DORA · Digital Operational Resilience Act · Finanzsektor
DORA gilt seit 17. Januar 2025. Die Übergangsfrist ist abgelaufen, Nachweise werden aktiv geprüft.
Seit dem 17. Januar 2025 ist DORA unmittelbar geltendes EU-Recht, und seit 2026 ist die Kulanzphase vorbei: Aufsichtsbehörden wie die BaFin gleichen das Register of Information automatisiert ab und führen aktive Prüfungen durch. Banken, Versicherungen, Zahlungsdienstleister und deren IT-Dienstleister müssen die digitale Betriebsstabilität regelmäßig technisch nachweisen. Unser Penetrationstest liefert genau diesen Nachweis nach Art. 24 und 25 DORA, auditierbar und direkt verwendbar.
Art. 24 / 25 DORA
Regelmäßige Sicherheitstests
Art. 24 Abs. 6 DORA verlangt mindestens einmal jährlich Tests aller IKT-Systeme, die kritische oder wichtige Funktionen unterstützen, und Art. 25 nennt den Penetrationstest als zulässige Methode, Penetrationstests sind dafür das anerkannte Nachweismittel.
Dokumentierter Testnachweis
Euer Bericht muss Findings, Risikobewertungen und Maßnahmen enthalten, direkt verwendbar für BaFin-Audits und interne Compliance.
Lieferkette im Blick
DORA erstreckt sich auf kritische IT-Dienstleister. Auch als IT-Dienstleister einer Bank könnt ihr DORA-pflichtig sein.
Art. 26 / 27 DORA · TLPT
TLPT nur für wenige Institute
TLPT ist nur für Institute verpflichtend, die von der Aufsicht als „signifikant“ eingestuft werden: etwa G-SIIs/O-SIIs, Zahlungsinstitute ab 150 Mrd. € Zahlungsvolumen pro Jahr (in jedem der zwei vorangegangenen Kalenderjahre) oder Versicherer nur bei über 1,5 Mrd. € Bruttoprämien und zugleich über 10 Mrd. € versicherungstechnischen Rückstellungen. Für alle anderen reicht ein strukturierter Pentest nach Art. 25.
Unser DORA-Pentest-Bericht ist für BaFin-Audits, interne Compliance-Nachweise und Geschäftsführungs-Reporting direkt verwendbar.
DORA erklärt
Der Digital Operational Resilience Act (DORA) ist eine EU-Verordnung, die seit dem 17. Januar 2025 unmittelbar in allen EU-Mitgliedstaaten gilt. Sie verpflichtet Finanzunternehmen und deren kritische IT-Dienstleister, die digitale Betriebsstabilität systematisch zu testen und nachzuweisen. DORA ersetzt und vereinheitlicht die bisher fragmentierten nationalen Anforderungen und betrifft damit über 22.000 Unternehmen allein in der EU.
DORA gilt seit 17. Januar 2025. Die Übergangsfrist ist abgelaufen, Nachweise werden aktiv geprüft.
Die Verordnung gilt direkt, ohne nationales Umsetzungsgesetz. BaFin und EZB prüfen die Einhaltung.
Auch IT-Dienstleister, Cloud-Anbieter und Rechenzentren können DORA-pflichtig sein, wenn sie kritische Funktionen für Finanzunternehmen erbringen.
DORA-Zeitleiste
DORA ist kein neues Thema mehr: Seit 2023 durchläuft die Verordnung einen klaren Fahrplan, vom Inkrafttreten bis zur heutigen, aktiven Aufsichtspraxis.
Die Verordnung (EU) 2022/2554 erscheint am 27.12.2022 im Amtsblatt und tritt zwanzig Tage später in Kraft, mit einer zweijährigen Übergangsfrist bis zum Anwendungsbeginn.
DORA gilt unmittelbar und ohne nationales Umsetzungsgesetz in allen EU-Mitgliedstaaten. Ab diesem Stichtag müssen Finanzunternehmen die Anforderungen technisch erfüllen können.
