Digitale operationale Resilienz im Finanzsektor
DORA-Beratung und Reifegradanalyse
DORA stellt verbindliche Anforderungen an das Management von IKT-Risiken, Vorfällen, Resilienztests und IKT-Drittdienstleistern. Wir unterstützen Finanzunternehmen dabei, den aktuellen Umsetzungsstand einzuordnen, Lücken zu priorisieren und belastbare Maßnahmen abzuleiten.
Anforderungen wirksam umsetzen
DORA verbindet Regulierung, Informationssicherheit und IT-Betrieb
Der Digital Operational Resilience Act, kurz DORA, gilt seit dem 17. Januar 2025. Die EU-Verordnung schafft einheitliche Anforderungen an die digitale operationale Resilienz im Finanzsektor. Betroffene Unternehmen müssen IKT-Risiken systematisch steuern, schwerwiegende IKT-bezogene Vorfälle behandeln und melden, ihre Widerstandsfähigkeit testen und Risiken aus IKT-Drittdienstleistungen kontrollieren.
DORA betrifft insbesondere beaufsichtigte Finanzunternehmen. IKT-Drittdienstleister werden über vertragliche Anforderungen, Risikobewertungen, Informationspflichten und bei kritischen Anbietern gegebenenfalls über den europäischen Überwachungsrahmen einbezogen.
In der Umsetzung treffen regulatorische Vorgaben auf bestehende Prozesse, Verträge, technische Strukturen und Managementsysteme. Häufig sind bereits einzelne Elemente vorhanden. Entscheidend ist, diese systematisch zusammenzuführen, Verantwortlichkeiten festzulegen und die Nachweisführung dauerhaft sicherzustellen.
Lücken früh erkennen
Wo DORA-Projekte häufig ins Stocken geraten
Unklarer Umsetzungsstand
Transparenz schaffen
Anforderungen werden in verschiedenen Fachbereichen bearbeitet, ohne dass ein konsolidierter Überblick über Erfüllungsgrad, offene Maßnahmen und Abhängigkeiten besteht.
Verteilte Verantwortlichkeiten
Governance klären
Informationssicherheit, IT-Betrieb, Risikomanagement, Compliance, Einkauf, Recht und Auslagerungsmanagement arbeiten an verbundenen Themen. Rollen und Entscheidungswege sind jedoch nicht immer eindeutig festgelegt.
Unvollständige Nachweise
Prüffähigkeit herstellen
Richtlinien, Risikoanalysen, Testergebnisse, Notfallpläne und Dienstleisterinformationen sind vorhanden, aber nicht vollständig, aktuell oder nachvollziehbar miteinander verknüpft.
Komplexe IKT-Dienstleisterstrukturen
Abhängigkeiten beherrschen
Verträge, Unterauftragnehmer, Cloud-Dienste und technische Abhängigkeiten müssen erfasst, bewertet und in ein konsistentes IKT-Drittparteienrisikomanagement überführt werden.
Fehlende Verzahnung von Planung und Betrieb
Umsetzung verstetigen
DORA ist kein einmaliges Dokumentationsprojekt. Risikobewertungen, Kontrollen, Tests, Vorfallprozesse und Registerinformationen müssen auch nach der initialen Umsetzung gepflegt werden.
Ihr Ausgangspunkt
Wo stehen Sie aktuell?
Orientierung und Erstbewertung
Anforderungen einordnen
Sie möchten klären, welche DORA-Anforderungen für Ihr Unternehmen relevant sind und welche bestehenden Strukturen genutzt werden können. Eine strukturierte Reifegradanalyse schafft einen belastbaren Ausgangspunkt.
Umsetzung und Maßnahmenplanung
Lücken schließen
Erste Analysen liegen vor, aber Prioritäten, Verantwortlichkeiten oder konkrete Umsetzungsschritte fehlen. Wir unterstützen bei der Entwicklung einer realistischen Roadmap und bei der Bearbeitung ausgewählter Handlungsfelder.
Prüfungs- und Aufsichtsvorbereitung
Nachweise konsolidieren
Sie möchten Dokumentation, Governance, Verträge und technische Nachweise vor einer internen Prüfung, einer externen Prüfung oder einer aufsichtsrechtlichen Abfrage strukturiert bewerten.
