Der Digital Operational Resilience Act (DORA) ist eine EU-Verordnung, die seit dem 17. Januar 2025 unmittelbar in allen EU-Mitgliedstaaten gilt. Sie verpflichtet Finanzunternehmen und deren kritische IT-Dienstleister, die digitale Betriebsstabilität systematisch zu testen und nachzuweisen. DORA ersetzt und vereinheitlicht die bisher fragmentierten nationalen Anforderungen — und hat damit direkten Einfluss auf über 22.000 Unternehmen allein in der EU.
DORA gilt seit 17. Januar 2025 — die Übergangsfrist ist abgelaufen, Nachweise werden aktiv geprüft.
Die Verordnung gilt direkt, ohne nationales Umsetzungsgesetz — BaFin und EZB prüfen die Einhaltung.
Auch IT-Dienstleister, Cloud-Anbieter und Rechenzentren können DORA-pflichtig sein, wenn sie kritische Funktionen für Finanzunternehmen erbringen.
| Merkmal | Art. 25 DORA | Art. 26 DORA (TLPT) |
|---|---|---|
| Zielgruppe | Alle DORA-pflichtigen Unternehmen | Systemrelevante Großinstitute |
| Testtyp | Penetrationstest / VA | TLPT (TIBER-EU-Framework) |
| Häufigkeit | Jährlich | Alle 3 Jahre |
| Unsere Leistung | ✓ Vollständig abgedeckt | — Nicht unser Angebot |
| Aufwand | Überschaubar, planbar | Sehr hoch, akkreditiertes Team |
DORA erfasst nahezu die gesamte Finanzbranche und deren IT-Dienstleister. Wenn euer Unternehmen in einem der folgenden Bereiche tätig ist, seid ihr sehr wahrscheinlich DORA-pflichtig.
Art. 25 DORA definiert konkrete Anforderungen an Umfang und Inhalt der Sicherheitstests. Unser Pentest deckt alle relevanten Bereiche ab und mappt jeden Befund direkt auf die entsprechenden DORA-Artikel.
Segmentierung, Firewall-Konfigurationen, exponierte Dienste und privilegierte Zugänge — wir prüfen, ob euer Netzwerk den Anforderungen der digitalen Betriebsstabilität standhält.
Active Directory, privilegierte Konten, MFA-Durchsetzung und laterale Bewegungsmöglichkeiten — zentrale Angriffsvektoren im Finanzsektor.
Web-Applikationen, Banking-Portale, APIs und interne Tools: wir testen auf OWASP Top 10 und finanzsektor-spezifische Schwachstellen.
Zutrittskontrolle zu Serverräumen, Rechenzentren und sensiblen Bereichen — physische Angriffsvektoren sind auch unter DORA relevant.
Phishing, Vishing und Pretexting gegen eure Mitarbeiter — menschliche Schwachstellen sind der häufigste Einstiegspunkt für Angreifer im Finanzsektor.
DORA schreibt explizit die Überprüfung kritischer IT-Dienstleister vor. Wir prüfen Remote-Zugänge, API-Schnittstellen und Drittanbieter-Integrationen.
Wir begleiten euch von der Scope-Definition bis zum auditfähigen Bericht — strukturiert, termingerecht und vollständig auf die DORA-Artikel gemappt.
Gemeinsame Festlegung der zu testenden Systeme, Anwendungen und Prozesse. Wir identifizieren vorab, welche DORA-Artikel für euren Scope relevant sind.
OSINT über euer Unternehmen, Netzwerk-Footprinting und Planung realistischer Angriffspfade — so wie echte Angreifer im Finanzsektor vorgehen.
Manuelle Tests nach vereinbartem Scope: Infrastruktur, Active Directory, Web-Applikationen, physische Sicherheit und Social Engineering.
Alle Findings werden direkt auf die entsprechenden DORA-Artikel gemappt — für maximale Auditfähigkeit bei BaFin und internen Revisoren.
Detaillierter Pentest-Bericht mit CVSS-Bewertungen, DORA-Mapping, priorisierten Maßnahmenempfehlungen und Executive Summary für Vorstand und Geschäftsführung.
Wir kombinieren alle relevanten Angriffsvektoren zu einem ganzheitlichen DORA-Assessment — von der Infrastruktur bis zum menschlichen Faktor, alles Art. 25-gemappt.
Netzwerksegmentierung, Firewall-Konfigurationen, Active Directory-Sicherheit und Remote-Zugänge: technisch nachgewiesen und direkt auf DORA Art. 25 gemappt.
Mehr erfahrenBanking-Portale, Kundenapplikationen und interne APIs: wir testen auf OWASP Top 10 und finanzsektor-spezifische Schwachstellen wie Session Hijacking und unsichere Direktzugriffe.
Mehr erfahrenPhishing-Simulationen, Vishing und physische Zutrittstests: wir prüfen, ob eure Mitarbeiter und Zugangskontrollsysteme realen Angriffen standhalten.
Mehr erfahren
Think like an Attacker, Act as a Partner