DORA Verordnung umsetzen: Anforderungen und Herausforderungen für Unternehmen

Die DORA Verordnung, auch Digital Operational Resilience Act genannt, ist seit dem 17. Januar 2025 verbindlich anzuwenden. Sie verpflichtet Finanzunternehmen in der EU, ihre digitale Widerstandsfähigkeit systematisch zu stärken.

Der Hintergrund ist klar: Geschäftsmodelle im Finanzsektor sind heute vollständig von IT-Systemen abhängig. Fällt ein System aus, steht nicht nur ein einzelnes Unternehmen still. Es können ganze Marktstrukturen betroffen sein.

Genau hier setzt DORA an. Im Fokus stehen IT-Risiken, Cyberangriffe und die wachsende Abhängigkeit von externen IT-Dienstleistern. Für viele Unternehmen bedeutet das eine grundlegende Neuausrichtung von Prozessen, Verantwortlichkeiten und Kontrollmechanismen.

Der folgende Artikel zeigt, was die DORA Verordnung konkret verlangt, wer betroffen ist und wie sich die Umsetzung strukturiert angehen lässt.

‍

Das Wichtigste zur DORA Verordnung auf einen Blick

‍

Die DORA Verordnung gilt seit dem 17. Januar 2025 verbindlich für Finanzunternehmen in der EU. Sie legt fest, wie digitale Risiken gesteuert, IT-Vorfälle gemeldet und Abhängigkeiten von IKT-Drittdienstleistern (Unternehmen, die IT-Systeme, Software oder digitale Infrastruktur für Finanzunternehmen bereitstellen oder betreiben) transparent gemacht werden müssen.

Ein zentraler Punkt ist dabei das Management externer IT-Dienstleister. Unternehmen müssen alle IKT-Dienstleistungsverträge vollständig erfassen, strukturiert auswerten und für regulatorische Anforderungen bereitstellen. Genau hier entsteht in der Praxis häufig der größte Umsetzungsaufwand.

‍

Was ist die DORA Verordnung?

‍

Die DORA Verordnung ist ein EU-weiter Rechtsrahmen zur Regulierung digitaler Risiken im Finanzsektor und gilt unmittelbar in allen Mitgliedstaaten.

Ziel ist es, ein einheitliches Niveau an digitaler operativer Resilienz zu schaffen. Finanzunternehmen sollen auch dann handlungsfähig bleiben, wenn IT-Systeme ausfallen oder angegriffen werden.

Im Kern definiert DORA verbindliche Anforderungen an den Umgang mit IT-Risiken. Unternehmen müssen Risiken kontinuierlich überwachen, Sicherheitsvorfälle innerhalb klarer Fristen melden und ihre Abhängigkeiten von IKT-Drittdienstleistern (Unternehmen, die IT-Systeme, Software oder digitale Infrastruktur für Finanzunternehmen bereitstellen oder betreiben) transparent machen.

Ein wesentlicher Unterschied zu früheren Regelwerken liegt in der direkten Anwendbarkeit. DORA gilt europaweit ohne nationale Umsetzung. Dadurch sind die Anforderungen klar definiert, gleichzeitig steigt der Druck auf Unternehmen, diese strukturiert umzusetzen.

‍

Warum wurde DORA eingeführt?

‍

Die zunehmende Digitalisierung hat den Finanzsektor effizienter gemacht. Gleichzeitig hat sie neue Abhängigkeiten geschaffen.

Ein einzelner IT-Ausfall kann heute Zahlungsströme unterbrechen, Handelsprozesse stoppen oder den Zugriff auf Kundendaten verhindern.

Hinzu kommt, dass viele dieser Systeme nicht mehr vollständig intern betrieben werden. Cloud-Anbieter, Software-Dienstleister und externe Plattformen sind fester Bestandteil der Infrastruktur.

Bisher waren regulatorische Anforderungen innerhalb der EU unterschiedlich ausgestaltet. Das führte zu Inkonsistenzen und Sicherheitslücken.

