DORA (Regulation (EU) 2022/2554)
Worum es geht
Eine EU-Verordnung zur digitalen operationalen Resilienz im Finanzsektor, die seit dem 17. Januar 2025 unmittelbar in jedem Mitgliedstaat gilt. Ihre Säulen sind das IKT-Risikomanagement (Artikel 5 bis 16), das Management und die Meldung IKT-bezogener Vorfälle (Artikel 17 bis 23), Tests der digitalen operationalen Resilienz (Artikel 24 bis 27), das IKT-Drittparteienrisiko (Artikel 28 bis 44) und der Informationsaustausch (Artikel 45). Technische Regulierungsstandards, etwa die Delegierte Verordnung (EU) 2024/1774 zum Framework für das IKT-Risikomanagement, konkretisieren die Anforderungen.
Für wen es relevant ist
Rund zwanzig Arten von Finanzunternehmen in der EU, darunter Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Anbieter von Kryptowerte-Dienstleistungen, Versicherer und Rückversicherer. Die Europäischen Aufsichtsbehörden beaufsichtigen zudem unmittelbar kritische IKT-Drittdienstleister. Für Finanzunternehmen haben die Regeln von DORA Vorrang vor den entsprechenden Maßnahmen nach NIS2.
So wird geprüft
Es gibt keine Zertifizierung. Die nationalen zuständigen Behörden und für bedeutende Banken die EZB überwachen die Einhaltung. Schwerwiegende IKT-bezogene Vorfälle werden stufenweise gemeldet (eine Erstmeldung, Zwischenberichte und ein Abschlussbericht) innerhalb der Fristen, die in den technischen Standards festgelegt sind. Von ihrer Behörde ausgewählte Unternehmen müssen mindestens alle drei Jahre bedrohungsorientierte Penetrationstests (TLPT) durchführen.
Zählungen: die Artikel, die Finanzunternehmen binden (5–14, 16–19, 24–30, 45), auf Absatzebene zugeordnet.
DORA bezeichnet hier die Artikel, die Finanzunternehmen binden, redaktionell auf Absatzebene zugeordnet. Die technischen Standards, die Details ergänzen, etwa die Delegierte Verordnung (EU) 2024/1774, sind nicht zugeordnet; technische Themen, die sie abdecken, zeigen daher keine Verknüpfung.
Anforderungen
Anforderungs-IDs und Titel werden so angezeigt, wie jedes Framework sie veröffentlicht, auf Englisch.
| ID | Anforderung | Themen | Zugeordnet in |
|---|---|---|---|
| Chapter II: ICT risk management · 11 | |||
| Art.5 | Governance and organisation | Risikomanagement, Governance-Richtlinie, Rollen und Verantwortlichkeiten, Compliance, Awareness & Training | 10 von 13 |
| Art.6 | ICT risk management framework | Risikomanagement, Physische Sicherheit, Rollen und Verantwortlichkeiten, Governance-Richtlinie, Compliance | 10 von 13 |
| Art.7 | ICT systems, protocols and tools | — | keine |
| Art.8 | Identification | Asset-Management, Geschäftsumfeld, Datenklassifizierung, Risikobewertung, Schwachstellenmanagement, Threat Intelligence | 13 von 13 |
| Art.9 | Protection and prevention | Kont. Überwachung, Datenschutz, Verschlüsselung, Governance-Richtlinie, Firewall / Netzsegmentierung, Zugriffskontrolle, Privilegierter Zugriff, Physische Sicherheit, Multi-Faktor-Authentifizierung, Patch-Management | 10 von 13 |
| Art.10 | Detection | Angriffserkennung, Anomalieerkennung, SIEM / SOC, Kont. Überwachung, Protokollierung & Audit, Insider-Bedrohungen | 10 von 13 |
| Art.11 | Response and recovery | Business Continuity, Incident Response, Mitigation, Kommunikation & Wiederherstellung, Wiederherstellungsplanung, Geschäftsumfeld, Disaster Recovery | 8 von 13 |
| Art.12 | Backup policies and procedures, restoration and recovery procedures and methods | Backup & Recovery, Disaster Recovery, Wiederherstellungsplanung | 11 von 13 |
| Art.13 | Learning and evolving | Threat Intelligence, Forensik, Erkenntnisse aus Vorfällen, Awareness & Training | 6 von 13 |
| Art.14 | Communication | Kommunikation | 8 von 13 |
| Art.16 | Simplified ICT risk management framework | Risikomanagement | 10 von 13 |
| Chapter III: ICT-related incidents · 3 | |||
| Art.17 | ICT-related incident management process | Incident Response, Forensik, Kommunikation, Mitigation | 12 von 13 |
| Art.18 | Classification of ICT-related incidents and cyber threats | Incident Response, Meldung | 12 von 13 |
| Art.19 | Reporting of major ICT-related incidents and voluntary notification of significant cyber threats | Meldung | 12 von 13 |
| Chapter IV: Resilience testing · 4 | |||
| Art.24 | General requirements for the performance of digital operational resilience testing | Risikomanagement | 10 von 13 |
| Art.25 | Testing of ICT tools and systems | Schwachstellenmanagement | 13 von 13 |
| Art.26 | Advanced testing of ICT tools, systems and processes based on TLPT | Schwachstellenmanagement | 13 von 13 |
| Art.27 | Requirements for testers for the carrying out of TLPT | Schwachstellenmanagement | 13 von 13 |
| Chapter V: ICT third-party risk · 3 | |||
| Art.28 | General principles | Lieferkettenrisiko, Lieferantenrisikomanagement, Cloud-Sicherheit | 9 von 13 |
| Art.29 | Preliminary assessment of ICT concentration risk at entity level | Lieferkettenrisiko | 9 von 13 |
| Art.30 | Key contractual provisions | Cloud-Sicherheit, Lieferantenrisikomanagement | 12 von 13 |
| Chapter VI: Information sharing · 1 | |||
| Art.45 | Information-sharing arrangements on cyber threat information and intelligence | Threat Intelligence | 6 von 13 |
Themenabdeckung
Themen mit zugeordneten DORA-Anforderungen (39):
Keine Zuordnung in unseren Daten Keine DORA-Anforderung (11):