EU-Verordnung · Digitale Resilienz im Finanzsektor
Sightadel führt Sie durch die Anforderungen der DORA-Verordnung – vom IKT-Risikomanagement über die Meldung schwerwiegender Vorfälle bis zum Informationsregister. Mit Branchenvorlagen aus langjähriger Beratungspraxis, einer KI als Formulierungshilfe und echten Beratern für die schwierigen Stellen.
Worum es geht
Der Digital Operational Resilience Act (DORA) ist eine EU-Verordnung und gilt seit dem 17. Januar 2025 unmittelbar, ohne nationales Umsetzungsgesetz. Sie verlangt von Finanzunternehmen, dass sie schwere IKT-Störungen aushalten, erkennen, melden und bewältigen können – und das jederzeit nachweisen. In Deutschland führt die BaFin die Aufsicht.
Die Verordnung ruht auf fünf Säulen: IKT-Risikomanagement mit klarer Verantwortung des Leitungsorgans, Behandlung und Meldung IKT-bezogener Vorfälle, Testen der digitalen Resilienz, Steuerung des IKT-Drittparteienrisikos samt Informationsregister und freiwilliger Austausch von Bedrohungsinformationen. Technische Standards der europäischen Aufsichtsbehörden konkretisieren viele Details.
Für Finanzunternehmen ist DORA die speziellere Regelung gegenüber NIS2. Die Inhalte überschneiden sich stark mit einem ISMS nach ISO 27001. Was dort fehlt, sind vor allem das Informationsregister, die eigene Vorfallklassifizierung mit ihren Meldefristen und die Vorgaben für Verträge mit IKT-Dienstleistern.
Mehr zur passenden Software: DORA-Software, mit Funktionen, Ablauf und Preisen.
Die Grundlagen stehen, aber Register, Vorfallklassifizierung oder Testprogramm sind noch Tabellen und Absichten. Die Aufsicht fragt inzwischen nach Belegen, nicht nach Plänen.
DORA gilt nach dem Grundsatz der Verhältnismäßigkeit. Für bestimmte kleinere Unternehmen gibt es einen vereinfachten Rahmen – den Nachweis brauchen Sie trotzdem.
Sie sind selbst nicht beaufsichtigt, aber Ihre Kunden müssen Sie in ihr Informationsregister aufnehmen, Vertragsklauseln vereinbaren und Sie bewerten. Sie bekommen die Anforderungen über den Vertrag.
Testprogramm nach Art. 24–25
DORA verlangt von allen Finanzunternehmen ein risikobasiertes Testprogramm, darunter Schwachstellenbewertungen, Scans und Penetrationstests. Gemeinsam mit veyrisk bieten wir die Tests dazu an. Planung, Ergebnisse und die Abarbeitung der Befunde halten Sie in Sightadel fest. Bedrohungsorientierte Tests (TLPT) nach Art. 26 sind davon nicht abgedeckt.
Finanzunternehmen, die ihr Testprogramm nach DORA aufbauen oder ergänzen
Umfang und Rhythmus der Tests richten sich nach Ihrer Risikobewertung. Das Angebot erhalten Sie nach einem kurzen Gespräch.
Tests anfragenAnforderungen
In eigenen Worten zusammengefasst. Maßgeblich ist immer der Originaltext in der geltenden Fassung.
Das Leitungsorgan trägt die Verantwortung für das IKT-Risiko, genehmigt den Rahmen, hält sein Wissen aktuell und stellt Ressourcen bereit. Der Rahmen ist dokumentiert und wird regelmäßig überprüft.
In SightadelLeitfragen zu Rollen, Strategie und Genehmigung. Die Vorlage liefert einen Entwurf des Rahmens, Risikoappetit und Verantwortliche legen Sie fest. Schulungen der Leitung werden mit Ablaufdatum geführt.
Kritische Funktionen, IKT-Assets und Abhängigkeiten kennen, Schutzmaßnahmen wie Zugriffs- und Änderungssteuerung umsetzen und Anomalien frühzeitig erkennen.