Die DORA Verordnung schließt diese Lücke. Sie setzt voraus, dass Unternehmen digitale Risiken strukturiert erfassen, bewerten und dauerhaft steuern.

‍

Wer ist von der DORA Verordnung betroffen?

‍

Die DORA Verordnung betrifft nahezu alle regulierten Finanzunternehmen. Dazu zählen Banken, Versicherungen, Zahlungsdienstleister und Wertpapierfirmen.

Entscheidend ist jedoch ein zweiter Blick.

Auch IKT-Drittdienstleister stehen im Fokus. Dabei handelt es sich um Anbieter, von denen Finanzunternehmen in wesentlichen Bereichen ihres Geschäftsbetriebs abhängig sind, etwa beim Betrieb von Kernbankensystemen, Zahlungsinfrastrukturen, Cloud-Plattformen oder zentralen Datenverarbeitungssystemen. Typische Beispiele sind:

• Cloud-Anbieter
• IT-Outsourcing-Dienstleister
• Software- und SaaS-Anbieter
• Rechenzentren

Kritisch sind diese Dienstleister vor allem dann, wenn ein Ausfall direkte Auswirkungen auf die Funktionsfähigkeit von Finanzdienstleistungen hat oder wenn viele regulierte Unternehmen gleichzeitig auf denselben Anbieter angewiesen sind.

In solchen Fällen kann eine direkte europäische Aufsicht erfolgen, etwa durch die europäischen Aufsichtsbehörden. Damit rücken erstmals auch zentrale IT-Dienstleister selbst stärker in den Fokus der Regulierung.

Für detailliertere Informationen zur Betroffenheit sowie zu den Schnittstellen mit NIS2, die Cybersicherheitsanforderungen und Meldepflichten auch für weitere kritische und wichtige Einrichtungen sektorübergreifend erweitert, finden Sie hier eine vertiefende Übersicht: OpenKRITIS: Digital Operational Resilience Act

‍

Was ändert sich durch die DORA Verordnung?

‍

DORA verschärft bestehende Anforderungen deutlich und erweitert gleichzeitig deren Umfang.

IT-Risiken werden nicht mehr isoliert betrachtet. Sie werden zu einem festen Bestandteil der unternehmerischen Steuerung.

Gleichzeitig verschiebt sich die Verantwortung. Entscheidungen zur IT-Sicherheit liegen nicht mehr ausschließlich in der IT-Abteilung, sondern auf Managementebene.

Das verändert die Perspektive. Aus einem technischen Thema wird eine strategische Aufgabe.

‍

DORA Anforderungen: Was Unternehmen konkret umsetzen müssen

‍

Die Anforderungen der DORA Verordnung greifen in mehrere Bereiche gleichzeitig. Sie betreffen Organisation, Prozesse und Technologie.

‍

IKT-Risikomanagement

Unternehmen müssen ein strukturiertes Rahmenwerk für den Umgang mit IT-Risiken etablieren. Risiken dürfen nicht nur punktuell betrachtet werden. Sie müssen kontinuierlich überwacht und gesteuert werden.

Dazu gehören klare Verantwortlichkeiten, definierte Sicherheitsmaßnahmen sowie Prozesse für Backup und Wiederherstellung.

Neu ist vor allem die Verankerung auf Managementebene. IT-Risiken sind keine rein technische Aufgabe mehr. Sie werden Teil der Unternehmenssteuerung.

‍

Meldung von IKT-Vorfällen

Schwere IT-Sicherheitsvorfälle müssen innerhalb klar definierter Fristen gemeldet werden.

In der Praxis bedeutet das:

• Erstmeldung in der Regel innerhalb von 24 Stunden nach Bekanntwerden
• Zwischenberichte mit weiteren Details
• Abschlussbericht nach vollständiger Analyse

Das setzt voraus, dass Unternehmen Vorfälle zuverlässig erkennen, korrekt einordnen und strukturiert dokumentieren können.

