Wir haben viele IT-Sicherheitsprojekte begleitet. Die meisten sind zu langsam, zu teuer oder schlecht strukturiert. DORA ist die Gelegenheit, den Ernstfall durchzudenken, bevor er eintritt. Grundlage unserer Arbeit ist unsere DORA-Checkliste mit knapp 600 Prüfpunkten, die Sie Schritt für Schritt zur DORA-Konformität führt – online auf Deutsch und Englisch. Wir helfen Ihnen dabei:
(i) Ihren Technologie-Stack zu ordnen,
(ii) Ihre IKT-Prozesse aufzuräumen,
(iii) Ihr Team zu schulen (Awareness),
(iv) IKT- und DORA-Compliance umzusetzen.
Was DORA konkret verlangtDer Digital Operational Resilience Act (Verordnung (EU) 2022/2554) gilt seit dem 17. Januar 2025. Er ersetzt einen Flickenteppich nationaler Regeln durch einen gemeinsamen Standard für den EU-Finanzsektor und ruht auf fünf Säulen.
1. IKT-Risikomanagement. Sie brauchen ein dokumentiertes IKT-Risikomanagement-Framework, das die Geschäftsleitung genehmigt und aktiv überwacht. Die Verantwortung liegt beim Leitungsorgan, nicht allein bei der IT (Artikel 5 bis 15).
2. Vorfallsmanagement und Meldepflicht. Vorfälle müssen erkannt, nach definierten Kriterien klassifiziert und schwerwiegende Vorfälle der zuständigen Behörde innerhalb fester Fristen gemeldet werden – eine Erstmeldung, ein Zwischenbericht und ein Abschlussbericht (Artikel 17 bis 23).
3. Resilienztests. Ein regelmäßiges Testprogramm mit Schwachstellenanalysen, szenariobasierten Tests und Business Continuity. Fortgeschrittene bedrohungsgeleitete Penetrationstests gelten nur für als bedeutend eingestufte Unternehmen (Artikel 24 bis 27).
4. IKT-Drittparteienrisiko. Sie führen ein Informationsregister über jede vertragliche Vereinbarung mit einem IKT-Dienstleister, und Ihre Verträge müssen die von DORA vorgeschriebenen Klauseln enthalten – Zugang, Audit, Ausstieg und Unterauftragsvergabe (Artikel 28 bis 30).
5. Informationsaustausch. Finanzunternehmen dürfen Informationen über Cyberbedrohungen innerhalb vertrauenswürdiger Gemeinschaften austauschen (Artikel 45).
Wer betroffen istDORA erfasst rund 20 Kategorien von Finanzunternehmen: Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Anbieter von Krypto-Dienstleistungen, Versicherungs- und Rückversicherungsunternehmen und -vermittler, Fonds- und Vermögensverwalter, Handelsplätze und weitere. Über die vertraglichen Anforderungen, die ihre Kunden stellen müssen, erreicht DORA auch die IKT-Dienstleister, die sie beliefern.
Verhältnismäßigkeit für kleine UnternehmenDORA ist kein Einheitsmaß. Kleinstunternehmen – weniger als 10 Beschäftigte und ein Jahresumsatz oder eine Bilanzsumme von höchstens 2 Millionen Euro – folgen einem vereinfachten IKT-Risikomanagement-Rahmen nach Artikel 16 und sind von mehreren Pflichten befreit, unter anderem von bedrohungsgeleiteten Penetrationstests. Von DORA insgesamt befreit sind sie nicht: Meldepflichten, vertragliche Anforderungen an Drittparteien und Mitarbeiterschulungen gelten weiterhin.
Woran die meisten Projekte hängen bleibenIn der Praxis sind es das Informationsregister und die Awareness-Pflicht, über die Teams stolpern. Das Register verlangt einen vollständigen, aktuellen Überblick über jede IKT-Vereinbarung, und Artikel 13 Absatz 6 erwartet, dass Mitarbeitende und Management laufend zu digitaler operationaler Resilienz geschult werden. Beides ist genauso eine Dokumentations- wie eine technische Aufgabe – deshalb beginnen wir bei den Unterlagen und den Menschen, nicht beim Werkzeug.
