DORA-Beratung
Für Finanzunternehmen und ihre IKT-Dienstleister setzen wir DORA praxisnah um: IKT-Risikomanagement, Vorfallmeldung, das Management von Drittparteienrisiken und die Vorbereitung auf bedrohungsgeleitete Penetrationstests (TLPT). Wir verbinden die aufsichtsrechtliche Sicht mit der technischen Realität – damit Konformität und Betrieb zusammenpassen.
Was DORA ist – und für wen sie gilt
Der Digital Operational Resilience Act – Verordnung (EU) 2022/2554 – gilt seit dem 17. Januar 2025 unmittelbar in der gesamten EU, ohne nationales Umsetzungsgesetz. Er erfasst nahezu den gesamten Finanzsektor: Banken, Versicherungen, Zahlungs- und E-Geld-Institute, Wertpapierinstitute, Kapitalverwaltungsgesellschaften und weitere – sowie IKT-Drittdienstleister, die für diese arbeiten. Die Aufsicht führen in Deutschland BaFin und Bundesbank; frühere Rundschreiben wie die BAIT sind in DORA aufgegangen.
Der Grundgedanke: Ein Finanzunternehmen muss Störungen seiner IKT nicht nur verhindern, sondern nachweislich überstehen können – digitale operationale Resilienz. Für Finanzunternehmen gehen die DORA-Anforderungen den NIS2-Pflichten als spezielleres Recht vor.
Die fünf Säulen der DORA
DORA gliedert sich in fünf Anforderungsblöcke – die Verordnung nennt sie in Artikel 1, ausgeführt werden sie in den Kapiteln II bis VI samt technischer Regulierungsstandards (RTS/ITS):
Von der Gap-Analyse bis zum TLPT
Unsere DORA-Beratung beginnt mit einer Gap-Analyse gegen die Verordnung und die einschlägigen RTS: Wo steht Ihr IKT-Risikomanagement, tragen Ihre Klassifizierungs- und Meldeprozesse, ist das Informationsregister vollständig und pflegbar, halten Ihre IKT-Verträge den Pflichtklauseln stand? Die Lücken übersetzen wir in einen priorisierten Fahrplan und setzen ihn gemeinsam um – pragmatisch und im Ton der Aufsicht.
Beim Testen spielen wir unsere Stärke aus: Wir bauen Ihr Testprogramm nach Kapitel IV auf und bereiten bedeutende Unternehmen auf den TLPT vor – vom Threat-Profil über die Szenarien bis zur Begleitung des Tests und der Behebung der Befunde. Bedrohungsgeleitetes Testen ist kein Zukauf für uns, sondern unser Kernansatz.
DORA denkt vom Angreifer her – wir auch
DORA ist die erste Finanzregulierung, die bedrohungsgeleitetes Testen zur Pflicht macht: TLPT verlangt reale Angriffsszenarien auf Basis aktueller Threat Intelligence. Das ist exakt die Logik der Threat-Informed Defense – Verteidigung und Nachweis entlang der Techniken realer Angreifer. Wer seine Resilienz so aufbaut, erfüllt DORA nicht als Papierübung, sondern besteht auch den Test, den die Verordnung am Ende vorsieht.
Häufige Fragen zur DORA-Beratung
Gilt DORA für unser Unternehmen?
Wenn Sie ein beaufsichtigtes Finanzunternehmen sind – von der Bank über den Versicherer bis zum Zahlungsinstitut oder der Kapitalverwaltungsgesellschaft – sehr wahrscheinlich ja; die Verordnung zählt die erfassten Unternehmensarten in Artikel 2 abschließend auf. Auch IKT-Dienstleister von Finanzunternehmen sind betroffen: vertraglich über die Pflichtklauseln ihrer Kunden, kritische Dienstleister zusätzlich durch direkte EU-Aufsicht.
Was ist ein TLPT – und müssen wir einen machen?
Ein Threat-Led Penetration Test: ein bedrohungsgeleiteter Angriffstest nach TIBER-Logik, bei dem auf Basis aktueller Threat Intelligence reale Angriffsszenarien gegen kritische Live-Funktionen gefahren werden. Verpflichtend ist er für Finanzunternehmen, die die Aufsicht als bedeutend einstuft, grundsätzlich mindestens alle drei Jahre. Alle anderen müssen ihre Resilienz ebenfalls regelmäßig testen – nur ohne TLPT-Pflicht.
Was ist das Informationsregister?
Ein vollständiges Verzeichnis aller vertraglichen Vereinbarungen über IKT-Dienstleistungen – je Unternehmen und auf Gruppenebene, nach dem vorgegebenen technischen Standard. Die Aufsicht fordert es regelmäßig an. In der Praxis ist es der Lackmustest des Drittparteien-Managements: Wer sein Register nicht pflegen kann, kennt seine Abhängigkeiten nicht.
Wie verhält sich DORA zu NIS2?
DORA geht vor: Für Finanzunternehmen gelten die zentralen NIS2-Pflichten nicht, weil die Verordnung als sektorspezifisches Recht Vorrang hat – in Deutschland ausdrücklich geregelt in § 28 Abs. 6 BSIG. Konzernstrukturen mit Gesellschaften innerhalb und außerhalb des Finanzsektors brauchen deshalb einen genauen Blick, welche Einheit unter welches Regime fällt.
Wir erfüllen schon BAIT/VAIT – reicht das?
Ein guter Startpunkt, aber nicht genug: DORA geht insbesondere beim Drittparteienrisiko (Informationsregister, Pflichtklauseln, Exit-Strategien), bei den Meldefristen und beim bedrohungsgeleiteten Testen über die früheren Rundschreiben hinaus – die BaFin hat BAIT und VAIT mit Geltungsbeginn von DORA aufgehoben. Eine Gap-Analyse zeigt, was konkret nachzuziehen ist.
Daniel Thomas Heessel wurde als CISO des Jahres 2026 ausgezeichnet und hat als Security-Verantwortlicher einer internationalen Unternehmensgruppe Aufsichtsanforderungen und technische Realität zusammengebracht. Er ist zertifizierter ISO 27001 Senior Lead Auditor, CISSP, CISM und MITRE ATT&CK Defender – bedrohungsgeleitetes Testen ist sein Kernthema.
Fachlich geprüft im August 2026 an der Verordnung (EU) 2022/2554 (EUR-Lex).