In vielen Organisationen scheitert genau diese Umsetzung an fehlender Transparenz und unklaren Prozessen. Informationen sind verteilt, Zuständigkeiten nicht eindeutig definiert.

DORA verlangt hier klar definierte Abläufe, eindeutige Verantwortlichkeiten und eine konsistente Dokumentation von Vorfällen. Ohne diese Grundlagen wird die fristgerechte und vollständige Meldung schnell zur Herausforderung.

‍

Tests der digitalen Resilienz

Unternehmen müssen regelmäßig prüfen, ob ihre Systeme belastbar sind. Dazu gehören unter anderem Penetrationstests und simulationsbasierte Szenarien, mit denen Schwachstellen frühzeitig erkannt und gezielt behoben werden können, etwa durch die Simulation von Cyberangriffen oder den Ausfall zentraler Systeme wie Zahlungs- oder Dateninfrastrukturen.

Entscheidend ist dabei nicht nur die Durchführung der Tests, sondern der nachvollziehbare Nachweis digitaler Resilienz. Unternehmen müssen belegen können, wie widerstandsfähig ihre Systeme gegenüber Störungen und Angriffen sind. Dazu gehört auch ein strukturierter Umgang mit den Testergebnissen. Schwachstellen müssen dokumentiert, bewertet und in konkrete Maßnahmen überführt werden. Gleichzeitig ist sicherzustellen, dass die Ergebnisse in die Weiterentwicklung von Sicherheits- und Notfallprozessen einfließen.

‍

Management von IKT-Drittdienstleistern

Ein zentraler Bestandteil der DORA Verordnung ist die Steuerung externer IT-Dienstleister.

Viele Unternehmen sind heute stark von externen Anbietern abhängig. Genau hier entstehen Risiken, die häufig nicht ausreichend kontrolliert werden.

DORA verlangt deshalb ein vollständiges Register aller IKT-Dienstleistungsverträge.

Dieses Register muss nicht nur vollständig sein, es muss auch strukturiert aufgebaut sein, sodass Informationen zu Dienstleistern, Leistungen, Risiken und vertraglichen Verpflichtungen jederzeit abrufbar sind. Zudem müssen diese Daten so vorliegen, dass sie für regulatorische Meldungen weiterverarbeitet werden können.

In der Realität zeigt sich hier eine klare Schwachstelle. Verträge sind oft dezentral gespeichert, Informationen schwer zugänglich und Abhängigkeiten nicht transparent.

Für eine DORA-konforme Umsetzung reicht es daher nicht aus, Verträge lediglich zu dokumentieren. Entscheidend ist, dass alle relevanten Informationen strukturiert erfasst, zentral zugänglich gemacht und systematisch ausgewertet werden können. Nur so entsteht eine belastbare Grundlage für die Steuerung von IKT-Drittdienstleistern und die Erfüllung regulatorischer Anforderungen.

‍

DORA Umsetzung: Wo Unternehmen aktuell scheitern

‍

Die größte Herausforderung liegt selten in der Technologie. Die notwendigen Lösungen existieren in den meisten Fällen bereits.

Die eigentliche Herausforderung entsteht in der Umsetzung.

Viele Unternehmen haben keinen konsolidierten Überblick über ihre IT-Dienstleister und die damit verbundenen Verpflichtungen. Informationen sind über verschiedene Systeme, Abteilungen und Dokumente verteilt. Dadurch fehlt eine belastbare Grundlage für Steuerung und Reporting.

Hinzu kommt, dass regulatorische Anforderungen zwar formal vorhanden sind, in der Praxis jedoch nicht durchgängig dokumentiert oder aktuell gehalten werden. Zuständigkeiten sind nicht immer eindeutig definiert, und Abhängigkeiten von einzelnen Dienstleistern bleiben teilweise unklar.

Gerade bei steigender Komplexität der IT-Landschaft führt das zu operativen Problemen. Abstimmungen zwischen Fachbereichen nehmen zu, manuelle Pflege von Listen bindet Ressourcen, und die Auskunftsfähigkeit gegenüber Aufsichtsbehörden wird erschwert.

