DORA: Was der Finanzsektor 2026 wissen muss
Die 5 S\u00e4ulen des Digital Operational Resilience Act, das Incident-Reporting innerhalb von 4h/72h und das ICT-Drittparteienmanagement. Ein praktischer Leitfaden zur DORA-Compliance.
Der Digital Operational Resilience Act (DORA) ist seit dem 17. Januar 2025 vollständig anwendbar. Dennoch haben im März 2026 zahlreiche Finanzunternehmen weiterhin Schwierigkeiten, die Compliance zu erreichen. Erste Prüfungen der europäischen Aufsichtsbehörden zeigen kritische Lücken, insbesondere beim ICT-Drittparteienmanagement und der Vorfallmeldung.
Die 5 Säulen von DORA
DORA basiert auf fünf grundlegenden Anforderungen, die für mehr als 22 000 Finanzunternehmen in der EU gelten: Banken, Versicherungen, Vermögensverwalter, Zahlungsdienstleister und deren kritische ICT-Dienstleister.
1. ICT-Risikomanagement
Jedes Unternehmen muss ein dokumentiertes ICT-Risikomanagement-Framework unterhalten, das jährlich vom Leitungsorgan überprüft wird. Dies ist keine Delegation an die IT-Abteilung mehr: Der Vorstand ist unmittelbar verantwortlich. Das Framework muss die Identifikation von Vermögenswerten, die Risikoklassifizierung und verhältnismäßige Schutzmaßnahmen umfassen.
2. Vorfallmeldung: Die 4h/72h-Regel
Dies ist der größte Reibungspunkt. DORA verlangt eine Erstmeldung innerhalb von 4 Stunden nach Klassifizierung eines schwerwiegenden ICT-Vorfalls, gefolgt von einem Zwischenbericht innerhalb von 72 Stunden und einem Abschlussbericht innerhalb eines Monats. In der Praxis bedeutet dies:
-
Einen automatisierten und getesteten Klassifizierungsprozess
-
Vorausgefüllte und rechtlich geprüfte Berichtsvorlagen
-
Eine funktionsfähige Eskalationskette rund um die Uhr
-
Regelmäßige Vorfallsimulationsübungen
Ein Tool wie ThreatClaw ermöglicht die Automatisierung der Erkennung, Klassifizierung und Berichtserstellung im von den Aufsichtsbehörden geforderten Format.
3. Tests der digitalen operationalen Resilienz
DORA verlangt bedrohungsgeleitete Penetrationstests (TLPT, Threat-Led Penetration Testing) alle drei Jahre für bedeutende Unternehmen. Diese Tests müssen kritische Funktionen abdecken und von qualifizierten Teams durchgeführt werden. Basistests (Schwachstellenscans, Szenariotests) sind jährlich erforderlich.
4. ICT-Drittparteienrisikomanagement
Dies ist die komplexeste Säule. Jedes Unternehmen muss ein umfassendes Informationsregister aller ICT-Dienstleister führen, Konzentrationsrisiken bewerten und spezifische Vertragsklauseln integrieren (Prüfungsrechte, Ausstiegspläne, Datenlokalisierung). Von den ESA benannte kritische ICT-Dienstleister unterliegen einer direkten Aufsicht.
5. Informationsaustausch
DORA fördert den Austausch von Cyberbedrohungsinformationen zwischen Finanzunternehmen in einem vertrauenswürdigen Rahmen. Austauschvereinbarungen müssen die DSGVO und Vertraulichkeitsvorschriften einhalten.
Die häufigsten Fehler
-
Den Umfang der ICT-Drittparteien unterschätzen: Cloud, SaaS, Drittanbieter-APIs, alles ist betroffen
-
DORA mit NIS2 verwechseln: DORA ist die lex specialis für den Finanzsektor. NIS2-Compliance ist nicht gleichbedeutend mit DORA-Compliance
-
Unzureichende Dokumentation: Aufsichtsbehörden verlangen Nachweise, keine Absichtserklärungen
-
Fehlende Tests: Ein nicht getesteter Kontinuitätsplan ist kein Plan
Wie ThreatClaw die DORA-Compliance beschleunigt
Die ThreatClaw-Plattform deckt nativ mehrere DORA-Anforderungen ab:
-
Kontinuierliches Monitoring von ICT-Assets und Echtzeit-Anomalieerkennung
-
Automatische Klassifizierung von Vorfällen gemäß DORA-Kriterien
-
Vorformatierte Berichte für das regulatorische Reporting
-
ICT-Abhängigkeitskartierung zur Identifikation von Konzentrationsrisiken
Entdecken Sie unsere Cybersicherheitskompetenzen und unsere auf den Finanzsektor zugeschnittenen Angebote.
FAQ
Für wen gilt DORA?
Für alle regulierten Finanzunternehmen in der EU: Banken, Versicherungen, Wertpapierfirmen, Zahlungsinstitute sowie deren kritische ICT-Dienstleister.
Was ist der Unterschied zwischen DORA und NIS2?
DORA ist die sektorspezifische Regulierung für den Finanzsektor (lex specialis). NIS2 ist allgemeiner gefasst. Finanzunternehmen müssen DORA einhalten, das bei den abgedeckten Anforderungen Vorrang vor NIS2 hat.
Welche Sanktionen drohen bei DORA-Nichteinhaltung?
Nationale Behörden können Verwaltungssanktionen und Korrekturmaßnahmen verhängen. Für kritische ICT-Dienstleister können die ESA Zwangsgelder von bis zu 1% des täglichen weltweiten Umsatzes verhängen.
Wie lange dauert es, DORA-konform zu werden?
Für ein mittelgroßes Unternehmen sollten Sie mit 6 bis 12 Monaten vollständiger Compliance-Arbeit rechnen, abhängig von der bestehenden Reife im ICT-Risikomanagement.
Verwandte Artikel
Eine rohe Liste aus IPs, Domains und Hashes ist leicht zu finden und nahezu wertlos. Der Wert liegt in der Auswahl des richtigen Feeds und in seinem Betrieb: Lizenz, Korroboration, Alterung und die Regel, die verhindert, dass Sie Ihr eigenes CDN blockieren.
Eine CVE erscheint, das Security-Advisory ist öffentlich, aber es existiert noch kein Nuclei-Template. So schreiben Sie ein sauberes: von der Tatsache ausgehen, die Matcher bauen und vor allem beweisen, dass es auf einem verwundbaren Ziel auslöst, ohne bei einem gepatchten Alarm zu schlagen.
Ein Bericht beschreibt eine Angriffstechnik oder die Ausnutzung einer CVE. Sie wollen sie in Ihren Logs erkennen. So schreiben Sie eine Sigma-Regel, die auf das echte Verhalten auslöst, ohne das SOC mit Fehlalarmen zu überfluten, und wie Sie es beweisen.
Sie erhalten eine Malware-Probe (ein DFIR-Einsatz, eine Sandbox, ein Feed. Sie wollen die ganze Familie in Ihrem Bestand erkennen. So schreiben Sie eine YARA-Regel, die die Bedrohung fängt, ohne bei legitimer Software auszulösen) und wie Sie es beweisen.