Digitale Resilienz: DORA besser verstehen, Risikomanagement im Fokus
Der europäische Digital Operational Resilience Act (DORA) fordert von Unternehmen des Finanzsektors eine Überprüfung ihrer Sicherheitsmaßnahmen. Ein Überblick.

- Hendrik Hoppe
- Sven Stubbe
Seit der Digital Operational Resilience Act (DORA) im Dezember 2022 beschlossen wurde, wird viel ĂĽber ihn diskutiert. Er verlangt von Unternehmen der Finanzbranche, die eigenen Sicherheitsstandards zu ĂĽberprĂĽfen. Die Anforderungen sind seit dem 17. Januar 2025 zu erfĂĽllen, was bei etlichen Unternehmen in den vergangenen zwei Jahren zu steigendem Handlungsdruck und dem Initiieren teurer Projekte fĂĽhrte.
Doch angesichts der zahlreichen nationalen Regulierungen im Finanzsektor wie MaRisk (Mindestanforderungen an das Risikomanagement), BAIT (Bankaufsichtliche Anforderungen an die IT) und Co. stellt sich die Frage, ob überhaupt noch besonderer Handlungsbedarf besteht und welche Herausforderungen DORA tatsächlich mit sich bringt.
- Der Finanzsektor gehört zu den Branchen, die bereits auf nationaler Ebene zahlreiche Anforderungen erfüllen müssen.
- Seit dem 17. Januar 2025 findet der Digital Operational Resilience Act Anwendung, der die Branche noch widerstandsfähiger machen soll.
- Die Vielzahl geltender und teilweise abgelöster Regularien ist verwirrend für Unternehmen. Es herrscht Unsicherheit darüber, welcher Handlungsbedarf über schon umgesetzte Maßnahmen hinaus besteht.
- Wer die nationalen Regelwerke bislang erfĂĽllt hat, hat fĂĽr DORA-Compliance das meiste schon geschafft. Passt man die Vorgaben in den geforderten Punkten noch an das eigene Risiko weiter an, wird man den Anforderungen gerecht.
Die Europäische Union beabsichtigt mit der DORA-Verordnung, die digitale operationelle Resilienz des EU-Finanzsektors zu stärken, und definiert hierzu eine Vielzahl von Anforderungen in allen denkbaren Sicherheitsdisziplinen. So umfasst DORA neben der IT-Sicherheit unter anderem auch Themen des Drittparteienrisikomanagements, der Governance zur Steuerung von IKT-Risiken, der IKT-Geschäftsfortführung sowie das Melden von Ereignissen. Betroffen sind Unternehmen der Finanz- und Versicherungsbranche, inklusive ihrer kritischen und wichtigen IKT-Dienstleister.
Das war die Leseprobe unseres heise-Plus-Artikels "Digitale Resilienz: DORA besser verstehen, Risikomanagement im Fokus". Mit einem heise-Plus-Abo können sie den ganzen Artikel lesen und anhören.