In SightadelGeführte Fragen je Anforderung mit Antwortoptionen, Nachweis-Verknüpfung und Kommentar. Nachweise aus ISO 27001 lassen sich direkt mitverwenden.
Notfall- und Wiederherstellungspläne für die IKT, Backup-Richtlinien und getestete Wiederherstellung.
In SightadelWiederherstellungstests als wiederkehrender Zyklus mit Protokoll. Läuft ein Testnachweis ab, erscheint er im Dashboard, bevor die Revision ihn findet.
IKT-bezogene Vorfälle erfassen, nach einheitlichen Kriterien klassifizieren und schwerwiegende Vorfälle als solche erkennen.
In SightadelPrüfpunkte zu Prozess, Rollen, Klassifizierungskriterien und Vorfallregister. Die Kriterien sind vorab dokumentiert, nicht erst im Ernstfall.
Erstmeldung an die Aufsicht wenige Stunden nach der Einstufung als schwerwiegend, spätestens 24 Stunden nach Kenntnisnahme, danach Zwischenmeldung und Abschlussmeldung.
In SightadelMeldewege, Zuständige und Vertretungen sind hinterlegt, Abweichungen von NIS2 beim Startpunkt der Fristen sind sauber getrennt.
Ein risikobasiertes Testprogramm für alle. Von der Aufsicht bestimmte Unternehmen führen zusätzlich mindestens alle drei Jahre bedrohungsorientierte Penetrationstests (TLPT) durch.
In SightadelTestprogramm als Zyklus, Befunde werden zu Problemen mit Frist und Verantwortlichem. Den TLPT selbst führen spezialisierte Tester durch, Sightadel hält Planung, Ergebnis und Abarbeitung fest.
Eine Strategie für das Drittparteienrisiko, Bewertung vor Vertragsschluss, Ausstiegsstrategien und ein vollständiges Informationsregister aller IKT-Verträge, das der Aufsicht vorzulegen ist.
In SightadelIm Modul Anbieter erfassen Sie Dienstleister, unterstützte Funktionen, Kritikalität und Nachweise mit Gültigkeitsdatum. Das Register wächst aus der laufenden Pflege, nicht aus einer Sammelaktion vor dem Stichtag.
Verträge enthalten Mindestinhalte, etwa Leistungsbeschreibung, Standorte der Datenverarbeitung, Prüf- und Zugangsrechte, Kündigungsrechte und Unterstützung bei Vorfällen.
In SightadelPrüfpunkte je Vertragsinhalt, verknüpft mit dem Dienstleister. Fehlende Klauseln werden zu Aktionspunkten für die nächste Vertragsrunde.
Finanzunternehmen können sich in vertrauenswürdigen Gemeinschaften über Bedrohungen austauschen und teilen der Aufsicht ihre Teilnahme mit.
In SightadelTeilnahme, Regeln und Meldung an die Aufsicht werden als Nachweis abgelegt.
Ablauf
Sechs bis zwölf Monate, um bestehende Lücken zu schließen. Wer ein gelebtes ISMS hat, ist schneller. Das Informationsregister und die Vertragsanpassungen bestimmen meist das Tempo.
Klären, welche Pflichten gelten, ob der vereinfachte Rahmen in Frage kommt und welche Funktionen kritisch oder wichtig sind.
Die 50 Anforderungen geführt durchgehen, vorhandene Nachweise aus ISMS, Notfallmanagement und Einkauf zuordnen.
Dienstleister, Verträge, unterstützte Funktionen und Unterauftragnehmer erfassen. Erfahrungsgemäß der aufwendigste Teil, weil die Angaben in keinem Vertragsordner vollständig stehen.
Klassifizierungskriterien, Zuständigkeiten und Meldewege festlegen und einmal durchspielen.
Aktionspläne mit Verantwortlichen und Fälligkeiten. Vertragsanpassungen dauern oft am längsten, weil die Gegenseite mitspielen muss.
Testprogramm durchführen, Rahmen überprüfen, Register aktuell halten. Danach kehren diese Schritte als Zyklus wieder.
Startklar
Wer diese Fragen früh klärt, spart später Wochen. In Sightadel sind sie als erste Aufgaben angelegt.