Quellen: dieselben Controls in D3FEND-BegriffenDORA sagt, was vorhanden sein muss. Es benennt die Gegenmaßnahme nicht – deshalb können zwei Unternehmen auf dem Papier beide konform sein und sich trotzdem völlig unterschiedlich verteidigen. MITRE D3FEND schließt diese Lücke: eine öffentliche Ontologie defensiver Techniken mit stabilen Kennungen, sodass ein Eintrag im Control-Register auf etwas Konkretes zeigen kann. Zugeordnet zu den obigen Clustern:
D3FEND Model – Governance und die Register – D3-AI Asset Inventory, D3-SWI Software Inventory, D3-NM Network Mapping, D3-ODM Operational Dependency Mapping (Cluster 1, 5, 7).
D3FEND Harden – die präventive Hälfte von Artikel 9 – D3-OTP, D3-SPP, D3-CDP, D3-CRO (Cluster 2).
D3FEND Detect – die Erkennungsmechanismen aus Artikel 10 und der Zeitstempel, ab dem Ihre Meldefrist läuft – D3-MA, D3-UBA, D3-NTA, D3-FIM (Cluster 2, 3, 6, 7).
D3FEND Isolate – Segmentierung und Eindämmung bei Dienstleistern – D3-BDI, D3-OTF, D3-EAL, D3-EI (Cluster 4, 5).
D3FEND Evict – die Eindämmungsschritte, die ein Response-Playbook benennen sollte – D3-CREV, D3-ACI, D3-PT, D3-FR (Cluster 3).
D3FEND Restore – Wiederherstellung nach Artikel 12, wo ein ungetestetes Restore kein Control ist – D3-RF, D3-RDI, D3-RUAA, D3-RC (Cluster 3).
MITRE D3FEND erklärt, mit einer Abdeckungsprüfung in 27 Punktend3fend.mitre.org – MITRE Corporation, D3FEND v1.3.0
Quellen: dieselben Controls in ISO/IEC-27001-BegriffenDie meisten betroffenen Unternehmen betreiben bereits ein ISMS. Nach der Frage „existiert der Nachweisüberhaupt“ kommt deshalb meist die Frage „wo liegt er schon“. ISO/IEC 27001:2022 beantwortet auch das mit stabilen Kennungen: Kapitel 4 bis 10 für das Managementsystem, Anhang A für die 93 Controls. Zugeordnet zu den obigen Clustern:
Kapitel 4 bis 10 – die Managementsystem-Hälfte – 6.1.2 und 6.1.3 Risikobeurteilung und -behandlung, 9.1 bis 9.3 Messung, internes Audit und Managementbewertung, 10.2 Korrekturmaßnahmen (Cluster 1, 2, 4, 7).
Anhang A.5 Organisatorisch – mit Abstand die größte Überschneidung – A.5.9 Inventar der Werte, A.5.24 bis A.5.28 Incident Management, A.5.19 bis A.5.23 Lieferanten und Cloud, A.5.30 IKT-Bereitschaft für Business Continuity (Cluster 1, 2, 3, 5).
Anhang A.6 Personen – A.6.3 Awareness, Aus- und Weiterbildung, A.6.8 Meldung von Ereignissen, A.6.6 Vertraulichkeitsvereinbarungen (Cluster 1, 6).
Anhang A.7 Physisch – im DORA-Kontext dünn – A.7.5 physische und umweltbedingte Bedrohungen, A.7.10 Speichermedien, A.7.14 sichere Entsorgung oder Wiederverwendung (Cluster 2, 3).
Anhang A.8 Technologisch – die technische Hälfte von Artikel 9 – A.8.8 technische Schwachstellen, A.8.13 Datensicherung, A.8.15 Protokollierung und A.8.16 Überwachung, A.8.24 Kryptografie, A.8.32 Änderungsmanagement (Cluster 2, 3, 4).
Wo ISO aufhört – bedrohungsgeleitete Penetrationstests, in Stunden gezählte Meldefristen, das Informationsregister und ein vertraglicher Ausstiegsplan haben kein Gegenstück in Anhang A. Ein Zertifikat ist ein Nachweis in Richtung DORA, niemals Konformität mit DORA.
Jeder Unterabschnitt trägt sein eigenes Anhang-A-MappingISO/IEC 27001 erklärt: das ISMS in 15 Schritten und alle 93 Controls aus Anhang Aiso.org/standard/27001 – ISO/IEC 27001:2022, Anhang A und Kapitel 4 bis 10
Die vollständige DORA-Artefaktreihe1. Governance & Organisation2. Risiko- und Control-Management3. Incident- und Continuity-Management4. Tests & Audit5. Drittparteien-Risikomanagement6. Schulung und Awareness7. Berichtswesen8. Ausnahmen für KleinstunternehmenÜberblick: unser DORA-Framework mit knapp 600 Prüfpunkten
