Der Digital Operational Resilience Act (DORA) ist die EU-Verordnung zur digitalen operationellen Resilienz im Finanzsektor. Er ist kein freiwilliger Standard — es ist unmittelbar geltende EU-Verordnung mit Sanktionsmöglichkeiten.
Für Finanzunternehmen, die Cloud-ERP-Systeme nutzen, ist DORA besonders relevant: Der ERP-Anbieter ist ein kritischer IKT-Drittanbieter, für den strenge Anforderungen gelten.
DORA-Geltungsbereich: Wer ist betroffen?
Direkt betroffen (Finanzunternehmen):
- Kreditinstitute (Banken, Sparkassen, Genossenschaftsbanken)
- Zahlungsdienstleister und E-Geld-Institute
- Wertpapierfirmen
- Versicherungsunternehmen und Rückversicherer
- Einrichtungen der betrieblichen Altersversorgung
- Krypto-Asset-Dienstleister (nach MiCA)
- Datenbereitstellungsdienste
Indirekt betroffen (IKT-Drittanbieter):
- Cloud-Computing-Dienstleister
- Rechenzentrumsanbieter
- Datenanalysedienste
- Softwareanbieter (wenn als kritische IKT-Drittanbieter eingestuft)
Vereinfachte Anforderungen für: kleine Wertpapierfirmen, Kleinstversicherungsunternehmen, kleine Gegenparteien für zentrale Gegenparteien.
Die fünf Pfeiler von DORA
1. IKT-Risikomanagement-Rahmen
Das Führungsorgan (Vorstand, Aufsichtsrat) ist persönlich verantwortlich für das IKT-Risikomanagement — nicht delegierbar an die IT-Abteilung.
Pflichten:
- Strategie für digitale operationelle Resilienz genehmigen
- IKT-Risikomanagement-Rahmen mindestens jährlich überprüfen
- Jährlichen Budget für IKT-Sicherheit festlegen
- Schulungen der Führungsebene zu IKT-Risiken
Der Rahmen muss umfassen:
- Schutz von IKT-Systemen und -Daten
- Erkennung von Anomalien und IKT-Vorfällen
- Response- und Recovery-Kapazitäten
- Lernmechanismen aus vergangenen Vorfällen
2. Incident-Management und -Reporting
DORA definiert strikte Meldefristen für schwerwiegende IKT-Vorfälle:
| Phase | Frist | Inhalt |
|---|---|---|
| Erstmeldung | 4 Stunden nach Klassifizierung als schwerwiegend (max. 15 Stunden nach Bekanntwerden) | Frühwarnung: Vorfall aufgetreten, erste Einschätzung |
| Zwischenbericht | 72 Stunden nach Erstmeldung | Aktualisierter Status, erste Analyse der Ursachen |
| Abschlussbericht | 30 Tage nach Behebung | Vollständige Analyse, Ursachen, getroffene Maßnahmen |
Empfänger der Meldungen: nationale zuständige Behörden (Deutschland: BaFin + BSI, Österreich: FMA + A-SIT, Schweiz: FINMA + NCSC).
Klassifikationskriterien für schwerwiegende Vorfälle (vereinfacht):
- Beeinträchtigung kritischer Dienste für mehr als 30 Minuten
- Potenzielle oder tatsächliche finanzielle Verluste über Schwellenwert
- Beteiligung von mehr als einer bestimmten Anzahl betroffener Kunden
- Reputationsschäden mit systemischen Auswirkungen
- Datenverlust oder -diebstahl
3. Digitale Resilienztests
Basistests (alle Finanzunternehmen, jährlich):
- Vulnerability Assessments
- Gap-Analysen basierend auf Risikobewertungen
- Netzwerk-Security-Assessments
- Prüfung physischer Sicherheitsmaßnahmen
TLPT (Threat-Led Penetration Testing) für systemrelevante Institute alle 3 Jahre:
- Realistische Angriffssimulationen basierend auf aktueller Bedrohungslandschaft
- Durchgeführt von akkreditierten externen Testern
- Schließt kritische IKT-Drittanbieter ein (also auch den ERP-Anbieter)
- Ergebnis dem Führungsorgan und der zuständigen Behörde zu berichten
4. Management von IKT-Drittparteienrisiken
Dies ist der für Cloud-ERP-Nutzer kritischste Pfeiler.
Register der IKT-Drittanbieter: Finanzunternehmen müssen ein vollständiges Register aller IKT-Drittanbieter führen, klassifiziert nach Kritikalität.