Weiterentwicklung und laufende Pflege
Resilienz erhalten
Bestehende Prozesse sollen regelmäßig überprüft, aktualisiert und mit Informationssicherheit, BCM, Incident Response und Dienstleistermanagement verzahnt werden.
Direkt klären
Persönliche Einordnung Ihrer Ausgangslage
Fachlicher Ansprechpartner für DORA, Informationssicherheit und digitale operationale Resilienz
Ihr Ansprechpartner
Michael Zitzler
Vice President Sales Operations
+49 89 3090488-0
DORA-Reifegradanalyse
Unsere Unterstützung für Ihre DORA-Umsetzung
Wir bewerten den aktuellen Stand in den relevanten DORA-Handlungsfeldern. Vorhandene Richtlinien, Prozesse, Rollen, Nachweise und technische Maßnahmen werden berücksichtigt. Sie erhalten eine nachvollziehbare Bewertung und priorisierte Handlungsempfehlungen.
Mögliche Ergebnisse sind:
Bewertung des aktuellen Erfüllungsgrads
Übersicht über Abweichungen und offene Anforderungen
Priorisierung nach Risiko, Dringlichkeit und Aufwand
Empfehlungen für die weitere Projektplanung
Audit- und Abschlussbericht
IKT-Risikomanagement und Governance
Verantwortung verankern
Wir unterstützen bei der Einordnung bestehender IKT-Risiken, der Entwicklung geeigneter Rahmenregelungen sowie der Zuordnung von Rollen, Kontrollen und Berichtswegen. Vorhandene ISMS-Strukturen nach ISO 27001 oder IT-Grundschutz können dabei gezielt einbezogen werden.
IKT-Vorfälle und Meldeprozesse
Reaktionsfähigkeit stärken
Wir prüfen, wie Erkennung, Klassifizierung, Eskalation, Dokumentation und regulatorische Meldung IKT-bezogener Vorfälle zusammenwirken. Ziel ist ein Prozess, der im Ereignisfall praktisch funktioniert und die erforderlichen Informationen rechtzeitig verfügbar macht.
Unser Service
Unser Pentest im DORA-Umfeld im Detail
Penetrationstests und TLPT im DORA-Kontext
Technische Widerstandsfähigkeit prüfen
DORA sieht für Finanzunternehmen ein risikobasiertes Programm zur Prüfung ihrer digitalen operationalen Resilienz vor. Abhängig von Risikoprofil, Kritikalität und Systemumgebung können dazu unterschiedliche technische und organisatorische Testverfahren gehören.
Klassische Penetrationstests untersuchen klar definierte Systeme, Anwendungen, Schnittstellen oder Infrastrukturen auf Schwachstellen und mögliche Angriffspfade. Sie können technische Risiken sichtbar machen, die Wirksamkeit bestehender Schutzmaßnahmen überprüfen und konkrete Verbesserungsmaßnahmen unterstützen.
Mögliche Prüfbereiche sind beispielsweise:
externe und interne IT-Infrastrukturen
Active Directory und Berechtigungssysteme
Webanwendungen und APIs
öffentlich erreichbare Dienste
Arbeitsplatzsysteme
Cloud- und hybride Umgebungen
Ergebnis
Die Ergebnisse können in Risikobewertung, Maßnahmenplanung und Wirksamkeitskontrolle des DORA-Testprogramms einfließen. Ein einzelner Penetrationstest erfüllt jedoch nicht automatisch sämtliche Anforderungen des DORA-Testprogramms.
TLPT im Rahmen von DORA
Threat-Led Penetration Testing
Threat-Led Penetration Testing, kurz TLPT, ist eine weitergehende bedrohungsbasierte Angriffssimulation. Sie richtet sich an Finanzunternehmen, für die eine solche Prüfung aufgrund ihrer aufsichtsrechtlichen Einordnung, Bedeutung, ihres Risikoprofils oder möglicher Auswirkungen auf den Finanzsektor vorgesehen ist.
