Seit Januar 2025 müssen Finanzunternehmen und IKT-Dienstleister die Anforderungen des Digital Operational Resilience Act (DORA) erfüllen. Erfahren Sie, wie Sie Schwachstellenmanagement, Resilienztests und auditfähige Compliance-Nachweise effizient umsetzen.
Kostenfreie DORA-ErstberatungLesedauer: 8 Minuten
Der Digital Operational Resilience Act (DORA) ist eine EU-Verordnung (EU) 2022/2554, die seit dem 17. Januar 2025 verbindlich gilt. Sie verpflichtet Finanzunternehmen und ihre kritischen IKT-Dienstleister, digitale Widerstandsfähigkeit gegen Cyberangriffe und IKT-Störungen systematisch aufzubauen und nachzuweisen. DORA harmonisiert erstmals EU-weit die Anforderungen an das IKT-Risikomanagement im Finanzsektor und löst nationale Regelwerke wie BAIT, VAIT und KAIT als primären Maßstab ab.
Die Verordnung gilt unmittelbar in allen EU-Mitgliedstaaten, ohne dass eine nationale Umsetzungsgesetzgebung erforderlich ist. In Deutschland fungiert die BaFin als zentraler Melde-Hub für IKT-Vorfälle und führt seit 2025 aktiv Sonderprüfungen nach §44 KWG zur DORA-Umsetzung durch.
DORA ergänzt weitere europäische Cybersicherheitsvorgaben wie die NIS2-Richtlinie und den Cyber Resilience Act, legt jedoch den Schwerpunkt auf IKT-Risikomanagement, Resilienztests und die sichere Betriebsfähigkeit digitaler Finanzdienstleistungen.
DORA gilt für Finanzunternehmen sowie kritische IKT-Dienstleister, die digitale Dienstleistungen für den Finanzsektor bereitstellen.
DORA erfasst über 22.000 Finanzunternehmen und IKT-Dienstleister in der gesamten EU. Die Verordnung folgt dem Proportionalitätsprinzip: Kleinere Institute unterliegen einem vereinfachten IKT-Risikomanagementrahmen, während bedeutende Institute wie Großbanken und systemrelevante Versicherungen strengeren Anforderungen genügen müssen, darunter verpflichtende Threat-Led Penetration Tests (TLPT).
DORA betrifft Finanzunternehmen wie Banken, Versicherungen und Zahlungsdienstleister sowie kritische IKT-Dienstleister entlang der digitalen Lieferkette.
DORA strukturiert seine Anforderungen in fünf Bereiche. Finanzunternehmen müssen alle fünf Säulen nachweislich umsetzen. Wo Schwachstellenmanagement direkt greift, ist in der Übersicht markiert.
DORA strukturiert die Anforderungen an digitale Resilienz in fünf Säulen, die gemeinsam ein umfassendes IKT-Risikomanagement gewährleisten sollen.
DORA ist seit dem 17. Januar 2025 vollständig anwendbar. Die BaFin prüft die Umsetzung aktiv: Bis Ende 2025 wurden bereits über 600 IKT-Vorfälle gemeldet und mehrere Sonderprüfungen eingeleitet. Ab 2026 erwarten Aufsichtsbehörden datenbasierte Nachweise operativer Resilienz, nicht mehr nur Richtliniendokumentation.
Seit Januar 2025 ist DORA vollständig anwendbar. Aufsichtsbehörden erwarten zunehmend belastbare Nachweise digitaler Resilienz.
Schwachstellenmanagement ist das Kernstück der DORA-Anforderungen an IKT-Risikomanagement und Resilienztests. Greenbone adressiert die Artikel 9, 10 und 28 direkt mit einer erprobten, ISO-zertifizierten Scanning-Infrastruktur und auditfähiger Berichterstattung.
Kontinuierliches Schwachstellenmanagement unterstützt zentrale DORA-Anforderungen wie Risikomanagement, Resilienztests und auditfähige Nachweise.
Was ist DORA und wen betrifft die Verordnung?
