Glossar · D · DORA

Digital Operational Resilience Act

Beleuchtete Büroetagen eines Hochhauses bei Nacht

Definition

DORA, die Verordnung (EU) 2022/2554, regelt die digitale operationale Resilienz im Finanzsektor: IKT-Risikomanagement, Vorfallmeldungen, Resilienztests und den Umgang mit IKT-Drittdienstleistern.

Banken, Versicherer und andere Finanzunternehmen hängen von IT ab, und zunehmend von Dienstleistern. DORA verlangt, dass sie Störungen standhalten, sie melden und ihre Dienstleister im Griff haben.

Die Verordnung gilt seit dem 17. Januar 2025 unmittelbar in allen Mitgliedstaaten. Den Volltext finden Sie auf EUR-Lex. In Deutschland beaufsichtigt die BaFin die Umsetzung.

#Fünf Säulen

Säule	Kern
IKT-Risikomanagement	Rahmenwerk, Verantwortung der Leitung, Schutz, Erkennung, Wiederherstellung
Vorfälle	Klassifizieren und schwerwiegende Vorfälle melden
Resilienztests	Regelmäßige Tests, für bestimmte Unternehmen bedrohungsorientierte Penetrationstests
IKT-Drittparteienrisiko	Verträge, Informationsregister, Ausstiegsstrategien
Informationsaustausch	Freiwilliger Austausch über Cyberbedrohungen

#Dienstleister im Blick

Für den Kundenservice ist vor allem die vierte Säule relevant. Eine Contact-Center-Plattform ist ein IKT-Drittdienstleister. Finanzunternehmen führen ein Informationsregister aller solchen Vereinbarungen und bewerten, ob ein Dienst kritische oder wichtige Funktionen unterstützt.

Verträge müssen die Mindestinhalte nach Art. 30 abdecken: unter anderem Orte der Datenverarbeitung, Zugangs-, Prüf- und Kontrollrechte, Unterstützung bei Vorfällen, Kündigungsrechte und, bei kritischen Funktionen, Ausstiegsstrategien.

Für Anbieter, die als kritisch eingestuft werden, sieht DORA zusätzlich eine direkte Überwachung durch die europäischen Finanzaufsichtsbehörden vor (Art. 31 ff.). Das ändert nichts an der Verantwortung des Finanzunternehmens für seine eigenen Verträge.

Fragen an einen IKT-Dienstleister

Wo werden Daten verarbeitet, und von wem?

Wie und wie schnell werden Vorfälle gemeldet?

Welche Prüf- und Zugangsrechte bestehen?

Wie sieht ein geordneter Ausstieg aus, einschließlich Datenexport?

Wie wird die Plattform getestet, und wer sieht die Ergebnisse?

Zwei Kollegen besprechen sich im abgedunkelten Büro — Resilienz zeigt sich in der Störung: Der Kundenservice muss weiterlaufen, wenn andere Systeme ausfallen.

#Kundenservice als kritische Funktion

Ob der Kundenservice eine kritische oder wichtige Funktion ist, entscheidet jedes Finanzunternehmen selbst. Wer Kundinnen in der Störung nicht erreicht, hat jedoch schnell ein zweites Problem. Planen Sie Ausweichwege und Ansagen deshalb mit.

#DORA und Univerx

Univerx ist darauf ausgelegt, Banken und Versicherer mit Unterlagen für ihr IKT-Drittparteienrisikomanagement nach DORA zu unterstützen. Welche Dokumente vorliegen, erfahren Sie auf Anfrage.

Details im Trust Center unter DORA. Branchenbezug: Banken & Finanzdienstleister und Versicherungen.

Alle Begriffe