Die ESAs (EBA, ESMA, EIOPA) finalisieren die technischen Regulierungsstandards (RTS), u. a. zum Register of Information und zur TLPT-Methodik. Aufsichtsbehörden prüfen zunächst vor allem die Umsetzungsreife.
Die Kulanzphase ist beendet: nationale Aufsichtsbehörden führen aktive Prüfungen durch, gleichen das Register of Information automatisiert ab und verhängen erste Bußgelder und Zwangsgelder.
Art. 25 vs. Art. 26 DORA
Art. 24 / 25 DORA
Merkmal
Art. 26 / 27 DORA · TLPT
Alle DORA-pflichtigen Unternehmen
Zielgruppe
Von der Aufsicht als „signifikant“ eingestufte Institute
Penetrationstest / VA
Testtyp
TLPT (TIBER-EU-Framework)
Jährlich
Häufigkeit
Alle 3 Jahre
Vollständig abgedeckt
Unsere Leistung
Nicht unser Angebot
Überschaubar, planbar
Aufwand
Sehr hoch, akkreditiertes Team
Der überwiegende Teil des Marktes (Banken, Versicherungen, Zahlungsdienstleister, Fintechs, IT-Dienstleister) fällt unter Art. 25 DORA. TLPT ist ausdrücklich am TIBER-EU-Framework ausgerichtet: Ein nach TIBER-EU korrekt durchgeführter Test erfüllt zugleich die DORA-Anforderung. Genau bei Art. 25 setzt unser Pentest an.
Wer ist betroffen?
DORA erfasst nahezu die gesamte Finanzbranche und deren IT-Dienstleister. Wenn euer Unternehmen in einem der folgenden Bereiche tätig ist, seid ihr sehr wahrscheinlich DORA-pflichtig.
BaFin-Maßnahmen: Die BaFin kann bei fehlenden Nachweisen Auflagen erteilen, den Geschäftsbetrieb einschränken oder Bußgelder verhängen.
Bußgelder nach dem KWG: DORA selbst nennt keine Beträge, sondern überlässt sie den Mitgliedstaaten. In Deutschland stehen bis zu 5 Mio. € auf eine unterlassene Meldung schwerwiegender Vorfälle und auf einen nicht durchgeführten TLPT, bis zu 500.000 € auf die übrigen Verstöße (§ 56 Abs. 5e in Verbindung mit Abs. 6 KWG). Einen Umsatzprozentsatz gibt es dafür nicht.
Verantwortung der Geschäftsleitung: Art. 5 Abs. 2 DORA weist dem Leitungsorgan die letztendliche Verantwortung für den IKT-Risikomanagementrahmen zu. Der Bußgeldtatbestand des § 56 Abs. 5e KWG richtet sich an denjenigen, der verstößt, und trifft damit auch Geschäftsleiter persönlich. Einen eigenen Höchstbetrag für sie kennt DORA nicht.
Reputationsschäden: Sicherheitsvorfälle ohne nachgewiesene Schutzmaßnahmen gefährden Banklizenz, Kundenvertrauen und Geschäftspartnerschaften.
Register-Verstöße: Wird das Register of Information nicht fristgerecht oder unvollständig gemeldet, ist das ein eigenständiger Compliance-Verstoß.
Prüfbereiche
Art. 25 DORA definiert ein ganzes Spektrum „angemessener Tests“: von Schwachstellenanalysen über szenariobasierte Tests und Sourcecode-Reviews sicherheitskritischer Anwendungen bis zu physischen Sicherheitsprüfungen und Penetrationstests. Unser Pentest deckt die praxisrelevanten Kernbereiche ab und mappt jeden Befund direkt auf die entsprechenden DORA-Artikel.
Segmentierung, Firewall-Konfigurationen, exponierte Dienste und privilegierte Zugänge: Wir prüfen, ob euer Netzwerk den Anforderungen der digitalen Betriebsstabilität standhält.
