DORA: Digitale operationale Resilienz im Finanzsektor — Pflichten, Aufsicht und Personalbedarf

DORA ist eine EU-Verordnung und gilt seit dem 17. Januar 2025 unmittelbar in allen Mitgliedstaaten — anders als die NIS2-Richtlinie, die erst durch ein nationales Gesetz wirksam wurde. Ein deutsches Umsetzungsgesetz war daher nicht erforderlich. Deutschland hat aber begleitend das Finanzmarktdigitalisierungsgesetz (FinmadiG) erlassen, das die BaFin als zuständige Behörde bestimmt, Sanktionen regelt und die deutschen Fachgesetze an DORA anpasst. Für betroffene Finanzunternehmen bedeutet die unmittelbare Geltung: Die Pflichten aus der Verordnung und den zugehörigen technischen Standards gelten seit Januar 2025 ohne Übergangsfrist und werden von der BaFin aktiv beaufsichtigt. Wer Lücken im IKT-Risikomanagement oder im Drittparteienregister hat, sollte sie prioritär schließen — die Aufsicht fragt diese Punkte inzwischen konkret ab.

TLPT (threat-led penetration testing) ist ein bedrohungsorientierter Penetrationstest: Auf Basis aktueller Bedrohungsanalysen simuliert ein Red Team realistische Angriffe auf die kritischen Live-Systeme eines Finanzunternehmens. Artikel 26 der DORA-Verordnung verpflichtet dafür identifizierte Finanzunternehmen — ausgewählt nach Systemrelevanz und Risikoprofil — zu TLPT mindestens alle drei Jahre. Die Einzelheiten regelt die Delegierte Verordnung (EU) 2025/1190, die sich methodisch am TIBER-EU-Rahmenwerk der EZB orientiert; das Rahmenwerk wurde 2025 entsprechend an DORA angepasst. TLPT erfordert spezialisierte Threat-Intelligence- und Red-Team-Anbieter sowie interne Koordinatoren, die Scoping, Geheimhaltung und Behördenabstimmung steuern. Solche Profile sind am Markt rar — Unternehmen sollten Testzyklen und Personalplanung daher früh zusammendenken.

Ja, auf zwei Wegen. Erstens mittelbar: Finanzunternehmen dürfen IKT-Dienstleistungen nur auf Basis von Verträgen beziehen, die die Mindestinhalte aus Artikel 30 der DORA-Verordnung abdecken — von Sicherheitsanforderungen über Zugangs- und Prüfrechte bis zu Ausstiegsstrategien bei kritischen Funktionen. Diese Anforderungen reichen Banken und Versicherer an ihre Dienstleister durch, die sie operativ erfüllen müssen, um im Geschäft zu bleiben. Zweitens unmittelbar: IKT-Drittdienstleister, die die ESAs als kritisch für den Finanzsektor einstufen, unterliegen dem europäischen Überwachungsrahmen mit Prüfungen, Empfehlungen und Zwangsgeldern — im November 2025 wurden die ersten 19 Anbieter benannt, darunter die großen Cloud-Plattformen. IT-Dienstleister der Finanzbranche brauchen daher eigene DORA-kompetente Compliance- und Security-Teams.

DORA ist für den Finanzsektor lex specialis: Nach Artikel 4 der NIS2-Richtlinie gehen sektorspezifische EU-Rechtsakte vor, wenn ihre Anforderungen mindestens gleichwertig sind — und die EU-Kommission hat DORA ausdrücklich als solchen Rechtsakt benannt. Finanzunternehmen im DORA-Anwendungsbereich wenden für IKT-Risikomanagement und Vorfallsmeldungen daher DORA an, nicht die NIS2-Pflichten des BSI-Gesetzes. Inhaltlich ist DORA dabei vielfach strenger: detailliertere Vorgaben zum Risikomanagementrahmen, ein vollständiges Vertragsregister, verpflichtende Resilienztests bis hin zu TLPT. Komplex wird es in Konzernen, in denen einzelne Gesellschaften nicht unter DORA fallen und dann NIS2-pflichtig sein können, sowie bei IT-Dienstleistern, die beide Regime gleichzeitig berühren. Die genaue Abgrenzung im Einzelfall gehört in die Rechtsberatung.

Die fünf Säulen von DORA lassen sich auf konkrete Funktionen abbilden: ein CISO oder IKT-Risikoverantwortlicher, der den Risikomanagementrahmen steuert und an das Leitungsorgan berichtet; GRC- beziehungsweise DORA-Officer für Richtlinien, Kontrolltests und die Aufsichtskommunikation; Third-Party-Risk-Manager für Informationsregister, Vertragsanforderungen und Cloud-Exit-Strategien; SOC-Analysten und Incident-Responder für Detektion, Klassifizierung und fristgerechte Meldung von Vorfällen; sowie TLPT-fähige Penetration Tester oder die Steuerung externer Red-Team-Anbieter. Je nach Institutsgröße werden Rollen kombiniert oder teilweise ausgelagert — die Verantwortung bleibt nach DORA jedoch beim Finanzunternehmen selbst. NOBA Experts besetzt diese Security- und Risk-Profile in Festanstellung und kennt Gehaltsbänder und Verfügbarkeiten im deutschen Finanzsektor.