei Nachweisen und Audits achten?

Die Stärke von DORA liegt in der Harmonisierung. Sie zwingt Organisationen dazu, Technik, Verträge, Meldewege und Resilienztests gemeinsam zu betrachten. Wer DORA nur als neue Dokumentationspflicht behandelt, übersieht ihren eigentlichen Kern: digitale Betriebsfestigkeit unter realem Druck. Wer Anforderungen verständlich in Prozesse und Rollen übersetzt, reduziert Konflikte zwischen Fachbereich, IT, Recht und Audit. Das bringt mehr als jede isolierte Richtlinie.

Worauf baut DORA operativ auf?

Hinter DORA steckt meist mehr Struktur, als auf den ersten Blick erkennbar ist. Wer die tragenden Bausteine kennt, kann Nutzen, Aufwand und Risiken deutlich präziser einschätzen.

Typisch sind vor allem diese Bausteine:

• Anforderungen an digitale Resilienz richten sich auf den Finanzsektor und dessen ICT-Risiken.
• Risikomanagement für ICT wird als laufender Steuerungsprozess ausgestaltet.
• Meldepflichten und Vorfallbehandlung verlangen klare Abläufe für schwere Störungen.
• Tests der digitalen Widerstandsfähigkeit sollen nicht nur auf dem Papier stattfinden.
• Steuerung von ICT-Drittdienstleistern wird deutlich strenger und formaler.

Praxisnah betrachtet: DORA betrifft nicht nur Banken. Auch viele Dienstleister, Auslagerungspartner und technische Lieferketten geraten dadurch stärker in den Blick der Finanzaufsicht.

Wie entsteht aus dem Konzept ein tragfähiger Prozess?

Themen wie DORA werden oft zu spät operationalisiert. Entscheidend ist, Anforderungen früh in Prozesse, Rollen und Nachweise zu übersetzen.

• Anwendungsbereich und Verantwortlichkeiten müssen eindeutig sein, damit keine Lücke zwischen IT, Fachbereich und Recht entsteht.
• Risikobasierte Priorisierung hilft, knappe Ressourcen auf die kritischsten Anforderungen zu richten.
• Dokumentation und Evidenz machen Umsetzung nachvollziehbar, prüfbar und wiederholbar.
• Kontrollen und Überprüfungen zeigen, ob Regeln auch im Alltag gelebt werden.
• Kontinuierliche Aktualisierung ist nötig, weil Prozesse, Lieferanten, Tools und Rechtslagen sich ändern.

Gerade bei regulatorischen Themen zeigt sich Reife daran, dass Nachweise nicht erst kurz vor Audit oder Prüfung zusammengesucht werden.

Welche Kennzahlen und Prüffragen sind sinnvoll?

Bei DORA reicht es nicht, Richtlinien zu veröffentlichen. Wirklich aussagekräftig sind Kennzahlen, die Umsetzung, Nachweise und Reaktionsfähigkeit abbilden.

• Abdeckungsgrad von Richtlinien und Prozessen zeigt, wie viel des relevanten Umfelds tatsächlich geregelt ist.
• Zeit bis zur Bearbeitung von Vorfällen oder Anfragen misst operative Reife unter Druck.
• Status offener Findings macht sichtbar, ob Abweichungen nur dokumentiert oder auch geschlossen werden.
• Review- und Testquoten zeigen, ob Maßnahmen regelmäßig geprüft werden.
• Lieferanten- und Vertragsstatus hilft, externe Risiken nicht aus dem Blick zu verlieren.

Kennzahlen im Compliance-Umfeld sind am nützlichsten, wenn sie Entscheidungen und Nachweise zugleich stützen.

Welche Fehler tauchen immer wieder auf?

Compliance-Themen leiden oft unter demselben Irrtum: Dokumente gelten als Umsetzung. In der Praxis zeigen sich jedoch meist andere Schwachstellen.

• Vorlagen werden ungeprüft übernommen, obwohl Prozess, Lieferkette oder Technik davon abweichen.
• Nachweise fehlen oder sind veraltet, wenn Anfragen, Audits oder Vorfälle auftreten.
• Rollen sind unklar, sodass Pflichten zwischen Datenschutz, IT und Fachbereich versanden.
• Kontrollen finden zu selten statt, wodurch Maßnahmen langsam vom Soll-Zustand wegdriften.
• Projekte und Regelbetrieb sind nicht verknüpft, sodass neue Systeme ohne saubere Einbindung live gehen.

Reife zeigt sich hier vor allem an wiederkehrender Pflege und nachvollziehbarer Evidenz.

Wohin entwickelt sich das Thema fachlich?

Im Compliance-Umfeld wächst der Druck zu laufender Nachweisfähigkeit. Regulatorik, Lieferketten, SaaS-Nutzung und Auditanforderungen verlangen Prozesse, die nicht nur formuliert, sondern wiederholt überprüft werden. Organisationen, die Rollen, Evidenz und Regelbetrieb sauber verbinden, reagieren auf neue Anforderungen deutlich schneller.

Wenn DORA sauber gesteuert wird, entstehen selten spektakuläre Effekte, aber oft spürbare Entlastung. Prozesse werden berechenbarer, Ausnahmen seltener und Entscheidungen leichter nachvollziehbar.

Welche organisatorische Folge wird oft unterschätzt?

Im Umfeld von DORA reicht es nicht, bestehende Sicherheitsdokumente neu zu benennen. Institute und relevante Dienstleister müssen Zuständigkeiten, Nachweise, Testprogramme und Lieferantensteuerung so organisieren, dass Aufsicht, Management und operative Teams auf dieselben Informationen zugreifen können. Diese Übersetzungsleistung ist oft aufwendiger als die Technik selbst.

Alle Glossar-Artikel in der Übersicht