Vertragsanforderungen nach Art. 30 DORA — jeder Vertrag mit einem IKT-Drittanbieter muss mindestens enthalten:
- Vollständige Beschreibung der Dienstleistungen
- Standorte der Datenhaltung und -verarbeitung
- Zugriffsrechte und Fernwartungsrechte
- SLAs für Verfügbarkeit, Performance, Reaktionszeiten
- Backup- und Recovery-Verfahren mit definierten RPO/RTO
- Meldepflichten des Anbieters bei Vorfällen
- Revisions- und Auditrechte des Finanzunternehmens
- Untervergabe-Transparenz (wer sind Sub-Dienstleister?)
- Exit-Strategie und Datenportabilität
Auditrechte: Das Finanzunternehmen hat das Recht, den ERP-Anbieter zu auditieren (direkt oder durch Dritte) — der Vertrag muss dies explizit ermöglichen.
5. Informationsaustausch
DORA ermöglicht (auf freiwilliger Basis) den Austausch von:
- Cyber-Bedrohungsinformationen zwischen Finanzunternehmen
- Taktiken, Techniken und Verfahren bekannter Angreifer
- Warn- und Reaktionsinformationen
Infrastrukturen für diesen Austausch: TIBER-EU Rahmen, FS-ISAC (Financial Services Information Sharing and Analysis Center).
ERP als kritischer IKT-Drittanbieter: Konkrete Anforderungen
Wenn ein Finanzunternehmen ein Cloud-ERP nutzt (z. B. für Buchhaltung, HR, Vertragsmanagement), ist das ERP-System ein kritischer IKT-Drittanbieter — besonders wenn:
- Kerngeschäftsprozesse auf dem ERP basieren
- Kundendaten im ERP verarbeitet werden
- Ein Ausfall des ERP zu Dienstunterbrechungen führen würde
Checkliste für DORA-konforme ERP-Verträge:
- Vollständige Liste der Subdienstleister des ERP-Anbieters
- Datenspeicherort explizit dokumentiert (EU/EWR Pflicht für viele Institute)
- SLA min. 99,9 % mit Pönale bei Unterschreitung
- RTO ≤ 4 Stunden, RPO ≤ 1 Stunde (abhängig von Kritikalität)
- Backup-Dokumentation: Häufigkeit, Verschlüsselung, Recovery-Tests
- Meldepflicht des Anbieters bei Vorfällen ≤ 24 Stunden
- Auditrecht des Finanzunternehmens beim Anbieter vereinbart
- Exitplan und Datenportabilität (Format, Zeitrahmen)
- Änderungsmanagement: wesentliche Änderungen mit Vorlauf kommunizieren
Modulario und DORA
Für Finanzunternehmen, die Modulario nutzen, bietet Modulario:
- DORA-konformes Vertragswerk — Art. 30 DORA Mindestanforderungen enthalten
- ISO 27001 zertifizierte Infrastruktur — Grundlage für DORA-Compliance
- EU-Rechenzentrum (Frankfurt) — keine Datentransfers in Drittländer
- SLA 99,9 % mit definierten Pönale
- Incident-Meldepflicht ≤ 24 Stunden bei kritischen Vorfällen
- Auditrecht für Finanzunternehmen — jährliche Auditberichte verfügbar
- Vollständige Subdienstleister-Liste auf Anfrage
- Datenlöschung und -export bei Vertragsende in definierten Formaten
Für den DORA-Konformitätsbericht wenden Sie sich an unser Compliance-Team.
Häufige Fragen
Wen betrifft DORA konkret? Kreditinstitute, Zahlungsdienstleister, E-Geld-Institute, Wertpapierfirmen, Versicherungsunternehmen, Pensionsfonds und Krypto-Asset-Anbieter. Außerdem kritische IKT-Drittanbieter für diese Institute.
Was sind die Hauptpflichten nach DORA? Fünf Pfeiler: IKT-Risikomanagement-Rahmen, Incident-Management und -Reporting (Fristen: 15h/72h/30 Tage), Resilienztests (jährlich + TLPT alle 3 Jahre), Drittparteien-Risikomanagement mit Vertragsanforderungen, Informationsaustausch.
Welche Anforderungen stellt DORA an Verträge mit Cloud-ERP-Anbietern? Art. 30 DORA: vollständige Dienstleistungsbeschreibung, Datenspeicherorte, SLAs, Backup/Recovery, Meldepflichten bei Vorfällen (≤24h), Audit- und Revisionsrechte, Subdienstleister-Transparenz, Exit-Strategie und Datenportabilität.