DORA gilt bereits. Die Aufsicht weiß das auch.
Seit Januar 2025 ist die Verordnung über die digitale operationale Resilienz anwendbar, für Banken und Versicherer ebenso wie für viele ihrer IKT-Dienstleister. Wer jetzt noch sortiert, was DORA von ihm will, ist damit übrigens nicht allein. Aber es wird Zeit für Struktur statt Sortieren.
Die DORA-Säulen greifen auf Daten zu, die ein gutes ISMS ohnehin pflegt.
Auch relevant für IT-Dienstleister mit Kunden aus dem Finanzsektor
Was DORA verlangt und wo VantarIS ansetzt
IKT-Risikomanagement
Ein dokumentierter Risikorahmen mit Verantwortung der Leitungsebene. In VANTARIS führen Sie ihn als lebenden Prozess statt als jährliches PDF.
Vorfallmanagement
Schwerwiegende IKT-Vorfälle müssen klassifiziert und fristgerecht gemeldet werden. Vorbereitete Meldeprozesse machen den Unterschied zwischen Routine und Krisensitzung.
Resilienz-Tests
Regelmäßige Tests der digitalen Widerstandsfähigkeit, von Schwachstellen-Scans bis zu bedrohungsorientierten Penetrationstests. Ergebnisse fließen direkt als Maßnahmen ein.
IKT-Drittparteien
Dienstleisterverträge, Informationsregister und Ausstiegsstrategien. Ihr Dienstleisterverzeichnis in VANTARIS kennt Kritikalität und Vertragsstatus, nicht nur Firmennamen.
Ihre Kunden sind reguliert. Damit sind Sie es indirekt auch.
Finanzunternehmen müssen ihre IKT-Dienstleister vertraglich in die Pflicht nehmen. Wenn Ihre Kunden aus dem Finanzsektor kommen, landen DORA-Anforderungen früher oder später in Ihren Verträgen und Fragebögen.
Die gute Nachricht: Wer seine Sicherheit ohnehin strukturiert nachweisen kann, beantwortet solche Fragebögen aus dem Bestand. Genau dafür gibt es den „Security Champion“ Badge in VANTARIS , der besondere Anforderungen wie DORA sichtbar macht.
DORA als Sicht, nicht als Sonderprojekt
Risiken, Assets, Vorfälle und Dienstleister pflegen Sie in VANTARIS genau einmal. DORA ist darauf eine weitere Sicht, so wie ISO 27001 oder NIS2 auch. Ihr Vorteil: Vieles, was DORA fordert, haben gut aufgestellte Organisationen längst. Es weiß nur noch niemand, weil es nirgends zusammenläuft.
Die Pflicht, die den meisten Aufwand macht
Finanzunternehmen müssen ein Register aller vertraglichen Vereinbarungen mit IKT-Dienstleistern führen und der Aufsicht auf Verlangen vorlegen. Pro Vertrag gehören dazu Angaben wie erbrachte Funktionen, Kritikalität, Subdienstleister und Kündigungsregelungen.
In der Praxis ist das Register der Moment, in dem viele Organisationen feststellen, wie viele IT-Dienstleister sie tatsächlich haben. In VANTARIS entsteht es aus dem Dienstleisterverzeichnis, das Sie ohnehin pflegen, im von der Aufsicht erwarteten Format.
Was die BaFin inzwischen erwartet
Seit dem Anwendungsbeginn im Januar 2025 ist DORA gelebte Aufsichtspraxis: Register werden eingesammelt, Vorfallmeldungen laufen und die Anforderungen konkretisieren sich über technische Regulierungsstandards. Die Schonfrist, auf die manche gehofft hatten, ist keine geworden.
Unsere Empfehlung: Behandeln Sie DORA nicht als einmalige Abgabe, sondern als Betriebsmodus. Register, Tests und Vorfallprozesse brauchen einen Eigentümer und einen Rhythmus. Beides lässt sich in VANTARIS als wiederkehrende Aufgaben abbilden, damit nichts vom jährlichen Erinnerungszettel abhängt.
DORA in Kürze
Gilt DORA auch für kleine Finanzunternehmen?
DORA kennt Proportionalität: Die Anforderungen richten sich nach Größe und Risikoprofil. Ganz heraus fällt aber kaum jemand aus dem Anwendungsbereich. Welche Pflichten für Sie konkret gelten, klären wir gern im Gespräch, für die verbindliche Einordnung gehört Ihre Rechtsberatung dazu.
Wir sind ISO 27001-zertifiziert. Wie viel DORA fehlt uns noch?
Ein gutes Stück weniger als ohne. Das ISMS deckt die Grundlagen ab, DORA ergänzt eigene Pflichten wie das Informationsregister für Dienstleister und die spezifischen Meldefristen. In VANTARIS sehen Sie die Differenz als konkrete Lückenliste.
Was ist mit den Meldefristen bei Vorfällen?
DORA verlangt gestufte Meldungen an die Aufsicht, beginnend mit einer Erstmeldung kurz nach Klassifizierung des Vorfalls. Die genauen Fristen und Schwellen ergeben sich aus den technischen Standards. Entscheidend ist ein eingeübter Prozess, denn während eines Vorfalls liest niemand mehr Verordnungstexte.
Müssen wir bedrohungsorientierte Penetrationstests durchführen?
Die aufwändigen TLPT-Tests betreffen nur von der Aufsicht bestimmte, größere Institute. Für alle anderen gilt ein risikoorientiertes Testprogramm, von Schwachstellen-Scans bis zu klassischen Penetrationstests. Beides bekommen Sie bei uns aus einer Hand, inklusive Rückfluss der Ergebnisse in Ihr Risikomanagement.
Vertiefende Ratgeber
Mehr zu DORA aus unserem Ratgeber
Resilienz beginnt mit einem ehrlichen Lagebild.
Besprechen Sie Ihre DORA-Situation im Strategiegespräch, ob als Finanzunternehmen oder als Dienstleister mit Finanzkunden.