Ein TLPT:
basiert auf realistischen Bedrohungsszenarien
betrachtet kritische oder wichtige Funktionen
kann produktive Systeme und relevante IKT-Drittdienstleister einbeziehen
untersucht zusammenhängende Angriffspfade statt einzelner Schwachstellen
erfordert klar geregelte Schutz-, Eskalations- und Risikokontrollen
endet mit dokumentierten Ergebnissen und einem Maßnahmenplan
Was ist wann sinnvoll?
Pentest oder TLPT?
Nicht jedes Finanzunternehmen benötigt ein vollständiges TLPT. Klassische Penetrationstests können für viele Organisationen ein sinnvoller Bestandteil eines regelmäßigen und risikobasierten Testprogramms sein. Sie prüfen klar abgegrenzte technische Bereiche und liefern konkrete Ergebnisse für die Behandlung festgestellter Schwachstellen.
TLPT geht deutlich weiter. Es verbindet aktuelle Bedrohungsinformationen mit einer kontrollierten Angriffssimulation über kritische Geschäftsprozesse, Systeme und gegebenenfalls eingebundene Dienstleister hinweg.
Welche Prüfung erforderlich und angemessen ist, hängt unter anderem ab von:
der Einordnung des Finanzunternehmens
den Vorgaben der zuständigen Aufsicht
der Kritikalität betroffener Funktionen
dem individuellen Risikoprofil
der bestehenden Test- und Sicherheitsorganisation
den eingebundenen IKT-Drittdienstleistern
Besondere Anforderungen
Prüfungen sicher vorbereiten
Sowohl klassische Penetrationstests als auch TLPT benötigen einen eindeutig vereinbarten Scope, verbindliche Rules of Engagement, definierte Eskalationswege und einen kontrollierten Umgang mit sensiblen Informationen.
Für ein TLPT gelten darüber hinaus besondere Anforderungen an Steuerung, Risikokontrolle, Qualifikation und Erfahrung der beteiligten Tester und Teams.
IKT-Drittparteienrisiken und Informationsregister
Dienstleister transparent steuern
Wir unterstützen bei der Erfassung und Strukturierung von IKT-Dienstleistungen, Vertragsbeziehungen, kritischen oder wichtigen Funktionen und relevanten Unterauftragnehmern. Dabei können sowohl Anforderungen an das Informationsregister als auch notwendige Vertrags- und Kontrollprozesse berücksichtigt werden.
BCM und technischer Wiederanlauf
Geschäftsbetrieb absichern
Business Continuity Management, IT-Notfallmanagement und technische Wiederanlaufplanung sind zentrale Bestandteile digitaler Resilienz. Wir verbinden organisatorische Anforderungen mit technischen Abhängigkeiten, Wiederherstellungszielen und überprüfbaren Tests.
Externer Informationssicherheitsbeauftragter
Fachliche Unterstützung im Betrieb
Fehlen interne Kapazitäten, kann ein externer Informationssicherheitsbeauftragter bestehende Verantwortliche fachlich unterstützen oder definierte Aufgaben dauerhaft übernehmen. Der genaue Leistungsumfang richtet sich nach Organisation, Regulierungsumfeld und vorhandenen Rollen.
Kurz eingeordnet
Häufige Entscheidungsfragen zu DORA
Nein. Der Anwendungsbereich umfasst zahlreiche Arten von Finanzunternehmen, darunter Kredit- und Zahlungsinstitute, Wertpapierfirmen, Versicherungen, bestimmte Einrichtungen der Altersversorgung, Kapitalverwaltungsgesellschaften und weitere beaufsichtigte Marktteilnehmer. Für einzelne Kategorien gelten Ausnahmen oder vereinfachte Anforderungen. Der konkrete Geltungsbereich sollte organisationsbezogen geprüft werden.
Nicht jeder IKT-Dienstleister ist im gleichen Umfang unmittelbar DORA-pflichtig. Finanzunternehmen müssen jedoch ihre IKT-Drittparteienrisiken steuern und bestimmte Vertragsanforderungen durchsetzen. Dadurch entstehen auch für Cloud-, Software-, Hosting-, Support- und andere IKT-Anbieter konkrete Nachweis-, Vertrags- und Mitwirkungspflichten.
