DORA-Beratung
Für Finanzunternehmen und ihre IKT-Dienstleister setzen wir DORA praxisnah um: IKT-Risikomanagement, Vorfallmeldung, das Management von Drittparteienrisiken und die Vorbereitung auf bedrohungsgeleitete Penetrationstests (TLPT). Wir verbinden die aufsichtsrechtliche Sicht mit der technischen Realität, damit Konformität und Betrieb zusammenpassen.
Was DORA ist – und für wen sie gilt
Der Digital Operational Resilience Act (Verordnung (EU) 2022/2554) gilt seit dem 17. Januar 2025 unmittelbar in der gesamten EU, ohne nationales Umsetzungsgesetz. Er erfasst nahezu den gesamten Finanzsektor: Banken, Versicherungen, Zahlungs- und E-Geld-Institute, Wertpapierinstitute, Kapitalverwaltungsgesellschaften und weitere, dazu IKT-Drittdienstleister, die für diese arbeiten. Die Aufsicht führen in Deutschland BaFin und Bundesbank; die früheren IT-Rundschreiben der BaFin (BAIT, VAIT, KAIT, ZAIT) sind für DORA-pflichtige Unternehmen mit deren Geltungsbeginn aufgehoben.
Der Grundgedanke: Ein Finanzunternehmen muss Störungen seiner IKT nicht nur verhindern, sondern nachweislich überstehen können. Das ist digitale operationale Resilienz. Dabei gilt durchgängig Verhältnismäßigkeit: Die Anforderungen skalieren mit Größe, Risikoprofil und Komplexität: vom vereinfachten IKT-Risikomanagementrahmen für kleine Unternehmen (Art. 16) bis zu den TLPT-Pflichten, die nur wenige, von der Aufsicht benannte bedeutende Unternehmen treffen. Für Finanzunternehmen gehen die DORA-Anforderungen den NIS2-Pflichten als spezielleres Recht vor.
Die fünf Säulen der DORA
DORA gliedert sich in fünf Anforderungsblöcke. Die Verordnung nennt sie in Artikel 1; ausgeführt werden sie in den Kapiteln II bis VI samt technischer Regulierungsstandards (RTS/ITS):
Von der Gap-Analyse bis zum TLPT
Unsere DORA-Beratung beginnt mit einer Gap-Analyse gegen die Verordnung und die einschlägigen RTS: Wo steht Ihr IKT-Risikomanagement, tragen Ihre Klassifizierungs- und Meldeprozesse, ist das Informationsregister vollständig und pflegbar, halten Ihre IKT-Verträge den Pflichtklauseln stand? Die Lücken übersetzen wir in einen priorisierten Fahrplan und setzen ihn gemeinsam um, pragmatisch und im Ton der Aufsicht.
Beim Testen bauen wir Ihr Programm nach Kapitel IV verhältnismäßig auf. Für die meisten Unternehmen heißt das: regelmäßige, risikoorientierte Tests, kein TLPT. Werden Sie als bedeutendes Unternehmen für TLPT benannt, übernehmen wir Ihre Seite des Tests: Threat-Profil und Szenarien, Auswahl und Steuerung des Testdienstleisters, Begleitung während des Tests und die Behebung der Befunde. Die Durchführung selbst übernehmen wir bewusst nicht: TLPT gehören in die Hände spezialisierter Tester, wir bleiben Ihr unabhängiger Berater.
DORA denkt vom Angreifer her – wir auch
DORA ist die erste Finanzregulierung, die bedrohungsgeleitetes Denken verankert: beim TLPT ausdrücklich, im Risikomanagement der Sache nach. Diese Denkweise nutzt jedem Finanzunternehmen, auch ohne TLPT-Pflicht: Wer Maßnahmen und Tests an den Techniken realer Angreifer ausrichtet (Threat-Informed Defense), erfüllt DORA nicht als Papierübung und ist vorbereitet, falls die Aufsicht ihn eines Tages als bedeutend einstuft.
Die Einführung von Threat-Informed Defense ist dafür das ideale Fundament. Für den TLPT: Das Threat-Profil liefert genau die Akteure und Szenarien, die ein bedrohungsgeleiteter Test später nachstellt. Wer TID lebt, geht ohne Überraschungen in den Test. Und für Detection & Response: Erkennung und Alarmierung werden auf die Techniken fokussiert, die Ihre realen Angreifer einsetzen, statt alles zu loggen. Das macht die Vorfallbehandlung effizient und die fristgerechte Klassifizierung und Meldung nach Kapitel III überhaupt erst leistbar.
