DORA: Neue Herausforderungen für Unternehmen


DORA in der Praxis: Fünf Stolpersteine und wie Unternehmen sie meistern können
Um Herausforderungen zu begegnen, definiert DORA Anforderungen in mehreren zentralen Bereichen, darunter IT-Risikomanagement, Meldepflichten, operative Resilienztests und das Management von IT-Drittanbietern


Seit dem 17. Januar 2025 ist der Digital Operational Resilience Act (DORA) in Kraft. Die Verordnung der EU soll die Cyberresilienz des Finanzsektors durch einheitliche und verbindliche Vorgaben verbessern. Betroffen sind nicht nur Banken, Versicherungen und Investmentgesellschaften, sondern auch IT-Dienstleister, die kritische Infrastrukturen für diese Institutionen bereitstellen.

Zwei Monate Praxis zeigen jedoch: Auch nach der Umsetzungsfrist bleibt für Banken, Versicherungen und Kapitalverwalter viel zu tun. Einzelne Meldefristen haben sich verschoben, Anforderungen wurden teils spät konkretisiert und viele Dienstleisterverträge sind noch nicht aktualisiert. Durch die Komplexität der neuen Anforderungen laufen sie Gefahr, die Richtlinie nicht Compliance-konfrom umzusetzen. Besonders herausfordernd sind die Integration in bestehende Compliance-Prozesse, das Management von IT-Drittrisiken und die Implementierung belastbarer Meldeprozesse.

Laut dem BSI-Bericht zur Lage der IT-Sicherheit in Deutschland 2024 wurden im vergangenen Jahr 120 Cyberangriffe auf Unternehmen im Finanz- und Versicherungssektor gemeldet – fast eine Verdopplung im Vergleich zu 2023, als noch 61 Vorfälle registriert wurden. Diese Entwicklung zeigt, dass die Bedrohungslage für den Finanzsektor weiter eskaliert und verstärkte Schutzmaßnahmen dringlicher denn je sind. Banken, Versicherungen und deren IT-Dienstleister stehen zunehmend im Visier von Cyberkriminellen, was die Notwendigkeit robuster Sicherheitsstrategien unterstreicht.

Um diesen Herausforderungen zu begegnen, definiert DORA Anforderungen in mehreren zentralen Bereichen, darunter IT-Risikomanagement, Meldepflichten, operative Resilienztests und das Management von IT-Drittanbietern. Ziel der Verordnung ist es, Finanzunternehmen widerstandsfähiger gegen Cyberangriffe zu machen und eine einheitliche Sicherheitsstrategie in der EU zu etablieren. Doch die Umsetzung erweist sich oft als komplex.

Fünf Stolpersteine und Lösungsansätze

>> Meldeprozesse und Reaktionszeiten optimieren:
Unternehmen müssen Cyberangriffe innerhalb von 24 Stunden an die zuständige Aufsichtsbehörde melden. In der Praxis fehlen jedoch oft klare interne Prozesse. Eine Lösung ist die Implementierung automatisierter Erkennungssysteme, die Angriffe frühzeitig identifizieren und standardisierte Berichte generieren.

>> IT-Drittrisiken effektiv managen: Finanzunternehmen bleiben für die Sicherheit ihrer IT-Dienstleister verantwortlich. Viele haben noch keine durchgehenden Risikobewertungen etabliert. Hier helfen vertraglich festgelegte Sicherheitsanforderungen und regelmäßige Audits, um die Compliance externer Anbieter sicherzustellen.

>> Krisenmanagement realistisch testen: DORA verlangt praxisnahe Stresstests zur Überprüfung der Cyberresilienz. Häufig mangelt es jedoch an realistischen Szenarien. Unternehmen sollten regelmäßig Simulationen durchführen und sicherstellen, dass ihre Notfallpläne mit der Gesamtstrategie abgestimmt sind.

>> DORA in bestehende Compliance-Frameworks integrieren: Viele Unternehmen setzen bereits auf NIS-2, ISO 27001 oder BSI IT-Grundschutz. Eine Herausforderung ist die nahtlose Einbindung von DORA ohne unnötige Doppelstrukturen. Die Harmonisierung bestehender Prozesse mit den neuen Anforderungen reduziert den administrativen Aufwand und erleichtert die Umsetzung.

