DORA Anforderungen 2026: Die 5 Säulen der digitalen Resilienz

Die fünf Säulen sind IKT-Risikomanagement (Art. 5‑16), Meldung IKT-bezogener Vorfälle (Art. 17‑23), Testen der digitalen operationellen Resilienz (Art. 24‑27), Management von IKT-Drittparteirisiken (Art. 28‑44) und Informationsaustausch zu Cyberbedrohungen (Art. 45). Jede Säule adressiert einen eigenständigen Pflichtenkreis mit eigenen Fristen und Dokumentationsanforderungen, sie greifen aber ineinander, etwa fließen Erkenntnisse aus dem Testing direkt ins Risikomanagement-Framework zurück.

DORA gilt für nahezu alle regulierten Finanzunternehmen in der EU, von Kreditinstituten über Versicherungen bis zu Krypto-Dienstleistern, sowie für ihre kritischen IKT-Drittanbieter. Der Anwendungsbereich ist bewusst breit gefasst; der Umfang der konkret zu erfüllenden Pflichten richtet sich jedoch über Proportionalitätsregeln nach Größe, Geschäftsmodell und Risikoprofil des jeweiligen Unternehmens.

ISO 27001 liefert einen allgemeinen Rahmen für Informationssicherheits-Managementsysteme, während DORA sektorspezifisch und rechtlich verbindlich konkrete Pflichten für Finanzunternehmen vorschreibt, etwa feste Meldefristen für IKT-Vorfälle oder verpflichtende Drittanbieter-Register. Ein bestehendes ISO‑27001-ISMS deckt einen erheblichen Teil der DORA-Anforderungen bereits ab, ersetzt aber nicht die zusätzlichen, DORA-spezifischen Pflichten wie das Informationsregister oder die vorgeschriebenen Vertragsklauseln mit IKT-Drittanbietern.

Verpflichtend sind unter anderem ein dokumentiertes IKT-Risikomanagement-Framework, ein aktuell gehaltenes Register aller IKT-Drittanbieterverträge, sowie Nachweise über durchgeführte Resilienztests und deren Ergebnisse. Diese Dokumentation muss aufsichtsrechtlich prüfbar und nachvollziehbar sein, reine Absichtserklärungen ohne konkrete Nachweise über tatsächlich durchgeführte Maßnahmen halten einer Prüfung erfahrungsgemäß nicht stand.

Sinnvoll ist es, DORA nicht als isoliertes Compliance-Projekt zu behandeln, sondern die Anforderungen in bestehende Risikomanagement- und IT-Governance-Prozesse einzubetten, etwa indem IKT-Risiken als eigene Kategorie im vorhandenen Risikoinventar geführt werden, statt eine Parallelstruktur aufzubauen. Das reduziert doppelten Pflegeaufwand und erleichtert die Konsistenz zwischen DORA-Berichten und dem übrigen Risikoreporting.

Wo Anforderungen inhaltlich überlappen, etwa bei Risikomanagement-Grundprinzipien oder Vorfallmeldungen, lassen sich Prozesse und Dokumentation gemeinsam nutzen statt getrennt aufzubauen, ein ISO‑27001-zertifiziertes ISMS oder ein NIS2-Umsetzungsprojekt liefern häufig direkt verwertbare Bausteine für DORA. Wichtig ist dabei, die jeweils strengere oder spezifischere Anforderung als Maßstab zu nehmen, statt sich auf den kleinsten gemeinsamen Nenner zu verlassen.