Arbeitsteilung
Würde eine Software alles ausfüllen, erfüllte die Norm ihren Zweck nicht – und der Auditor würde es merken. Deshalb ist klar geregelt, was bei Ihnen bleibt.
Aus der Praxis
Aus langjähriger Beratungs- und Zertifizierungspraxis: Diese Stellen kosten die meiste Zeit oder führen zu Abweichungen im Audit.
Wer das Informationsregister nur vor der jährlichen Einreichung befüllt, sucht jedes Jahr dieselben Angaben neu. Pflegen Sie Dienstleister und Verträge laufend, sobald sie beauftragt oder geändert werden.
Sind fast alle Funktionen kritisch, verliert die Einstufung ihren Wert. Sind es zu wenige, fehlen Verträge und Tests. Leiten Sie die Einstufung aus einer nachvollziehbaren Geschäftsauswirkungsanalyse ab und lassen Sie sie von der Leitung beschließen.
Unter Zeitdruck wird ein Vorfall zu spät als schwerwiegend erkannt, und die Meldefrist läuft ab. Hinterlegen Sie Kriterien, Schwellen, Zuständige und Vertretungen vorab und spielen Sie den Ablauf mindestens einmal im Jahr durch.
Fehlende Pflichtklauseln werden festgestellt, aber nicht verfolgt. Legen Sie je Dienstleister fest, wann die Lücke geschlossen wird, etwa bei der nächsten Verlängerung, und halten Sie das als Aufgabe mit Frist fest.
Ein Rundschreiben an die Geschäftsleitung ersetzt keinen Beschluss. Lassen Sie Rahmen, Risikoappetit und Leitlinien förmlich genehmigen und belegen Sie die Fortbildung der Leitungsmitglieder.
Eine Ausstiegsstrategie, die niemand geprüft hat, hilft im Ernstfall nicht. Prüfen Sie für Dienstleister kritischer Funktionen, ob Alternativen, Datenrückgabe und Übergangszeiten realistisch sind, und aktualisieren Sie die Strategie bei Vertragsänderungen.
Ein Nachweis, mehrere Frameworks
Eine Prozentzahl nennen wir bewusst nicht – sie hängt von Ihrem Geltungsbereich ab. Wo sich Anforderungen decken, hängt ein Nachweis an allen.
IKT-Risikomanagement, Zugriffssteuerung, Backup und Vorfallbehandlung bauen auf denselben Grundlagen auf. Das Informationsregister hat in ISO 27001 keine Entsprechung.
NIS2Für Finanzunternehmen geht DORA vor. Viele Maßnahmen decken sich. Die Meldefristen unterscheiden sich im Startpunkt: DORA knüpft an die Einstufung, NIS2 an die Kenntnisnahme.
BSI C5Ein C5-Testat eines Cloud-Anbieters ist ein wertvoller Nachweis bei der Bewertung dieses Dienstleisters. Es ersetzt nicht die eigene Risikobewertung.
DSGVOTechnische und organisatorische Maßnahmen und Auftragsverarbeitungsverträge greifen auf dieselben Dienstleisterdaten zurück. Ein Vorfall kann mehrere Meldepflichten auslösen.
Prüfung und Nachweis
Die Aufsicht liegt in Deutschland bei der BaFin, kritische IKT-Drittdienstleister überwachen zusätzlich die europäischen Aufsichtsbehörden direkt. Dazu kommen Abschlussprüfer, interne Revision und Kunden, die Sie als Dienstleister bewerten. Sightadel zertifiziert nicht und ersetzt keine aufsichtsrechtliche Beratung.
Wer prüft, erhält in Sightadel einen eigenen Zugang: Er liest, kommentiert und legt nach Ihrer Freigabe Einträge an oder bearbeitet sie, löschen kann er nichts. Das Aktivitätsprotokoll zeigt lückenlos, wer was wann erledigt hat. Als Dienstleister zeigen Sie Ihren Kunden im Trust Center Zertifikate, Dokumente und Unterauftragnehmer, statt jeden Fragebogen einzeln zu beantworten. ISO 27001 ist eine bewährte, strukturierte Grundlage, aber keine Pflicht. Für externe Prüfungen wählen Sie einen Prüfer aus unserem unabhängigen Partnernetz oder einen eigenen. Für Audits fließt keine Provision – weder an uns noch an die Partner.