Eine ISO-27001-Zertifizierung kann eine tragfähige Grundlage schaffen, ersetzt aber keine DORA-spezifische Prüfung. DORA enthält zusätzliche Anforderungen, beispielsweise an die Verantwortung des Leitungsorgans, das IKT-Drittparteienrisikomanagement, Informationsregister, regulatorische Meldungen und bestimmte Resilienztests.
DORA sieht keine allgemeine DORA-Zertifizierung für Finanzunternehmen vor. Eine Reifegradanalyse oder ein DORA-Audit durch einen Beratungsanbieter ist daher keine behördliche Zertifizierung. Es dient dazu, den Umsetzungsstand zu bewerten, Lücken sichtbar zu machen und Maßnahmen vorzubereiten.
Klarer Einstieg
Der passende Einstieg für Ihre Ausgangslage
Für Unternehmen ohne konsolidierte DORA-Bewertung ist die Reifegradanalyse ein sinnvoller erster Schritt. Sie schafft Transparenz, ohne unmittelbar ein umfangreiches Umsetzungsprojekt vorauszusetzen.
DORA-Audit
Reifegrad und Prioritäten
Strukturierte Bewertung des aktuellen Umsetzungsstands in den wesentlichen DORA-Handlungsfeldern.
Leistungsumfang:
Kick-off zur Abstimmung von Ziel, Umfang und Ansprechpartnern
Analyse vorhandener Strukturen, Maßnahmen und Nachweise
Bewertung von Risikomanagement, Governance, Vorfallmanagement, Tests, Notfallplanung und Drittparteienrisiken
Priorisierte Empfehlungen
Audit- und Abschlussbericht
Ergebnis
Transparenter Reifegrad und belastbare Grundlage für die weitere Umsetzung
DORA-Umsetzungsbegleitung
Maßnahmen strukturiert bearbeiten
Unterstützung bei der Planung und Umsetzung priorisierter Handlungsfelder aus einer bestehenden Analyse.
Leistungsumfang:
Konkretisierung der Maßnahmen und Verantwortlichkeiten
Erstellung oder Überarbeitung ausgewählter Dokumente und Prozesse
Fachliche Begleitung von IT, Informationssicherheit und Management
Unterstützung bei Nachweisen und Projektsteuerung
Ergebnis
Umsetzbare Maßnahmen mit klaren Zuständigkeiten und überprüfbaren Ergebnissen
TLPT und Red-Team-Test
Bedrohungsorientierte Prüfung
Abgestimmter Red-Team-Test für Organisationen, bei denen ein erweitertes bedrohungsorientiertes Testszenario erforderlich oder sinnvoll ist.
Leistungsumfang:
Kick-off und Abstimmung des Testumfangs
Vorbereitung des Angriffsszenarios
Durchführung des Red-Team-Tests
Dokumentation und Ergebnisbericht
Ergebnis
Realistische Bewertung der Erkennungs-, Reaktions- und Schutzfähigkeiten.
Informationsregister belastbar aufbauen
IKT-Dienstleistungen und Vertragsbeziehungen vollständig erfassen
Das DORA-Informationsregister soll sämtliche vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen abbilden. Es geht damit über die bisher häufig betrachteten wesentlichen IT-Auslagerungen hinaus.
Für kritische oder wichtige Funktionen sind zusätzliche Informationen erforderlich. Dazu können auch relevante Unterauftragnehmer und technische Abhängigkeiten gehören. Das Register sollte deshalb nicht als einmalige Excel-Aufgabe verstanden werden, sondern mit Einkauf, Vertragsmanagement, Risikomanagement, IT-Architektur und Auslagerungssteuerung verbunden werden.