Der Digital Operational Resilience Act (DORA) ist eine EU-Verordnung (EU 2022/2554), die seit dem 17. Januar 2025 verbindlich gilt. Sie verpflichtet über 22.000 Finanzunternehmen und kritische IKT-Drittanbieter in der EU, digitale Widerstandsfähigkeit gegen Cyberangriffe und IKT-Störungen systematisch aufzubauen und nachzuweisen. Dazu gehören Banken, Versicherungen, Investmentfirmen, Zahlungsdienstleister, Krypto-Dienstleister und ihre IKT-Zulieferer.
Gilt DORA auch für IKT-Dienstleister, die Finanzinstitute beliefern?
Ja. DORA erfasst ausdrücklich kritische IKT-Drittanbieter, nicht nur die Finanzunternehmen selbst. Wenn Ihr Unternehmen Systeme, Software oder Dienste für Banken, Versicherungen oder Investmentgesellschaften betreibt, sind Sie wahrscheinlich im DORA-Anwendungsbereich. Die Einstufung als kritischer IKT-Drittanbieter erfolgt durch die Aufsichtsbehörden.
Reicht ein jährlicher Penetrationstest für die DORA-Anforderungen?
Nein. DORA verlangt kontinuierliche Schwachstellenanalysen, keine periodischen Stichproben. Threat-Led Penetration Tests (TLPT) sind für bedeutende Institute zusätzlich vorgeschrieben, mindestens alle drei Jahre nach dem TIBER-EU-Standard. Sie ersetzen aber kein laufendes Vulnerability Management, das die Grundanforderungen aus Artikel 9 und 10 erfüllt.
Was unterscheidet DORA von NIS2?
NIS2 ist eine breite Cybersicherheitsrichtlinie für kritische Infrastrukturen in verschiedenen Sektoren, die in nationales Recht umgesetzt werden muss. DORA ist eine direkt anwendbare Verordnung, die sich ausschließlich auf den Finanzsektor konzentriert und deutlich detailliertere Anforderungen an IKT-Risikomanagement, Vorfallmeldung, Resilienztests und Drittparteiensteuerung stellt. Für Finanzunternehmen, die unter beide Regelwerke fallen, gilt DORA in seinem spezifischen Anwendungsbereich vorrangig.
Welche Sanktionen drohen bei Nicht-Einhaltung von DORA?
Bei Verstößen können Aufsichtsbehörden Bußgelder von bis zu 10 Millionen Euro oder 5 Prozent des weltweiten Jahresumsatzes verhängen. Für kritische IKT-Drittanbieter beträgt die Obergrenze 5 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Darüber hinaus können Betriebsbeschränkungen und Reputationsschäden folgen. Die BaFin hat bereits 2025 aktiv Sonderprüfungen eingeleitet.
Wie schnell lässt sich OPENVAS SCAN in bestehende IKT-Strukturen integrieren?
Die Integration ist in der Regel innerhalb weniger Stunden abgeschlossen. OPENVAS SCAN unterstützt Standard-Netzwerktopologien, segmentierte Umgebungen und hybride Cloud-Setups. Greenbone bietet Bereitstellung On Premise oder in der Cloud, jeweils mit vollständiger Datensouveränität und ohne Abhängigkeit von US-amerikanischen Cloudinfrastrukturen.
Wie verhält sich DORA zum Cyber Resilience Act (CRA)?
Der Cyber Resilience Act richtet sich an Hersteller, Importeure und Händler digitaler Produkte und gilt branchenübergreifend. DORA ist eine sektorspezifische Verordnung ausschließlich für den Finanzbereich und regelt den Betrieb und das Risikomanagement von IKT-Systemen. Beide Regelwerke ergänzen sich: Finanzunternehmen, die auch digitale Produkte herstellen oder einsetzen, können unter beide Verordnungen fallen. → Erfahren Sie mehr über den Cyber Resilience Act.
DORA gilt seit Januar 2025 und die BaFin prüft die Umsetzung aktiv. Sprechen Sie jetzt mit uns und erfahren Sie, wie OPENVAS SCAN und OPENVAS SECURITY INTELLIGENCE Ihr DORA-Schwachstellenmanagement On Premise oder in der Cloud absichern.