Die Umsetzung der DORA Anforderungen wird damit weniger zu einer technischen Frage, sondern zu einer Frage von Struktur, Transparenz und klaren Prozessen.

‍

‍

Welche Rolle spielt Vertragsmanagement bei DORA?

‍

DORA definiert klare Anforderungen an den Umgang mit Verträgen im Kontext von IKT-Dienstleistern. Sicherheitsanforderungen, Meldepflichten und Audit-Rechte müssen verbindlich in Verträgen festgelegt werden.

Diese Informationen müssen jederzeit zugänglich sein, um regulatorische Anforderungen zuverlässig zu erfüllen.

Ein strukturiertes Vertragsmanagement schafft dafür die Grundlage. Vertragsinhalte werden zentral gebündelt, relevante Informationen sind unmittelbar verfügbar und können ohne manuellen Aufwand ausgewertet werden. Entscheidend ist dabei, dass Vertragsdaten einheitlich über definierte Felder erfasst werden, etwa zu Dienstleistern, Vertragsbeziehungen, kritischen beziehungsweise wichtigen Funktionen des Geschäftsbetriebs oder Risiko-Einstufungen, wie sie auch im DORA-Informationsregister gefordert werden.

Lösungen wie ContractHero unterstützen dabei, diese Transparenz herzustellen und Vertragsinformationen konsistent über alle Dienstleister hinweg abzubilden.

So entsteht eine belastbare Grundlage für regulatorische Anforderungen, insbesondere im Zusammenhang mit dem DORA-Informationsregister.

‍

DORA Informationsregister: Warum strukturierte Vertragsdaten entscheidend sind

‍

Ein zentraler Bestandteil der DORA Umsetzung ist das sogenannte Register of Information (RoI). Es umfasst alle IKT-Dienstleister und Vertragsbeziehungen und muss in einem standardisierten Format mit klar definierten Datenfeldern an Aufsichtsbehörden übermittelt werden. In der Praxis erfolgt dies in Form strukturierter CSV-Daten.

Entscheidend ist dabei nicht nur die Vollständigkeit, sondern vor allem die einheitliche Struktur der Daten. Nur so lassen sich die Informationen effizient weiterverarbeiten und in die geforderten Formate überführen.

In der Praxis folgt die Umsetzung einem klaren Ablauf: Vertragsdaten werden strukturiert erfasst, entlang definierter Felder standardisiert und anschließend für regulatorische Meldungen exportiert.

Genau hier liegt der Mehrwert strukturierter Lösungen. Mit ContractHero können Vertragsdaten gezielt über definierte Felder erfasst und in standardisierten Listenansichten gebündelt werden. Diese lassen sich filtern und als strukturierte CSV-Datei exportieren. Dadurch entfällt die manuelle Zusammenstellung der Daten für regulatorische Meldungen weitgehend.

‍

Fazit: DORA strukturiert umsetzen und Kontrolle gewinnen

‍

Die DORA Verordnung erhöht die Anforderungen an Transparenz, Nachvollziehbarkeit und Steuerung deutlich. Besonders im Umgang mit IT-Dienstleistern zeigt sich schnell, wie komplex die Umsetzung ohne klare Strukturen wird.

Entscheidend ist dabei weniger die Technologie als die Organisation der zugrunde liegenden Informationen. Wer Verträge, Verpflichtungen und Abhängigkeiten nicht konsistent erfasst, stößt bei der Umsetzung schnell an operative Grenzen.

Ein strukturiertes Vertragsmanagement schafft hier die notwendige Grundlage.

ContractHero unterstützt Unternehmen dabei, ihre Vertragslandschaft zentral zu bündeln, relevante Inhalte schnell zugänglich zu machen und regulatorische Anforderungen systematisch abzubilden.

So wird DORA nicht nur zu einer regulatorischen Anforderung, sondern zu einem Hebel, um Transparenz zu erhöhen und Prozesse nachhaltig besser zu steuern.