DORA (Verordnung (EU) 2022/2554) regelt seit dem 17. Januar 2025 die digitale operationale Resilienz von Finanzunternehmen und verpflichtet benannte Institute zu bedrohungsorientierten Tests (TLPT).
Der Digital Operational Resilience Act (DORA, Verordnung (EU) 2022/2554) ist das europäische Regelwerk für die digitale operationale Resilienz des Finanzsektors. Er gilt seit dem 17. Januar 2025 unmittelbar in allen Mitgliedstaaten, ohne nationales Umsetzungsgesetz. Betroffen sind Banken, Versicherer, Wertpapierfirmen, Zahlungs- und E-Geld-Institute, Handelsplätze, Kryptodienstleister sowie kritische IKT-Drittdienstleister, die für diese Unternehmen arbeiten.
DORA fasst zusammen, was zuvor über Aufsichtsrundschreiben wie BAIT oder VAIT verteilt war, und hebt es auf den Rang einer EU-Verordnung: IKT-Risikomanagement, Vorfallmeldung, Tests der digitalen Resilienz, Steuerung des Drittparteienrisikos und Informationsaustausch. Für Red Teams ist vor allem das Kapitel zu Tests relevant, weil es erstmals verbindlich vorschreibt, wie realistisch Finanzunternehmen ihre Abwehr prüfen müssen.
Die fünf Säulen von DORA
- IKT-Risikomanagement (Art. 5–16): Rahmenwerk, Verantwortung des Leitungsorgans, Identifikation, Schutz, Erkennung, Reaktion und Wiederherstellung.
- Meldung IKT-bezogener Vorfälle (Art. 17–23): Klassifizierung und fristgebundene Meldung schwerwiegender Vorfälle an die Aufsicht.
- Testen der digitalen operationalen Resilienz (Art. 24–27): jährliches Testprogramm für alle Institute, Threat-Led Penetration Testing (TLPT) für benannte Institute mindestens alle drei Jahre.
- IKT-Drittparteienrisiko (Art. 28–44): Vertragsanforderungen, Informationsregister, Überwachungsrahmen für kritische Drittdienstleister.
- Informationsaustausch (Art. 45): freiwilliger Austausch von Bedrohungsinformationen zwischen Finanzunternehmen.
Der TLPT nach Art. 26 und 27 wird durch die technischen Regulierungsstandards (RTS) 2025/1190 konkretisiert: aktive Red-Team-Phase von mindestens zwölf Wochen, mindestens drei Angriffsszenarien, Tests auf Produktivsystemen, Einbeziehung kritischer IKT-Drittdienstleister und ein externer Threat-Intelligence-Provider. In Deutschland ist die BaFin zuständig, für bedeutende Institute die EZB; operativ begleitet das TLPT Cyber Team der Bundesbank die Tests nach dem Rahmenwerk TIBER-EU.
Bedeutung für Unternehmen
DORA verlagert die Verantwortung ausdrücklich auf das Leitungsorgan. Vorstand und Geschäftsführung müssen das IKT-Risikomanagement genehmigen, überwachen und selbst über ausreichende Kenntnisse verfügen. Wer nur das jährliche Pflichtprogramm aus Schwachstellenscans und klassischen Penetrationstests abarbeitet, erfüllt zwar Art. 24, erfährt aber nicht, ob SOC und Incident-Response-Prozess einen echten Angreifer bemerken würden.
Ein typischer Fehler: Institute unterschätzen die Vorlaufzeit. Ein TLPT-Zyklus dauert mit Scoping, Threat Intelligence, aktiver Phase, Berichten und Purple Teaming sechs bis zwölf Monate. Wer die Benennung durch die Aufsicht abwartet und erst dann Dienstleister sucht, gerät unter Zeitdruck. Auch nicht benannte Institute profitieren: Ein freiwilliges Red Teaming nach TIBER-Methodik zeigt der Aufsicht, dass die Resilienztests über das Minimum hinausgehen.
Praxis-Hinweise
- Klären Sie früh, ob Ihr Institut für TLPT benannt wird oder werden könnte, und planen Sie den Zyklus über sechs bis zwölf Monate ein.
- Bauen Sie ein kleines, eingeweihtes Control Team auf, das Scoping, Risikosteuerung und Kommunikation mit Aufsicht und Testern übernimmt.
- Prüfen Sie Ihre Verträge mit IKT-Drittdienstleistern auf Testklauseln. Ohne sie lassen sich kritische Dienstleister nicht in den Test einbeziehen.
- Nutzen Sie Assumed Breach oder Purple Teaming als Vorstufe, um Detection Gaps vor dem Pflichttest zu schließen.
- Dokumentieren Sie Root-Cause-Analysen und Remediation-Pläne so, dass sie der Prüfung durch die Aufsicht standhalten.
Dieser Eintrag erläutert die Regelung aus technischer Sicht und ersetzt keine Rechtsberatung.