Zum unabhängigen AuditorennetzDie Verordnung selbst legt die Grundsätze fest. Die Einzelheiten stehen in technischen Regulierungs- und Durchführungsstandards, die die europäischen Aufsichtsbehörden entworfen und die EU-Kommission erlassen hat. Wer DORA umsetzt, arbeitet deshalb immer mit mehreren Texten parallel. Die wichtigsten betreffen den IKT-Risikomanagementrahmen und seine vereinfachte Variante, die Klassifizierung von Vorfällen und Cyberbedrohungen, Inhalte, Formate und Fristen der Vorfallmeldungen, die bedrohungsorientierten Penetrationstests, die Vorlagen für das Informationsregister, die Richtlinie zu IKT-Dienstleistungen für kritische oder wichtige Funktionen und die Vergabe von Unteraufträgen.
Für die Praxis heißt das: Die Verordnung sagt, dass Sie einen Vorfall klassifizieren müssen. Erst der Standard nennt die Kriterien, etwa betroffene Kunden, Dauer, geografische Ausbreitung, Datenverluste und wirtschaftliche Auswirkungen, und legt fest, ab wann ein Vorfall als schwerwiegend gilt. Ähnlich beim Register: Welche Felder es hat und wie es aufgebaut ist, ergibt sich aus den Vorlagen des Durchführungsstandards.
Hinzu kommen Leitlinien und Fragen-und-Antworten der europäischen Aufsichtsbehörden sowie Veröffentlichungen der BaFin, etwa zu Meldewegen und Einreichungsfenstern. Diese Texte ändern sich häufiger als die Verordnung. In Sightadel ist jeder Prüfpunkt mit dem Artikel verknüpft, auf den er sich bezieht. Wo ein Standard Details vorgibt, nennt der Prüfpunkt den erwarteten Nachweis. Die maßgebliche Fassung prüfen Sie im Zweifel bei der Aufsicht nach.
Das Register ist der Teil von DORA, den die meisten Unternehmen unterschätzt haben. Es verlangt nicht einfach eine Vertragsliste, sondern ein strukturiertes Verzeichnis: Welche IKT-Dienstleistung bezieht das Unternehmen von wem, auf Grundlage welchen Vertrags, für welche Funktion, ist diese Funktion kritisch oder wichtig, wo werden Daten verarbeitet, wie leicht wäre der Dienstleister zu ersetzen, und welche Unterauftragnehmer stehen in der Kette dahinter. Das Register wird auf Ebene des Einzelunternehmens und, bei Gruppen, konsolidiert geführt.
Die BaFin fordert das Register einmal jährlich zu einem Stichtag an. Die Einreichung läuft über ihre Melde- und Veröffentlichungsplattform in einem festgelegten Zeitfenster. Für die Meldung 2026 lag dieses Fenster im März. Ein Register gilt erst dann als eingereicht, wenn es die Validierungsregeln der europäischen Aufsichtsbehörden besteht. Fehlende Kennungen von Dienstleistern oder widersprüchliche Angaben zu Funktionen führen zu Zurückweisungen. Die europäischen Aufsichtsbehörden nutzen die Register auch, um kritische IKT-Drittdienstleister für die direkte EU-Aufsicht zu bestimmen.
Die eigentliche Arbeit liegt nicht im Ausfüllen, sondern im Zusammentragen. Angaben stehen verteilt in Verträgen, im Einkauf, in der IT und bei den Fachbereichen. Wer das Register nur zum Stichtag aktualisiert, sucht jedes Jahr von vorn. Sightadel setzt deshalb beim Modul Anbieter an: Jeder Dienstleister wird mit Vertrag, unterstützten Funktionen, Kritikalität, Standorten und Nachweisen gepflegt, sobald er beauftragt wird. Neue Verträge, Kündigungen und geänderte Unterauftragnehmer landen dort im Alltag, nicht im Frühjahr.