>> Sicherer Datentransfer und Verschlüsselung gewährleisten: DORA fordert robuste Sicherheitsmaßnahmen für den digitalen Austausch sensibler Informationen. In der Praxis setzen viele Unternehmen jedoch noch auf veraltete Übertragungsmethoden wie unverschlüsselte E-Mails oder unsichere File-Transfer-Lösungen. Eine Lösung ist der Einsatz von Ende-zu-Ende-verschlüsselten Plattformen, die nicht nur DORA-konforme Sicherheit bieten, sondern auch die Integrität und Nachverfolgbarkeit von Daten gewährleisten.

DORA als Chance für die digitale Souveränität Europas
"DORA ist ein entscheidender Schritt für die digitale Souveränität Europas. Die Verordnung sorgt nicht nur für einheitliche Sicherheitsstandards, sondern stärkt auch die Widerstandsfähigkeit des Finanzsektors gegen Cyberangriffe", sagt Ari Albertini, CEO von FTAPI. "Unternehmen, die jetzt in resiliente und sichere Strukturen investieren, profitieren langfristig von mehr Vertrauen und regulatorischer Sicherheit."

Mit DORA setzt die EU neue Maßstäbe für Cyberresilienz – und fordert von Unternehmen ein proaktives Vorgehen. Wer frühzeitig handelt, minimiert nicht nur Risiken und regulatorische Hürden, sondern sichert sich langfristige Wettbewerbsvorteile in einer zunehmend digitalisierten Finanzwelt. (Ftapi: ra)

eingetragen: 05.05.25

Ftapi Software: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Security-Tipps und Background-Wissen

  • Qilin erpresst seine Opfer doppelt

    Qilin zählt inzwischen zu den aktivsten und wirkungsvollsten Ransomware-Operationen weltweit. Die Schadsoftware verbreitet sich zunehmend über etablierte Cybercrime-Netzwerke und spielt eine zentrale Rolle in aktuellen Bedrohungsmodellen. Die ersten Versionen wurden 2022 unter dem Namen "Agent" veröffentlicht und später vollständig in Rust neu entwickelt. Ab Ende 2023 gewann die Gruppe durch gezielte Angriffe auf VMware-ESXi-Systeme an Sichtbarkeit. Im Jahr 2024 folgten funktionale Erweiterungen, darunter ein Chrome-Stealer sowie leistungsfähigere Mechanismen zur Verschlüsselung und zur Umgehung von Sicherheitslösungen.

  • 25 Jahre USB-Stick

    Ein Vierteljahrhundert USB-Stick - und er ist noch immer im Einsatz. Ursprünglich als revolutionäre Innovation im Bereich der Flashspeicher gefeiert, übernimmt er heute andere, kritische Aufgaben beim Schutz von vernetzten OT-Systemen. Natürlich bleibt er weiterhin ein praktischer, portabler Speicher, der schnell zur Hand ist und als Notfall-Backup für die Präsentation dient. Doch obwohl der USB-Stick in Zeiten von Hybrid-Cloud und omnipräsenter Vernetzung längst als überholt gelten könnte, ist das Gegenteil der Fall: In moderner Form übernimmt das Massenspeichergerät inzwischen eine Schlüsselfunktion in der Cyber-Abwehr.

  • Anstieg steuerbezogener Phishing-Aktivitäten

    Cyberkriminelle nutzen saisonale Ereignisse gerne aus - die Steuersaison bildet da keine Ausnahme. Sie nutzen den erhöhten Stress, die knappen Fristen und die sensiblen Finanzdaten, um sich Zugang zu sensiblen Daten zu verschaffen. Angesichts der bevorstehenden Fristen in den USA und der EU beobachtete das Team von Threat Labs im März 2025 einen Anstieg der Phishing-Angriffe um 27,9 Prozent im Vergleich zum Vormonat - viele davon enthielten Finanzinformationen.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen