DORA-Beratung für den Finanzsektor: Mit Experten und Tools einfach zu digitaler Resilienz

DORA (Digital Operational Resilience Act) ist eine EU-Verordnung, die Finanzunternehmen verpflichtet, ihre digitale Resilienz gegen Cyberrisiken zu stärken. Sie schafft ein einheitliches Regelwerk für Finanzunternehmen und IT-Dienstleister, um deren Widerstandsfähigkeit gegenüber Cyberbedrohungen zu erhöhen. DORA zielt darauf ab, dass Unternehmen ein umfassendes Risikomanagement implementieren und ihre operativen Systeme besser vor Cyberangriffen und Systemausfällen schützen können.

DORA betrifft eine breite Gruppe von Unternehmen: Banken und Kreditinstitute, Versicherungen, Zahlungsdienstleister, Wertpapierfirmen, Kryptoanbieter und Crowdfunding-Plattformen. Insgesamt sind schätzungsweise über 22.000 Finanzunternehmen in der EU betroffen. Darüber hinaus müssen auch kritische IKT-Drittdienstleister die DORA-Anforderungen erfüllen, da sie direkt unter EU-Aufsicht stehen.

Kritische IKT-Drittdienstleister sind externe Anbieter, deren Ausfallrisiko oder Sicherheitsmängel erhebliche Auswirkungen auf die Geschäftstätigkeit eines Finanzunternehmens hätten. Dazu gehören insbesondere große Cloud-Provider wie AWS, Azure und Google Cloud, die direkt unter EU-Aufsicht stehen. Finanzunternehmen müssen sicherstellen, dass ihre Verträge mit diesen Anbietern DORA-konform sind. Darüber hinaus ist die regelmäßige Überprüfung der Compliance dieser Dienstleister verpflichtend.

DORA ist seit 17. Januar 2025 in Kraft und muss sofort umgesetzt sein. Es gibt keine Übergangsfrist und keine Ausnahmen. Finanzunternehmen müssen ab diesem Datum vollständig konform sein. Die Einhaltung der DORA-Anforderungen wird von nationalen und europäischen Aufsichtsbehörden überwacht, insbesondere von der BaFin.

Die Dauer der DORA-Umsetzung hängt von Unternehmensgröße und Ihrem aktuellen Reifegrad ab. Kleine Unternehmen benötigen in der Regel 3 bis 6 Monate, mittlere Unternehmen 6 bis 12 Monate und große Unternehmen 18 Monate oder länger. Eine professionelle Gap-Analyse dient dazu, einen möglichst genauen Zeitrahmen für Ihr Unternehmen zu definieren und hilft, Ihre Ressourcen optimal zu planen.

Finanzunternehmen können mit Bußgeldern bis zu 2 % des weltweiten Jahresumsatzes bei schweren Verstößen oder 1 % bei leichteren Verstößen belegt werden. Zusätzlich drohen persönliche Haftung von Vorständen und Geschäftsführern, Einschränkungen oder sogar Lizenzentzug durch Aufsichtsbehörden sowie erhebliche Reputationsschäden, die das Vertrauen von Kunden und Partnern gefährden.