DORA kostet vor allem Zeit von Menschen, die ohnehin ausgelastet sind: Informationssicherheit, Notfallmanagement, Einkauf, Recht, Revision und Leitung. Die Sightadel-Lizenz für DORA wird je Edition monatlich berechnet, dazu kommen Rabatte für mehrere Frameworks und Vorauszahlung. Alle Preise und einen Rechner finden Sie auf unserer Preisseite.
Externe Kosten entstehen an anderer Stelle und werden von den jeweiligen Anbietern selbst abgerechnet. Die größten Treiber sind erfahrungsgemäß drei Punkte. Erstens Vertragsanpassungen mit Dienstleistern, oft mit rechtlicher Begleitung. Zweitens das Testprogramm, besonders wenn Sie für TLPT bestimmt sind: Ein bedrohungsorientierter Test mit Bedrohungsanalyse, Red Team und Abschlussarbeit ist ein Projekt über Monate. Drittens die Datenerhebung für das Register, wenn Vertragsbestände unvollständig sind.
Wo sich sparen lässt: Wer ein ISMS nach ISO 27001 betreibt, muss Risikomanagement, Zugriffssteuerung, Backup und Vorfallbehandlung nicht neu erfinden. In Sightadel hängen vorhandene Nachweise an beiden Frameworks. Eine Zahl für die Überschneidung nennen wir bewusst nicht, weil sie vom Geltungsbereich abhängt. Beratung für die schwierigen Stellen, etwa die Bestimmung kritischer oder wichtiger Funktionen, buchen Sie bei Bedarf als Paket in der App dazu.
DORA legt die Verantwortung für das IKT-Risiko ausdrücklich in die Hände des Leitungsorgans. Es definiert und genehmigt den Rahmen, legt die Rollen fest, bestimmt den Risikoappetit für IKT-Risiken, genehmigt die Leitlinien zu Geschäftsfortführung und Drittparteien, stellt das Budget bereit und bildet sich regelmäßig fort. Delegieren lässt sich die Arbeit, nicht die Verantwortung. In Prüfungen wird deshalb gefragt, was die Leitung beschlossen hat, wie sie informiert wird und welche Schulungen ihre Mitglieder nachweislich absolviert haben.
Verstöße ahndet in Deutschland die BaFin nach dem nationalen Aufsichtsrecht, das zur Umsetzung der DORA-Sanktionsvorgaben angepasst wurde. Möglich sind Anordnungen, Bußgelder und bei schweren Mängeln weitergehende aufsichtsrechtliche Maßnahmen. Kritische IKT-Drittdienstleister unterliegen der direkten Aufsicht einer federführenden europäischen Behörde, die Empfehlungen ausspricht und Zwangsgelder verhängen kann, die sich am weltweiten Tagesumsatz bemessen.
Neben der Aufsicht zählt die zivilrechtliche Seite. Ein ungeregelter Dienstleisterausfall, eine verspätete Meldung oder ein nicht getestetes Backup kann Schadenersatzfragen gegenüber Kunden und Haftungsfragen gegenüber der Geschäftsleitung aufwerfen. Wie das im Einzelfall zu bewerten ist, klären Sie mit Ihrer Rechtsberatung. Sightadel gibt keine Rechtsberatung, sorgt aber dafür, dass Beschlüsse, Schulungen und Entscheidungen mit Datum und Verantwortlichem belegt sind.
Eine abschließende Liste gibt die Verordnung nicht vor, aus Verordnung und Standards ergibt sich aber ein klarer Kern. Dazu gehören der dokumentierte IKT-Risikomanagementrahmen samt Strategie für die digitale operationale Resilienz, Leitlinien zur Informationssicherheit, zur Zugriffs- und Änderungssteuerung und zum Schwachstellenmanagement, eine Leitlinie zur IKT-Geschäftsfortführung mit Reaktions- und Wiederherstellungsplänen, Backup-Leitlinien mit Nachweisen getesteter Wiederherstellung, ein Prozess für das Vorfallmanagement mit Klassifizierungskriterien und Vorfallregister, das Testprogramm mit Ergebnissen, die Strategie für das IKT-Drittparteienrisiko, das Informationsregister und Ausstiegsstrategien für Dienstleister, die kritische oder wichtige Funktionen unterstützen.