Häufige Fragen zur DORA-Beratung
Gilt DORA für unser Unternehmen?
Wenn Sie ein beaufsichtigtes Finanzunternehmen sind, von der Bank über den Versicherer bis zum Zahlungsinstitut oder der Kapitalverwaltungsgesellschaft: sehr wahrscheinlich ja; die Verordnung zählt die erfassten Unternehmensarten in Artikel 2 abschließend auf. Auch IKT-Dienstleister von Finanzunternehmen sind betroffen: vertraglich über die Pflichtklauseln ihrer Kunden, kritische Dienstleister zusätzlich durch direkte EU-Aufsicht.
Was ist ein TLPT – und müssen wir einen machen?
Ein Threat-Led Penetration Test: ein bedrohungsgeleiteter Angriffstest nach TIBER-Logik, bei dem auf Basis aktueller Threat Intelligence reale Angriffsszenarien gegen kritische Live-Funktionen gefahren werden. Verpflichtend ist er für Finanzunternehmen, die die Aufsicht als bedeutend einstuft, grundsätzlich mindestens alle drei Jahre. Alle anderen müssen ihre Resilienz ebenfalls regelmäßig testen, nur ohne TLPT-Pflicht.
Führen Sie selbst TLPT durch?
Nein, bewusst nicht. Wir übernehmen die Seite des Finanzunternehmens: Threat-Profil und Threat-Intelligence-Input, Scoping und Szenarien, Auswahl und Steuerung des Testdienstleisters, Begleitung während des Tests und die Behebung der Befunde. Die Durchführung gehört in die Hände spezialisierter, dafür vorgesehener Tester. Diese Trennung hält uns unabhängig, im Test wie im Ergebnis.
Wir sind ein kleines Finanzunternehmen – gilt das alles auch für uns?
DORA gilt, aber verhältnismäßig: Die Anforderungen skalieren mit Größe, Risikoprofil und Komplexität (Art. 4 DORA). Für bestimmte kleine und nicht verflochtene Unternehmen gilt ein vereinfachter IKT-Risikomanagementrahmen (Art. 16), Kleinstunternehmen sind teils ausgenommen, und ein TLPT trifft ohnehin nur die von der Aufsicht benannten bedeutenden Unternehmen. Wir dimensionieren die Umsetzung entsprechend: kein Konzernprogramm für ein kleines Haus.
Was ist das Informationsregister?
Ein vollständiges Verzeichnis aller vertraglichen Vereinbarungen über IKT-Dienstleistungen, je Unternehmen und auf Gruppenebene, nach dem vorgegebenen technischen Standard. Die Aufsicht fordert es regelmäßig an. In der Praxis ist es der Lackmustest des Drittparteien-Managements: Wer sein Register nicht pflegen kann, kennt seine Abhängigkeiten nicht.
Wie verhält sich DORA zu NIS2?
DORA geht vor: Für Finanzunternehmen gelten die zentralen NIS2-Pflichten nicht, weil die Verordnung als sektorspezifisches Recht Vorrang hat; in Deutschland ist das ausdrücklich in § 28 Abs. 6 BSIG geregelt. Konzernstrukturen mit Gesellschaften innerhalb und außerhalb des Finanzsektors brauchen deshalb einen genauen Blick, welche Einheit unter welches Regime fällt.
Wir erfüllen schon BAIT/VAIT – reicht das?
Ein guter Startpunkt, aber nicht genug: DORA geht insbesondere beim Drittparteienrisiko (Informationsregister, Pflichtklauseln, Exit-Strategien), bei den Meldefristen und beim bedrohungsgeleiteten Testen über die früheren Rundschreiben hinaus. Die BaFin hat VAIT, KAIT und ZAIT mit Geltungsbeginn von DORA vollständig aufgehoben, die BAIT für alle DORA-pflichtigen Institute. Eine Gap-Analyse zeigt, was konkret nachzuziehen ist.
Daniel Thomas Heessel wurde als CISO des Jahres 2026 ausgezeichnet und hat als Security-Verantwortlicher einer internationalen Unternehmensgruppe Aufsichtsanforderungen und technische Realität zusammengebracht. Er ist zertifizierter ISO 27001 Senior Lead Auditor, CISSP, CISM und MITRE ATT&CK Defender.
Fachlich geprüft im August 2026 an der Verordnung (EU) 2022/2554 (EUR-Lex).