Der Digital Operational Resilience Act gilt seit dem 17. Januar 2025 unmittelbar in allen EU-Mitgliedstaaten. Finanzunternehmen müssen nun ein umfassendes IKT-Risikomanagement einschließlich verpflichtender Schwachstellenbewertungen und bedrohungsorientierter Penetrationstests implementieren. KENSAI unterstützt Sie bei der Einhaltung der Vorschriften.
DORA-Bewertung starten → Demo buchenDORA gilt für ein breites Spektrum von Finanzunternehmen, die in der EU tätig sind — deutlich mehr als frühere Vorschriften:
| Unternehmenstyp | Im Geltungsbereich |
|---|---|
| Kreditinstitute (Banken) | Ja |
| Zahlungsinstitute | Ja |
| E-Geld-Institute | Ja |
| Wertpapierfirmen | Ja |
| Anbieter von Kryptowerte-Dienstleistungen (CASPs) | Ja — neu aufgenommen |
| Versicherungs-/Rückversicherungsunternehmen | Ja |
| Verwalter von Pensionsfonds | Ja |
| Kritische IKT-Drittdienstleister | Ja — als „kritische IKT-Drittdienstleister“ |
| Kleinstunternehmen (<10 Beschäftigte, <2 Mio. € Umsatz) | Vereinfachte Anforderungen |
Kapitel IV von DORA (Artikel 24–27) legt ein zweistufiges Rahmenwerk für Sicherheitstests fest:
Alle Finanzunternehmen müssen ein umfassendes Programm für Tests der digitalen operationalen Resilienz implementieren. Dazu gehören Schwachstellenbewertungen, Open-Source-Analysen, Netzwerksicherheitsbewertungen, Lückenanalysen, Überprüfungen der physischen Sicherheit und szenariobasierte Tests — mindestens einmal jährlich.
Bedeutende Finanzunternehmen müssen mindestens alle drei Jahre TLPT durchführen. TLPT folgt dem TIBER-EU-Rahmenwerk — erkenntnisgestützte Penetrationstests, die realistische TTPs von Bedrohungsakteuren gegen Produktionssysteme simulieren. Die Tests müssen von zugelassenen externen Prüfern durchgeführt werden.
Finanzunternehmen müssen alle IKT-gestützten Geschäftsfunktionen und deren Abhängigkeiten identifizieren, klassifizieren und dokumentieren. Schwachstellenscans sind der wichtigste technische Mechanismus für die fortlaufende Identifizierung von IKT-Risiken.
Kontinuierliche Überwachung von IKT-Systemen, Erkennung anomaler Aktivitäten sowie Richtlinien für Schwachstellenmanagement, Patch-Management und Konfigurationshärtung.
Die zuständigen Behörden (EZB, EBA, nationale Aufsichtsbehörden) können von Finanzunternehmen verlangen, IKT-Risikobewertungen auf Anforderung vorzulegen, Vor-Ort-Prüfungen der IKT-Infrastruktur zuzulassen und unabhängige Sicherheitsüberprüfungen in Auftrag zu geben. Verstöße können zu Geldbußen von bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes führen, die täglich erhoben werden, bis die Vorschriften eingehalten werden.
TIBER-EU (Threat Intelligence-Based Ethical Red Teaming) ist das Rahmenwerk der EZB für erweiterte Sicherheitstests. Die TLPT-Anforderung von DORA orientiert sich weitgehend an TIBER-EU. Wesentliche Merkmale:
Gemäß Artikel 24 muss das jährliche grundlegende Testprogramm Folgendes abdecken:
Automatisiert die nach Artikel 24 erforderliche jährliche Schwachstellenbewertung, Netzwerksicherheitsbewertung und Analyse von Open-Source-Komponenten.
Ermittelt und kartiert alle IKT-Ressourcen, die kritische Geschäftsfunktionen unterstützen — die Grundlage für die DORA-Anforderung zur Identifizierung von IKT-Risiken.
Eine Schwachstellenbewertung vor dem TLPT identifiziert bekannte Schwächen vor dem Einsatz des Red Teams — für maximalen Testnutzen und den Nachweis angemessener Sorgfalt.
Bewerten Sie die externe Angriffsfläche kritischer IKT-Drittdienstleister gemäß DORA Kapitel V (Risikomanagement in der Lieferkette).
Die fortlaufende Erkennung von Schwachstellen erfüllt die Anforderung aus Artikel 9 zur kontinuierlichen Überwachung und Erkennung von Anomalien in IKT-Systemen.
Erstellen Sie DORA-konforme Schwachstellenberichte zur Vorlage bei den zuständigen Behörden im Rahmen aufsichtsrechtlicher Prüfungen und Vor-Ort-Kontrollen.
💡 DORA und andere Vorschriften: DORA steht in einem „Lex-specialis“-Verhältnis zu GDPR, NIS2 und EMIR. Soweit DORA spezifischere Anforderungen an IKT-Risiken vorsieht, haben diese für Finanzunternehmen Vorrang. Die Verpflichtungen von GDPR in Bezug auf personenbezogene Daten gelten jedoch unabhängig davon weiter. Ihr Sicherheitstestprogramm muss beide Vorschriften erfüllen.
| Meilenstein | Datum |
|---|---|
| DORA trat in Kraft | 16. Januar 2023 |
| DORA wurde unmittelbar anwendbar | 17. Januar 2025 |
| Erster jährlicher grundlegender Test fällig | 17. Januar 2026 |
| Erster TLPT-Zyklus beginnt (bedeutende Unternehmen) | Innerhalb von drei Jahren nach dem Geltungsbeginn |
| Aufsichtsrahmen für kritische IKT-Dienstleister | 2025 (Benennungen durch die ESA) |
KENSAI automatisiert die nach DORA Artikel 24 erforderlichen Schwachstellenbewertungen und Netzwerksicherheitstests und erstellt zugleich aufsichtsbehördengerechte Dokumentationen für Prüfungen. Entwickelt für Finanzunternehmen unter der regulatorischen Aufsicht der EU.
DORA-Bewertung starten → Mit einem Experten für Finanzdienstleistungen sprechen