DORA: 1. Jahrestag im Kontext Digitaler Operationaler Resilienz

Die DORA-Intention ist ein einheitliches Rahmenwerk für das Management von Drittanbieter-Risiken im Finanzsektor

[datensicherheit.de, 22.01.2026] Der 17. Januar 2026 hat den ersten Jahrestag des Inkrafttretens des „Digital Operational Resilience Act“ (DORA) der EU markiert. Zusammen mit den britischen Regeln zur Operationalen Resilienz und dem gesetzlichen Rahmenwerk für Kritische Drittanbieter (Critical Third Parties, CTP) bestimmen diese Vorschriften nun, wie Finanzinstitute in Europa in der digitalen Hemisphäre agieren müssen.

DORA soll Basis bieten, dass Banken und Versicherer Cyberangriffen und IT-Ausfällen standhalten

„Die Absicht von DORA ist ein einheitliches Rahmenwerk für das Management von Drittanbieter-Risiken im Finanzsektor“, erläutert Cynthia Overby, „Director of Strategic Security Solutions, ZCOE“ bei Rocket Software.

• Dieses soll demnach sicherstellen, dass Institutionen wie Banken und Versicherer Cyberangriffen und IT-Ausfällen standhalten, darauf reagieren und sich davon erholen können.

Inzwischen sollte die DORA-„Compliance“ bereits weitgehend in die Unternehmensrichtlinien und Resilienzprogramme aller Finanzinstitute innerhalb der EU sowie derjenigen, die regelmäßig Geschäfte in der Region tätigen, integriert sein.

Auswirkungen von DORA entlang einer vollständig zu schützenden Lieferkette

Overby führt aus: „Die Auswirkungen von DORA gehen über die bloße Funktionsweise von Finanzinstituten hinaus. Obwohl der Großteil der Verantwortung bei ihnen liegt, ist das Ziel des Rahmenwerks eine vollständig geschützte Lieferkette!“

• Daher seien nun auch Kritischen Drittanbietern von Informations- und Kommunikationstechnologie (IKT-Dienstleistern) spezifische und direkte Pflichten auferlegt.

Dazu gehörten die Implementierung von Risikomanagement-Rahmenwerken, die Meldung von Vorfällen, die Gewährleistung der Geschäftskontinuität durch strenge Disaster-Recovery-Pläne und die Einhaltung technischer Standards.

DORA: Schadensfall im Kontext ungenügender „Compliance“ wird teuer

„Diese geteilte Rechenschaftspflicht bedeutet, dass jeder Akteur innerhalb der Kette genau wissen muss, welche Regeln für ihn gelten – was mit einer gründlichen Überprüfung der eigenen Verträge beginnt“, so Overby.

• Sie verwendet eine Analogie: „,Compliance’ ist ein bisschen wie zu schnelles Fahren – ein Autofahrer kann das Tempolimit überschreiten und ungeschoren davonkommen, bis er angehalten wird. Und wenn nichts passiert, erfährt es niemand…“

Abschließend warnt sie indes: „Aber wenn es zu einem Vorfall kommt und man sich außerhalb der ,Compliance’ bewegt, kommen Bußgelder, Reputationsschäden und die finanziellen Kosten der Fehlerbehebung ins Spiel!“ 

Weitere Informationen zum Thema:

Rocket software
About us / Rocket Software powers the world’s most innovative companies

Linkedin
Cynthia Overby: Director Strategic Security Solutions, zCOE at Rocket Software

Rocket software
Don’t wait for DORA / View the Rocket Software webinar, Countdown to DORA

BaFin Bundesanstalt für Finanzdienstleistungsaufsicht, 28.08.2025
DORA – Digital Operational Resilience Act

datensicherheit.de, 29.09.2025
Alarmstufe DORA: Digital Operational Resilience Act als Weckruf für den Finanzsektor / Das im Januar 2025 eingeführte Gesetz auf DORA-Grundlage konzentriert sich auf die Meldung von Vorfällen, die Überwachung von Drittanbietern und die Prüfung der Widerstandsfähigkeit

datensicherheit.de, 31.07.2025
DORA – Europäische Union präzisiert Umgang mit Lieferketten-Risiken / Die Europäische Kommission hat Anfang Juli eine Ergänzung zur Verordnung über die digitale operationale Resilienz im Finanzsektor (DORA) in Form finaler technischer Regulierungsstandards (RTS) veröffentlicht. Damit konkretisiert sie Anforderungen an das Risikomanagement oftmals komplexer IKT-Lieferketten im durch DORA regulierten Bereich. Im Fokus stehen dabei Untervergaben. Der TÜV SÜD fasst die wichtigsten Punkte praxisorientiert zusammen.

datensicherheit.de, 21.07.2025
DORA Oversight Guide publiziert: Finanzunternehmen sollten sich dringend mit Verschlüsselung und Schlüsselhoheit befassen / Am 15. Juli 2025 wurde der neue „DORA Oversight Guide“ von den europäischen Aufsichtsbehörden veröffentlicht – Finanzunternehmen, IT-Dienstleister und „Cloud-Provider“ werden mit teils weitreichenden Auswirkungen konfrontiert