Ein belastbarer Prozess umfasst insbesondere:
eindeutige Verantwortlichkeiten für Erfassung und Aktualisierung
ein gemeinsames Verständnis des Begriffs IKT-Dienstleistung
Zuordnung der unterstützten Funktionen und Prozesse
Bewertung kritischer oder wichtiger Funktionen
Erfassung relevanter Dienstleister und Unterauftragnehmer
Abgleich mit Verträgen und internen Dienstleisterverzeichnissen
Qualitätssicherung und regelmäßige Aktualisierung
Vorbereitung der aufsichtsrechtlichen Einreichung
KI-Risiken einordnen
Auswirkungen auf IKT-Risiken und Dienstleister prüfen
KI-Anwendungen können im DORA-Kontext relevant werden, wenn sie Geschäftsprozesse, Kontrollfunktionen, IKT-Dienstleistungen oder kritische beziehungsweise wichtige Funktionen unterstützen. Dies gilt insbesondere für extern bezogene KI- und Cloud-Dienste, automatisierte Entscheidungen, Sicherheitsanalysen und betriebliche Assistenzsysteme.
Zu prüfen sind unter anderem Datenflüsse, Berechtigungen, technische Abhängigkeiten, Anbieterstrukturen, Ausfallrisiken und manuelle Rückfallverfahren. Nicht jede KI-Anwendung benötigt ein eigenes DORA-Projekt. Sie sollte jedoch in bestehende Risiko-, Dienstleister-, BCM- und Governance-Prozesse einbezogen werden, sofern sie für den Geschäftsbetrieb relevant ist.
Nachvollziehbar vorgehen
Von der Standortbestimmung zur dauerhaften Resilienz
Geltungsbereich und Zielbild klären
Wir grenzen betroffene Gesellschaften, Prozesse, Funktionen, IKT-Systeme und Dienstleister ein und stimmen Ziele sowie Prüfungsumfang ab.
Bestehende Strukturen bewerten
Vorhandene Regelwerke, Risikoanalysen, Prozesse, Verträge, Tests und Nachweise werden systematisch den relevanten Anforderungen gegenübergestellt.
Lücken und Risiken priorisieren
Festgestellte Abweichungen werden nach Risiko, regulatorischer Bedeutung, Abhängigkeiten und Umsetzungsaufwand eingeordnet.
Maßnahmen planen und umsetzen
Für priorisierte Handlungsfelder werden Verantwortlichkeiten, Ergebnisse, Termine und geeignete Nachweise definiert.
Wirksamkeit prüfen
Kontrollen, Prozesse, Tests und Dokumentation werden überprüft und bei Bedarf angepasst.
Pflege im Betrieb verankern
Reviews, Registerpflege, Berichterstattung, Tests und Aktualisierungen werden in wiederkehrende Abläufe überführt.
Mit Transparenz beginnen
DORA-Handlungsbedarf belastbar einordnen
Eine strukturierte Reifegradanalyse zeigt, welche Anforderungen bereits erfüllt sind, wo wesentliche Lücken bestehen und welche Maßnahmen zuerst bearbeitet werden sollten.
Resilienz dauerhaft pflegen
DORA endet nicht mit dem Projektabschluss
Risikomanagement, Dienstleisterinformationen, Notfallpläne, Tests, Richtlinien und Nachweise müssen regelmäßig überprüft und aktualisiert werden. Abhängig von Ihrer internen Organisation können einzelne Aufgaben durch externe Fachberatung, einen Informationssicherheitsbeauftragten als Service oder technische Managed Services unterstützt werden.
Mögliche laufende Leistungen:
regelmäßige Reviews des IKT-Risikomanagements
Unterstützung bei der Pflege von Richtlinien und Nachweisen
fachliche Begleitung des Informationssicherheitsbeauftragten
wiederkehrende Schwachstellenanalysen und Penetrationstests
Unterstützung bei Incident Response und Notfallmanagement
Überprüfung technischer und organisatorischer Dienstleisterrisiken
Wissen und Handlungssicherheit
Schulungen und Workshops
Die Formate ergänzen Beratung und Umsetzung dort, wo Management, Fachbereiche oder verantwortliche Rollen gemeinsames Wissen und konkrete Arbeitsergebnisse benötigen.
Vorbereitet sein
BCM-Notfallmanagement kompakt
Kompaktes Format für Verantwortliche, die BCM, Notfallorganisation und technische Wiederherstellung besser verstehen und mit den Anforderungen an digitale Resilienz verbinden möchten.
Vorfälle sicher behandeln
Incident Response kompakt
Praxisorientierte Schulung für Verantwortliche, die Abläufe zur Erkennung, Bewertung, Eskalation und Behandlung von IT-Sicherheitsvorfällen verbessern möchten.
