DORA in der Praxis: Fünf Stolpersteine und wie Unternehmen sie meistern können

Seit dem 17. Januar 2025 ist der Digital Operational Resilience Act (DORA) in Kraft. Die Verordnung der EU soll die Cyber-Resilienz des Finanzsektors durch einheitliche und verbindliche Vorgaben verbessern. Betroffen sind nicht nur Banken, Versicherungen und Investmentgesellschaften, sondern auch IT-Dienstleister, die kritische Infrastrukturen für diese Institutionen bereitstellen.

Zwei Monate Praxis in Sachen DORA zeigen: Auch nach der Umsetzungsfrist bleibt für Banken, Versicherungen und Kapitalverwalter viel zu tun. Einzelne Meldefristen haben sich verschoben, Anforderungen wurden teils spät konkretisiert und viele Dienstleisterverträge sind noch nicht aktualisiert.

Durch die Komplexität der neuen Anforderungen laufen sie Gefahr, die Richtlinie nicht Compliance-konfrom umzusetzen. Besonders herausfordernd sind die Integration in bestehende Compliance-Prozesse, das Management von IT-Drittrisiken und die Implementierung belastbarer Meldeprozesse.

DORA: Herausforderungen für Unternehmen

Laut dem BSI-Bericht zur Lage der IT-Sicherheit in Deutschland 2024 wurden im vergangenen Jahr 120 Cyber-Angriffe auf Unternehmen im Finanz- und Versicherungssektor gemeldet – fast eine Verdopplung im Vergleich zu 2023, als noch 61 Vorfälle registriert wurden. Diese Entwicklung zeigt, dass die Bedrohungslage für den Finanzsektor weiter eskaliert und verstärkte Schutzmaßnahmen dringlicher denn je sind. Banken, Versicherungen und deren IT-Dienstleister stehen zunehmend im Visier von Cyber-Kriminellen, was die Notwendigkeit robuster Sicherheitsstrategien unterstreicht.

Um diesen Herausforderungen zu begegnen, definiert DORA hohe Anforderungen in mehreren zentralen Bereichen, darunter IT-Risikomanagement, Meldepflichten, operative Resilienztests und das Management von IT-Drittanbietern. Ziel der Verordnung ist es, Finanzunternehmen widerstandsfähiger gegen Cyber-Angriffe zu machen und eine einheitliche Sicherheitsstrategie in der EU zu etablieren. Doch die Umsetzung erweist sich oft als komplex.

Als die wichtigsten fünf Stolpersteine – und die zugehörigen Lösungsansätze – gelten:

• Meldeprozesse und Reaktionszeiten optimieren: Unternehmen müssen Cyber-Angriffe innerhalb von 24 Stunden an die zuständige Aufsichtsbehörde melden. In der Praxis fehlen jedoch oft klare interne Prozesse. Eine Lösung ist die Implementierung automatisierter Erkennungssysteme, die Angriffe frühzeitig identifizieren und standardisierte Berichte generieren.
• IT-Drittrisiken effektiv managen: Finanzunternehmen bleiben für die Sicherheit ihrer IT-Dienstleister verantwortlich. Viele haben noch keine durchgehenden Risikobewertungen etabliert. Hier helfen vertraglich festgelegte Sicherheitsanforderungen und regelmäßige Audits, um die Compliance externer Anbieter sicherzustellen.
• Krisenmanagement realistisch testen: DORA verlangt praxisnahe Stresstests zur Überprüfung der Cyber-Resilienz. Häufig mangelt es jedoch an realistischen Szenarien. Unternehmen sollten regelmäßig Simulationen durchführen und sicherstellen, dass ihre Notfallpläne mit der Gesamtstrategie abgestimmt sind.
• DORA in bestehende Compliance-Frameworks integrieren: Viele Unternehmen setzen bereits auf NIS-2, ISO 27001 oder BSI IT-Grundschutz. Eine Herausforderung ist die nahtlose Einbindung von DORA ohne unnötige Doppelstrukturen. Die Harmonisierung bestehender Prozesse mit den neuen Anforderungen reduziert den administrativen Aufwand und erleichtert die Umsetzung.
• Sicherer Datentransfer und Verschlüsselung gewährleisten: DORA fordert robuste Sicherheitsmaßnahmen für den digitalen Austausch sensibler Informationen. In der Praxis setzen viele Unternehmen jedoch noch auf veraltete Übertragungsmethoden wie unverschlüsselte E-Mails oder unsichere File-Transfer-Lösungen. Eine Lösung ist der Einsatz von Ende-zu-Ende-verschlüsselten Plattformen, die nicht nur DORA-konforme Sicherheit bieten, sondern auch die Integrität und Nachverfolgbarkeit von Daten gewährleisten.

DORA als Chance für die digitale Souveränität Europas

DORA ist ein entscheidender Schritt für die digitale Souveränität Europas. Die Verordnung sorgt nicht nur für einheitliche Sicherheitsstandards, sondern stärkt auch die Widerstandsfähigkeit des Finanzsektors gegen Cyber-Angriffe.

Unternehmen, die jetzt in resiliente und sichere Strukturen investieren, profitieren langfristig von mehr Vertrauen und regulatorischer Sicherheit. Zudem setzt die EU mit DORA neue Maßstäbe für Cyber-Resilienz – und fordert von Unternehmen ein proaktives Vorgehen. Wer frühzeitig handelt, minimiert nicht nur Risiken und regulatorische Hürden, sondern sichert sich langfristige Wettbewerbsvorteile in einer zunehmend digitalisierten Finanzwelt.

Ari Albertini ist CEO von FTAPI.

FTAPI