Der Rahmen ist mindestens einmal jährlich zu überprüfen, außerdem nach schwerwiegenden Vorfällen und nach Erkenntnissen aus Tests oder Prüfungen. Über diese Überprüfung wird ein Bericht erstellt, den die Aufsicht anfordern kann. Ebenso wichtig sind die Belege, dass Dokumente gelebt werden: Freigaben, Schulungsnachweise, Protokolle von Wiederherstellungstests, abgearbeitete Befunde aus Tests und Revision.
In Sightadel ist jedes dieser Dokumente einem Prüfpunkt zugeordnet, mit Version, Freigabe und Ablaufdatum. Läuft ein Nachweis ab, etwa ein jährlicher Wiederherstellungstest, erscheint er im Dashboard als offener Punkt. So ist der Stand nicht nur zum Prüfungstermin vollständig.
Jedes Finanzunternehmen, das nicht unter den vereinfachten Rahmen fällt, braucht ein risikobasiertes Programm zum Testen der digitalen operationalen Resilienz. Dazu gehören je nach Umfeld Schwachstellenbewertungen und Scans, Quellcodeprüfungen, szenariobasierte Tests, Kompatibilitäts- und Leistungstests, Ende-zu-Ende-Tests und Penetrationstests. Systeme, die kritische oder wichtige Funktionen unterstützen, werden mindestens jährlich angemessen getestet. Tester müssen unabhängig sein, intern oder extern.
Bedrohungsorientierte Penetrationstests, kurz TLPT, betreffen nur Unternehmen, die von der Aufsicht dafür bestimmt werden, und finden dann in der Regel alle drei Jahre statt. Sie folgen einem eigenen technischen Standard, der sich am europäischen TIBER-Rahmen orientiert. Ein TLPT läuft an Produktivsystemen, umfasst eine Bedrohungsanalyse, einen verdeckten Angriff durch ein Red Team und eine gemeinsame Nachbereitung. Die Aufsicht begleitet den Test und bestätigt am Ende seine Durchführung.
Häufig unterschätzt wird die Zeit nach dem Test. Befunde müssen bewertet, priorisiert und mit Fristen abgearbeitet werden, und die Aufsicht will den Fortschritt sehen. In Sightadel wird jeder Befund zum Problem mit Verantwortlichem und Fälligkeit. Den Test selbst führen spezialisierte Tester durch, Sightadel hält Planung, Ergebnis und Abarbeitung fest.
Für Finanzunternehmen ist DORA die speziellere Regelung gegenüber NIS2. Die Cybersicherheitspflichten erfüllen sie über DORA, nicht doppelt. In Gruppen mit Gesellschaften außerhalb des Finanzsektors können beide Regime nebeneinander gelten. Dann lohnt es sich, Maßnahmen und Nachweise nur einmal zu führen und beiden zuzuordnen.
Die bisherigen IT-Rundschreiben der BaFin für Banken, Versicherer, Kapitalverwaltungsgesellschaften und Zahlungsinstitute wurden für Unternehmen im Anwendungsbereich von DORA durch die Verordnung abgelöst. Die BaFin hat dazu Hinweise veröffentlicht, wie sich bestehende Vorgaben, etwa zum Auslagerungsmanagement außerhalb der IKT, zu DORA verhalten. Welche Teile in Ihrem Haus weiter gelten, sollte vor der Lückenanalyse geklärt sein.
ISO 27001 ist keine Pflicht, aber ein bewährtes Gerüst. Ein Zertifikat zeigt, dass ein Managementsystem läuft, das DORA in großen Teilen trägt. Was DORA zusätzlich verlangt, sind vor allem Register, Meldefristen, Vertragsinhalte und das Testprogramm. Testate wie BSI C5 oder SOC 2 Ihrer Dienstleister sind wertvolle Belege bei deren Bewertung, ersetzen aber Ihre eigene Risikobeurteilung nicht.
