Was ist DORA und wie erfüllt man die Anforderungen?
DORA (Digital Operational Resilience Act) ist die europäische Verordnung, die einheitliche Anforderungen an die digitale Betriebsresilienz für Finanzunternehmen und ihre kritischen IKT-Dienstleister festlegt. Sie trat am 17. Januar 2025 in Anwendung und gilt für Banken, Versicherungen, Fondsmanager, Investmentgesellschaften, Fintechs, Zahlungsdienstleister und kritische Technologieanbieter des Sektors.
DORA gliedert sich in fünf Säulen: IKT-Risikomanagement (Identifizierung, Schutz, Erkennung, Reaktion und Wiederherstellung), Vorfallsmeldung (Klassifizierung und Meldung an Behörden), Resilienzprüfung (regelmäßige Tests kritischer Systeme), Management von IKT-Drittparteirisiken (Kontrolle über Technologieanbieter) und Informationsaustausch (Teilen von Bedrohungsinformationen).
Im Unterschied zu früheren Richtlinien wie NIS2 ist DORA eine direkt anwendbare Verordnung: Sie bedarf keiner nationalen Umsetzung. Ihre Anforderungen sind in allen EU-Mitgliedsstaaten einheitlich und beseitigen die regulatorische Fragmentierung, die im Bereich der digitalen Finanzresilienz bisher bestand.
Warum ist das wichtig?
Der Finanzsektor ist kritisch von seinen Informationssystemen abhängig. Laut EZB hat sich die Anzahl bedeutender Cybervorfälle im europäischen Finanzsektor zwischen 2020 und 2024 verdreifacht. Ein Systemausfall bei einer Bank kann Millionen von Kunden betreffen und systemisches Risiko erzeugen. DORA reagiert auf diese Realität, indem es von Unternehmen verlangt nachzuweisen, dass sie Störungen widerstehen, darauf reagieren und sich davon erholen können.
Bei Verstößen können Sanktionen 1 % des durchschnittlichen täglichen Weltumsatzes für maximal 6 Monate erreichen. Über Bußgelder hinaus kann die Nichteinhaltung zu operativen Einschränkungen durch Aufsichtsbehörden führen. Für kritische Technologieanbieter kann die Europäische Kommission Änderungen ihrer Praktiken verlangen oder sogar deren Nutzung durch beaufsichtigte Unternehmen verbieten.
Wie funktioniert das in der Praxis?
DORA verlangt von Finanzunternehmen, ein vollständiges Inventar ihrer Informations-Assets und IKT-Systeme mit Dokumentation ihrer Abhängigkeiten zu führen. Sie müssen Daten und Systeme identifizieren, die kritische oder wichtige Funktionen unterstützen, die damit verbundenen Risiken bewerten und nachweisen, dass sie sich von Störungen erholen können.
In der Praxis erfordert dies: einen aktuellen Katalog von Daten-Assets und Systemen, Datennachverfolgbarkeit über Systeme hinweg (Lineage), Kritikalitätsklassifizierung, dokumentierte Aufbewahrungs- und Qualitätsrichtlinien sowie die Fähigkeit, Behörden detailliert zu berichten, wie Daten fließen und welche Kontrollen bestehen. Kritische Technologieanbieter (Cloud, Daten, Core Banking) müssen ebenfalls spezifische Anforderungen erfüllen.
DORA und wie erfüllt man die Anforderungen in Linedat
Linedat deckt mehrere DORA-Anforderungen ab durch ein vollständiges Inventar von Daten-Assets mit ihren Abhängigkeiten (Lineage), Sensibilitäts- und Kritikalitätsklassifizierung, dokumentierte Qualitäts- und Aufbewahrungsrichtlinien sowie Audit-Logs, die Kontrollen über die Daten nachweisen. Diese Funktionen sind direkt prüfbar und für regulatorische Berichte exportierbar.
Verwandte Begriffe
Die DSGVO ist die europäische Datenschutz-Grundverordnung. Erfahre ihre Grundprinzipien und wie du Compliance umsetzt.
Was ist Data Governance?Data Governance ist das Rahmenwerk aus Richtlinien, Prozessen und Rollen, das Datenqualität, Sicherheit und korrekte Nutzung in einer Organisation gewährleistet.
Was ist Datenqualität (Data Quality)?Datenqualität misst, ob Daten präzise, vollständig, konsistent und aktuell sind. Erfahre, wie du effektive Qualitätsregeln implementierst.
Was ist Datenauswirkungsanalyse (Impact Analysis)?Impact Analysis bewertet, was bei Änderungen an Daten, Tabellen oder Spalten bricht. Sie verhindert nachgelagerte Vorfälle.