DORA: Digitale operationale Resilienz für Finanzinstitute
Der Digital Operational Resilience Act verpflichtet Banken, Versicherungen, Zahlungsdienstleister, Krypto-Dienstleister und ihre kritischen IKT-Drittanbieter zu einheitlichem IKT-Risikomanagement; EU-weit unmittelbar geltendes Recht.
Eine Verordnung, direkt anwendbar in allen 27 Mitgliedstaaten.
Die Verordnung (EU) 2022/2554 („DORA“) bündelt die zuvor verstreuten IKT-Risikoanforderungen für den Finanzsektor in einem Rahmenwerk. Sie gilt unmittelbar, ohne nationales Umsetzungsgesetz, für Banken, Versicherungen, Wertpapierfirmen, Zahlungs- und E-Geld-Institute, Krypto-Dienstleister (CASP) und weitere Finanzunternehmen.
Kritische IKT-Drittdienstleister (Cloud-Anbieter, Rechenzentren u.ä.) unterliegen einem eigenen Überwachungsregime der Europäischen Aufsichtsbehörden (EBA, ESMA, EIOPA).
Konkretisiert wird DORA durch Regulatory und Implementing Technical Standards (RTS/ITS) der ESAs, insbesondere zu Vorfallsmeldung, Drittanbieter-Register (Register of Information) und Resilienz-Testing (TLPT).
Wichtige Stichtage
DORA im Amtsblatt der EU veröffentlicht
Verordnung (EU) 2022/2554, Amtsblatt L 333; Inkrafttreten der Verordnung am zwanzigsten Tag danach.
Vollständige Anwendbarkeit EU-weit
Art. 64: „This Regulation shall apply from 17 January 2025.“ Ohne nationales Umsetzungsgesetz unmittelbar geltendes Recht in allen Mitgliedstaaten.
IKT-Drittanbieter-Register laufend führen
Nach Art. 28 ist das Register of Information fortlaufend aktuell zu halten und der Aufsicht auf Anfrage bzw. gemäß ITS-Vorgaben bereitzustellen.
Meldung schwerer IKT-Vorfälle
Art. 19 i. V. m. RTS/ITS (u. a. Delegierte Verordnung (EU) 2025/301): Erstmeldung binnen 4 Stunden nach Klassifizierung, Zwischenbericht binnen 72 Stunden, Abschlussbericht binnen einem Monat.
Was DORA konkret verlangt.
IKT-Risikomanagement
Rahmen für Identifikation, Schutz, Erkennung, Reaktion und Wiederherstellung nach IKT-Risiken, inklusive Verantwortung der Leitungsorgane.
Drittanbieter-Register (RoI)
Laufend aktuelles Register aller IKT-Drittdienstleister inklusive Konzentrationsrisiko-Bewertung, meldepflichtig an die zuständige Aufsichtsbehörde.
Meldekaskade schwerer Vorfälle
Gestaffelte Meldung binnen 4 Stunden (Erstmeldung), 72 Stunden (Zwischenbericht) und einem Monat (Abschlussbericht) nach Klassifizierung eines schwerwiegenden IKT-Vorfalls.
Resilienz-Testing (TLPT)
Regelmäßige Resilienztests, für bedeutende Institute inklusive bedrohungsorientierter Penetrationstests (Threat-Led Penetration Testing).
Register, Meldekaskade und Cross-Mapping in einem Pack.
Lieferketten-Resilienz, die sich beweisen lässt. Drittanbieter sind bei DORA Kern der operationalen Resilienz; ReportAct macht das Register zum laufenden Beweis.
Das Framework-Pack DORA führt das IKT-Drittanbieter-Register (RT.02.xx nach ESMA-ITS-Struktur) mit XBRL-Export; die Meldung an die Aufsicht erfolgt direkt aus versiegelten Daten.
Konzentrationsrisiko im Blick der Aufsicht. Die ESAs designieren kritische IKT-Drittanbieter (CTPPs), und die BaFin führt die Konzentration von IKT-Auslagerungen als Fokusrisiko. ReportAct berechnet das Konzentrationsrisiko deterministisch aus Ihrem Register (Cluster nach Service-Typ und Land, Single-Point-of-Failure-Erkennung) und versiegelt das Ergebnis als Nachweis nach Art. 29.
Für die Meldekaskade gibt es einen Fristentracker mit 4-Stunden-Klassifizierungsalarm; jede Statusänderung wird kryptografisch versiegelt.
Per Cross-Mapping zu ISO/IEC 27001 und dem EU AI Act zählt eine einmal erfasste Kontrolle für mehrere Regime.
Produkt-/Positionierungsaussage, keine Rechtsberatung.
Wenn das SIEM meldet, läuft die Meldekaskade automatisch.
Ihr SIEM/SIAM liefert einen IKT-Alarm über eine REST-Schnittstelle mit einem Schlüssel je Einrichtung an ReportAct. Daraus wird ein Vorfall mit laufender Meldefrist.
Was ankommt
Der Schlüssel gehört genau einer Einrichtung und genau einer Berechtigung (Ereignisse einliefern); jede Verwendung wird protokolliert, auch eine abgelehnte. Sie stellen ihn in den Einstellungen aus, rotieren ihn ohne Ausfall und widerrufen ihn mit Begründung; der Klartext wird einmal angezeigt. Filterregeln je Einrichtung, etwa ein Mindest-Schweregrad, entscheiden, was als Vorfall zählt. Was durchfällt, bleibt im Protokoll sichtbar, löst aber keinen Vorfall aus.
Was sofort passiert
Ein relevantes Ereignis wird in derselben Anfrage zum Vorfall; die Meldefrist rechnet ab dem Erkennungszeitpunkt Ihres Quellsystems, nicht ab dem Eingang bei ReportAct. Die erste Alarmstufe feuert sofort: Ihre Eskalationskette, ersatzweise eine Vorgaberichtlinie an Eigentümer und Administratoren.
Was Mensch bleibt
Die Maschine setzt nur einen vorläufigen Startwert; die endgültige Klassifizierung nach Art. 18 DORA bewertet ein Mensch. Die Uhr läuft in der Zwischenzeit, denn die Meldefrist bemisst sich ab Kenntnis (Art. 19 DORA), nicht ab Beurteilung. Der Eingang deckt heute die Meldefristen nach DORA und NIS2/NISG ab, nicht GDPR oder den CRA. Jede Rohnutzlast wird in dieselbe Nachweiskette versiegelt wie jeder andere Nachweis.
Direkt nachlesen
ReportAct ist kein Beratungsunternehmen. Diese Seite ersetzt keine Rechtsberatung. Operative Details der Meldekaskade und des Register of Information werden laufend durch delegierte und durchführende Rechtsakte (RTS/ITS) der ESAs konkretisiert — prüfen Sie vor verbindlichen Entscheidungen den aktuellen Stand direkt bei EBA, ESMA oder EIOPA. Es gelten unsere AGB.
DORA-Register, das prüfungsfähig bleibt.
Starten Sie mit Ihrem IKT-Drittanbieter-Register, inklusive Meldekaskaden-Tracker und XBRL-Export.
- IKT-Risikomanagement
- Drittanbieter-Register (RoI)
- Meldekaskade schwerer Vorfälle