Art. 25 DORA · Infrastruktur-Pentest
Active Directory, privilegierte Konten, MFA-Durchsetzung und laterale Bewegungsmöglichkeiten: zentrale Angriffsvektoren im Finanzsektor.
Art. 25 DORA · AD-Pentest
Web-Applikationen, Banking-Portale, APIs und interne Tools: wir testen auf OWASP Top 10 und finanzsektor-spezifische Schwachstellen und ergänzen bei Bedarf Sourcecode-Reviews für besonders kritische Anwendungen, so wie es Art. 25 DORA für sicherheitskritische Systeme vorsieht.
Art. 25 DORA · Web-App-Pentest
Zutrittskontrolle zu Serverräumen, Rechenzentren und sensiblen Bereichen: Physische Angriffsvektoren sind auch unter DORA relevant.
Art. 25 DORA · Physical Pentest
Phishing, Vishing und Pretexting gegen eure Mitarbeiter: Menschliche Schwachstellen sind der häufigste Einstiegspunkt für Angreifer im Finanzsektor.
Art. 25 DORA · Social Engineering
Art. 28 DORA verpflichtet euch zu einem laufend aktualisierten Register aller IKT-Drittparteien-Verträge (jährliche Meldepflicht) und zur Überprüfung kritischer IT-Dienstleister, die selbst als „kritischer IKT-Drittdienstleister“ unter direkte ESA-Aufsicht fallen können. Wir prüfen Remote-Zugänge, API-Schnittstellen und Drittanbieter-Integrationen.
Art. 25 DORA · Supply Chain
rund 22.000
betroffene Unternehmen in der EU
Seit Jan. 2025
DORA in Kraft, seit 2026 aktive Durchsetzung durch die Aufsicht
5 Mio. €
Bußgeldrahmen in Deutschland, § 56 KWG
Quelle: Verordnung (EU) 2022/2554, Erwägungsgrund 3
Unser Vorgehen
Wir begleiten euch von der Scope-Definition bis zum auditfähigen Bericht: strukturiert, termingerecht und vollständig auf die DORA-Artikel gemappt.
Gemeinsame Festlegung der zu testenden Systeme, Anwendungen und Prozesse. Wir identifizieren vorab, welche DORA-Artikel für euren Scope relevant sind.
OSINT über euer Unternehmen, Netzwerk-Footprinting und Planung realistischer Angriffspfade, so wie echte Angreifer im Finanzsektor vorgehen.
Manuelle Tests nach vereinbartem Scope: Infrastruktur, Active Directory, Web-Applikationen, physische Sicherheit und Social Engineering.
Alle Findings werden direkt auf die entsprechenden DORA-Artikel gemappt, für maximale Auditfähigkeit bei BaFin und internen Revisoren.
Detaillierter Pentest-Bericht mit CVSS-Bewertungen, DORA-Mapping, priorisierten Maßnahmenempfehlungen und Executive Summary für Vorstand und Geschäftsführung.
Beispielhafte Darstellung – keine echten Kundendaten.
Unsere Leistungen
Wir kombinieren alle relevanten Angriffsvektoren zu einem ganzheitlichen DORA-Assessment, von der Infrastruktur bis zum menschlichen Faktor, alles Art. 25-gemappt.
Netzwerksegmentierung, Firewall-Konfigurationen, Active Directory-Sicherheit und Remote-Zugänge: technisch nachgewiesen und direkt auf DORA Art. 25 gemappt.
Mehr erfahrenBanking-Portale, Kundenapplikationen und interne APIs: wir testen auf OWASP Top 10 und finanzsektor-spezifische Schwachstellen wie Session Hijacking und unsichere Direktzugriffe.
Mehr erfahrenPhishing-Simulationen, Vishing und physische Zutrittstests: wir prüfen, ob eure Mitarbeiter und Zugangskontrollsysteme realen Angriffen standhalten.
Mehr erfahrenHäufige Fragen
In 30 Minuten besprechen wir euren DORA-Scope, klären welche Systeme getestet werden müssen und ihr erhaltet ein unverbindliches Festpreisangebot, kostenlos.