eyeDcompliance, Ihre DORA-Experten
Wir, die Abteilung eyeDcompliance, arbeiten seit Längerem mit DORA und haben maßgeschneiderte Richtlinienkonzepte zur Steuerung Ihrer IKT-Risiken, Aktionspläne zur frühzeitigen Erkennung von Cybervorfällen sowie einen Maßnahmenkatalog zur Überwachung von IKT-Dienstleistern und zur Prüfung Ihrer operativen Resilienz. Wir begleiten Sie bei der Implementierung und stehen Ihnen auch bei internen und externen Audits zur Seite. Wir haben viele DORA-Fragestellungen analysiert und beantwortet. Dadurch können wir die regulatorischen Anforderungen gemeinsam effizient und wirtschaftlich umsetzen. Vereinbaren Sie ein unverbindliches Erstgespräch!
Der Digital Operational Resilience Act (DORA) ist eine europäische Verordnung zur Stärkung der digitalen operationalen Resilienz im Finanzsektor. DORA verpflichtet Finanzunternehmen unter anderem dazu:
ihre IKT-Risiken systematisch zu steuern
Cybervorfälle frühzeitig zu erkennen und zu melden
IKT-Dienstleister stärker zu überwachen
ihre operative Resilienz regelmäßig zu testen
Auszüge der Erfahrungen aus den Abschlussprüfungen 2025
Feststellungen
Die Wirtschaftsprüfer gehen wegen DORA von einer Zunahme der Feststellungen aus.
Wirksamkeit
Bisher lag der Schwerpunkt auf der Angemessenheit, zukünftig wird die Wirksamkeit viel stärker geprüft.
ISMS-System
Ein dezidiertes IT-System für das ISMS erleichtert die Beantwortung der Prüferfragen erheblich.
Prüfintervalle
In der DORA sind bestimmte Prüfungsintervalle zeitlich genau vorgegeben. Diese sind dringend zu berücksichtigen.
Erfahrungen aus DORA-Prüfungen
Aufgrund unserer Erfahrung mit DORA-Jahresabschlussprüfungen und DORA-Sonderprüfungen können wir viele Fragen genau beantworten. Vereinbaren Sie ein unverbindliches und kostenloses Erstgespräch.
Unsere Unterstützung bei der Umsetzung von DORA
Übernahme der IKT-Risikokontrollfunktion als externer Beauftragter
Aufbau und Weiterentwicklung eines IKT-Risikomanagements
Übernahme der ISB-Funktion als externer Beauftragter einschließlich der IKT-Risikokontrollfunktion.
Unterstützung beim Vorfallsmanagement und Incident Reporting
Bewertung und Steuerung von IKT-Drittparteirisiken
Konzeption von Geschäftsfortführungs- und Wiederherstellungsmaßnahmen
Vorbereitung auf regulatorische Prüfungen
Unser Vorgehen bei der DORA-Umsetzung
Analyse der Ausgangssituation
Bewertung der bestehenden Governance-Strukturen, Sicherheitsmaßnahmen und Risikomanagementprozesse im Hinblick auf die Anforderungen der DORA-Regulierung.
DORA-Gap-Analyse
Durchführung eines vollständigen Abgleichs der DORA-Anforderungen mit der aktuellen Situation Ihres Unternehmens. Die Analyse erfolgt unter anderem auf Basis der veröffentlichten Dokumentations- und Prüferwartungen der BaFin.
Maßnahmenplanung
Entwicklung einer auf Ihr Unternehmen zugeschnittenen Maßnahmenplanung zur effizienten Erreichung aller regulatorischen und organisatorischen Ziele. Ziel ist eine hocheffiziente Umsetzung der DORA-Anforderungen auf Basis Ihrer bestehenden Strukturen.
Umsetzung der Anforderungen
Unterstützung bei der Einführung und Anpassung von Richtlinien, Prozessen und technischen Maßnahmen zur Umsetzung der regulatorischen Anforderungen.