Was es kostet
Sie zahlen nur für die Frameworks, die Sie wirklich brauchen. Die Editionen unterscheiden sich in Kapazität und Reaktionszeit, nicht im fachlichen Umfang. Wer mehrere Frameworks führt, spart dauerhaft. Alle Preise, Rabatte und einen Rechner finden Sie auf der Preisseite.
Die Kosten der Zertifizierungs- oder Prüfstelle rechnet diese direkt mit Ihnen ab. Beratung buchen Sie bei Bedarf als Paket in der App dazu.
Arbeitsmaterial
↓DORA – Umsetzungs- und Nachweis-ChecklisteCheckliste · XLSX, PDFArbeitshilfen, keine Rechtsberatung.
Begriffe
Ja, wenn Sie ein Finanzunternehmen im Sinne der Verordnung sind – etwa Kreditinstitut, Zahlungs- oder E-Geld-Institut, Wertpapierfirma, Versicherer, Fondsverwalter oder Anbieter von Krypto-Dienstleistungen. Als IKT-Dienstleister solcher Unternehmen erreichen Sie die Anforderungen über den Vertrag, auch ohne selbst beaufsichtigt zu sein.
Die Sanktionen richten sich nach dem nationalen Aufsichtsrecht. Die BaFin kann Maßnahmen anordnen und Geldbußen verhängen. Für kritische IKT-Drittdienstleister sehen die europäischen Aufsichtsbehörden eigene Zwangsgelder vor. Die Verantwortung für das IKT-Risiko liegt ausdrücklich beim Leitungsorgan.
Nein. DORA ist eine Verordnung mit Aufsicht, keine zertifizierbare Norm. Sie weisen die Umsetzung gegenüber der BaFin und Ihren Prüfern nach. Zertifikate nach ISO 27001 oder Testate nach C5 helfen dabei als Nachweise, ersetzen ihn aber nicht.
Bei einem schwerwiegenden IKT-bezogenen Vorfall: Erstmeldung spätestens vier Stunden nach der Einstufung und in keinem Fall später als 24 Stunden nach Kenntnisnahme, Zwischenmeldung binnen 72 Stunden, Abschlussmeldung binnen eines Monats. Die genauen Bezugspunkte regeln die technischen Standards.
Ein vollständiges Verzeichnis aller Verträge über IKT-Dienstleistungen, auf Ebene des Einzelunternehmens und der Gruppe, mit unterstützten Funktionen und Unterauftragnehmern. Es ist aktuell zu halten und der Aufsicht regelmäßig vorzulegen. Die geforderten Angaben müssen meist aus Verträgen, Einkauf und Betrieb zusammengetragen werden.
Nur, wenn die Aufsicht Sie dafür bestimmt. Dann mindestens alle drei Jahre. Alle anderen brauchen ein risikobasiertes Testprogramm mit Schwachstellenbewertungen, Penetrationstests und ähnlichen Prüfungen.
Für Finanzunternehmen geht DORA als speziellere Regelung vor. Die Cybersicherheitspflichten erfüllen Sie dort. Sightadel bedient beide über dieselben Nachweise, falls Teile Ihrer Gruppe unter NIS2 fallen.
Nein, mit Absicht. Die KI liefert Entwürfe aus Branchenvorlagen und hilft beim Formulieren. Kritische Funktionen, Risikoappetit und Klassifizierung entscheiden Sie selbst – genau das prüft die Aufsicht.
Einmal jährlich zu einem Stichtag, in einem von der BaFin festgelegten Zeitfenster über ihre Melde- und Veröffentlichungsplattform. Für 2026 lag das Fenster im März. Das Register muss die Validierungsregeln der europäischen Aufsichtsbehörden bestehen. Die aktuellen Termine veröffentlicht die BaFin.
Für Unternehmen im Anwendungsbereich von DORA wurden die bisherigen IT-Rundschreiben der BaFin durch die Verordnung abgelöst. Die BaFin hat Hinweise veröffentlicht, wie sich bestehende Vorgaben zu DORA verhalten. Klären Sie vor der Lückenanalyse, welche Teile in Ihrem Haus weiter gelten.
14 Tage, voller Zugriff, keine Zahlungsdaten. Was Sie anlegen, bleibt im bezahlten Plan erhalten.
