Compliance abhaken: Jetzt mit SECJUR durchstarten und ab Januar 2024 zahlen.
.svg)
.svg)
DORA (Digital Operational Resilience Act) ist die EU-Verordnung 2022/2554 über die digitale operationale Resilienz im Finanzsektor. Sie verpflichtet Finanzunternehmen, IKT-Risiken zu steuern, Vorfälle zu melden, ihre Widerstandsfähigkeit zu testen und Drittanbieter zu überwachen.
DORA vereinheitlicht die bis dahin fragmentierten Anforderungen an die IT-Sicherheit im europäischen Finanzsektor. Die Verordnung gilt seit dem 17. Januar 2025 unmittelbar in allen Mitgliedstaaten.
Erstens IKT-Risikomanagement mit einem Rahmenwerk unter Verantwortung des Leitungsorgans. Zweitens Behandlung, Klassifizierung und Meldung IKT-bezogener Vorfälle. Drittens Testen der digitalen operationalen Resilienz, bei bedeutenden Unternehmen einschließlich bedrohungsgeleiteter Penetrationstests mindestens alle drei Jahre. Viertens Management des IKT-Drittparteienrisikos mit vorgeschriebenen Vertragsinhalten und einem Informationsregister. Fünftens der freiwillige Austausch von Informationen über Cyberbedrohungen.
Erfasst sind rund zwanzig Kategorien von Finanzunternehmen, darunter Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Versicherer und Kryptowerte-Dienstleister. Kritische IKT-Drittdienstleister unterliegen zusätzlich einem eigenen Überwachungsrahmen der europäischen Aufsichtsbehörden. In Deutschland beaufsichtigt die BaFin die Einhaltung.
DORA ist die spezielle Regelung für den Finanzsektor und geht NIS2 als lex specialis vor. Finanzunternehmen im Anwendungsbereich von DORA erfüllen die entsprechenden NIS2-Anforderungen über DORA.
.svg){kind=icon}