Vorbereitung auf Prüfungen
Begleitung bei internen und externen Prüfungen sowie Unterstützung bei regulatorischen Nachweisen gegenüber Aufsichtsbehörden und Wirtschaftsprüfern.
Häufige Fragen zu DORA
Die EU-Verordnung DORA (Digital Operational Resilience Act, Verordnung (EU) 2022/2554) regelt die digitale operationale Resilienz im Finanzsektor. Sie gilt seit dem 17. Januar 2025 unmittelbar in allen EU-Mitgliedstaaten, ohne dass sie erst in nationales Recht umgesetzt werden muss. Allerdings findet DORA nicht für alle Firmen und Institute zur gleichen Zeit Anwendung.
Fast alle regulierten Finanzunternehmen und Institute, z. B. Banken, Versicherer, Zahlungsinstitute, Wertpapierfirmen und Krypto-Dienstleister. Mittelbar betroffen sind auch IKT-Dienstleister dieser Unternehmen, da Finanzunternehmen bestimmte Anforderungen vertraglich an sie weitergeben müssen. Für besonders kritische Anbieter gibt es zudem eine direkte europäische Aufsicht.
Die fünf Säulen von DORA sind
– IKT-Risikomanagement
– Behandlung und Meldung IKT-bezogener Vorfälle
– Testen der digitalen operationalen Resilienz
– Management des IKT-Drittparteienrisikos
– Informationsaustausch über Cyberbedrohungen
Eine eigenständige Funktion, die das IKT-Risikomanagement überwacht und von den operativen IKT-Bereichen getrennt ist. Sie soll Risiken unabhängig bewerten, an die Geschäftsleitung berichten und dokumentieren, damit Aufsicht und Prüfer die Wirksamkeit nachvollziehen können.
DORA schreibt eine unabhängige IKT-Risikokontrollfunktion vor. Die IKT-Risikokontrollfunktion und der Informationssicherheitsbeauftragte sind tatsächlich eigenständige Funktionen mit unterschiedlichen Aufgabenschwerpunkten. Gleichzeitig gibt es Schnittmengen, die eine kombinierte Wahrnehmung ermöglichen. In ihren Umsetzungshinweisen greift die BaFin diese Wahrnehmung ausdrücklich auf und stellt fest, dass die IKT-Risikokontrollfunktion dem Informationssicherheitsbeauftragten in ihrer Stellung und Unabhängigkeit grundsätzlich ähnelt, aber nicht identisch ist.
Die Letztverantwortung liegt bei der Geschäftsleitung, die den IKT-Risikomanagementrahmen festlegen, genehmigen und beaufsichtigen muss. Eine reine Delegation an die IT genügt nicht.
Neben der Gesamtverantwortung muss sich die Geschäftsleitung auch kontinuierlich und mindestens jährlich fortbilden.
Es gibt drei Meldefristen:
– Erstmeldung: innerhalb von 4 Stunden nach der Einstufung als schwerwiegend, spätestens 24 Stunden nach Kenntnisnahme
– Zwischenbericht: innerhalb von 72 Stunden nach der Erstmeldung
– Abschlussbericht: spätestens einen Monat nach dem Zwischenbericht
Kritische oder wichtige IKT-Systeme müssen mindestens einmal jährlich getestet werden. Von der Aufsicht ausgewählte Unternehmen müssen zusätzlich mindestens alle drei Jahre einen bedrohungsorientierten Penetrationstest (TLPT) durchführen.
Finanzunternehmen müssen ein Informationsregister über alle vertraglichen Vereinbarungen mit IKT-Drittdienstleistern führen, Verträge um verpflichtende Mindestinhalte (Art. 30) ergänzen und Ausstiegsstrategien für kritische Dienste vorhalten.
Typischerweise mit einer Gap-Analyse gegen die DORA-Anforderungen, gefolgt von Priorisierung, Aufbau bzw. Schärfung der Kontrollfunktion, Dokumentation und einem Testplan.