Für regulierte Organisationen
Für wen ist die DORA-Unterstützung geeignet?
Die Leistungen richten sich insbesondere an beaufsichtigte Finanzunternehmen, Versicherungen, Banken, Zahlungsdienstleister, Kapitalverwaltungsgesellschaften, Einrichtungen der betrieblichen Altersversorgung sowie weitere Organisationen im DORA-Anwendungsbereich.
Auch IKT-Dienstleister für den Finanzsektor profitieren von einer strukturierten Einordnung. Sie müssen häufig nachvollziehbare Sicherheitsmaßnahmen, belastbare Vertragsregelungen, Mitwirkungsprozesse und Informationen zu Unterauftragnehmern bereitstellen.
Passende Ergänzungen
Weiterführende Themen
Business Continuity Management
Betriebsfähigkeit sichern
Geschäftskritische Prozesse, Abhängigkeiten und Wiederanlaufanforderungen strukturiert erfassen.
Incident Response
Auf Vorfälle vorbereitet sein
Erkennung, Eskalation, Reaktion und Dokumentation von Sicherheitsvorfällen wirksam organisieren.
Penetration Testing
Widerstandsfähigkeit testen
Technische Schwachstellen erkennen und die Wirksamkeit bestehender Sicherheitsmaßnahmen überprüfen.
ISMS und ISO 27001
Managementsystem nutzen
Bestehende ISMS-Strukturen als Grundlage für Governance, Risikomanagement und Nachweisführung einsetzen.
Informationssicherheitsbeauftragter als Managed Service
Fachkompetenz dauerhaft sichern
Interne Verantwortliche fachlich unterstützen oder definierte Aufgaben kontinuierlich begleiten lassen.
Kurz beantwortet
Häufig gestellte Fragen
DORA steht für Digital Operational Resilience Act. Die EU-Verordnung legt einheitliche Anforderungen an die digitale operationale Resilienz von Finanzunternehmen fest.
DORA ist seit dem 17. Januar 2025 anzuwenden.
Zu den Kernthemen gehören IKT-Risikomanagement, Vorfallmanagement und Meldungen, Resilienztests, IKT-Drittparteienrisiken sowie der Austausch von Informationen über Cyberbedrohungen.
Das Leitungsorgan trägt die übergeordnete Verantwortung. Die operative Umsetzung betrifft regelmäßig mehrere Funktionen, darunter IT, Informationssicherheit, Risikomanagement, Compliance, Einkauf, Recht und Auslagerungsmanagement.
Das Informationsregister enthält Informationen zu vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen. Es unterstützt das interne Drittparteienrisikomanagement und die aufsichtsrechtliche Überwachung.
Nein. Erweiterte bedrohungsorientierte Penetrationstests gelten nur für ausgewählte Finanzunternehmen nach aufsichtsrechtlichen Kriterien. Grundlegende risikoorientierte Resilienztests sind jedoch breiter relevant.
Nein. Ein ISMS kann wesentliche Grundlagen bereitstellen, deckt aber nicht automatisch alle DORA-spezifischen Anforderungen ab.
Das angebotene DORA-Audit bewertet den vorhandenen Umsetzungsstand, identifiziert Lücken und priorisiert Maßnahmen. Es handelt sich nicht um eine behördliche Prüfung oder Zertifizierung.
Ja. Cloud-Dienste können IKT-Dienstleistungen im Sinne von DORA darstellen und müssen abhängig von Nutzung und Kritikalität in das Drittparteienrisikomanagement und das Informationsregister einbezogen werden.
Ein sinnvoller Einstieg ist eine strukturierte Reifegradanalyse. Sie schafft Transparenz über Geltungsbereich, vorhandene Maßnahmen, offene Anforderungen und prioritäre nächste Schritte.
Nächsten Schritt festlegen
DORA pragmatisch und nachweisfähig umsetzen
Klären Sie mit unserem Fachteam, welche Anforderungen für Ihre Organisation relevant sind und welcher Einstieg zu Ihrem aktuellen Umsetzungsstand passt.