DORA

Kurz gesagt

Seit dem 17. Januar 2025 gilt der Digital Operational Resilience Act (DORA, Verordnung (EU) 2022/2554) verlangt von EU-Finanzunternehmen den Nachweis, dass sie IKT-Vorfälle verkraften, darauf reagieren und sich davon erholen können.

DORA verlangt nicht, dass Sie ein bestimmtes Tool kaufen. Es verlangt, dass Sie Maßnahmen implementiert haben und dies nachzuweisen. Stoïk Protect hilft bei beidem: Seine Tools decken mehrere technische Anforderungen ab, und sie liefern die Nachweise (Berichte, Verläufe, Abschlussquoten), die Prüfer und Aufsichtsbehörden erwarten.

Dieser Artikel zeigt, bei welchen DORA-Anforderungen jedes Stoïk-Protect-Tool hilft und was in Ihrer Verantwortung bleibt.

Stoïk Protect verfügt über einen eigenen NIS2 Assessment in der Registerkarte Registerkarte. Im Produkt gibt es bisher noch kein DORA-Assessment. DORA und NIS2 überschneiden sich bei technischen Maßnahmen stark, und für Finanzunternehmen ersetzt DORA die entsprechenden NIS2-Anforderungen (NIS2, Art. 4). Das NIS2-Assessment ist daher weiterhin ein nützlicher Ausgangspunkt für eine Gap-Analyse.

Wer ist von DORA betroffen?

DORA gilt für die meisten regulierten Finanzunternehmen: Banken, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Vermögensverwalter, Versicherer und Rückversicherer, Anbieter von Krypto-Dienstleistungen und andere.

Einige Unternehmen sind ausgenommen. Die wichtigste Ausnahme gilt für Versicherungs- und Rückversicherungsmakler, die Kleinstunternehmen, kleine oder mittlere Unternehmen sind (Art. 2 Abs. 3). Kleinere erfasste Unternehmen können außerdem einen vereinfachten Rahmen für das IKT-Risikomanagement (Art. 16).

Wenn Sie nicht sicher sind, ob DORA für Sie gilt, wenden Sie sich an Ihren Compliance-Beauftragten oder Ihre Aufsichtsbehörde (in Frankreich die ACPR oder die AMF).

Wie Stoïk Protect DORA zuordnet

DORA hat fünf Säulen. Stoïk Protect trägt zu vier davon bei.

1. IKT-Risikomanagement (Kapitel II, Artikel 5 bis 16)

Diese Säule verlangt, dass Sie Ihre Assets kennen, Schwachstellen finden, Ihre Systeme schützen, Anomalien erkennen und Ihre Mitarbeitenden schulen.

Stoïk-Protect-Tool	DORA-Anforderung, bei der es hilft	Nachweise, die Sie vorlegen können
Registerkarte „Externer Scan“	Inventar der über das Internet exponierten IKT-Assets (Art. 8 Abs. 1, 8 Abs. 4). Laufende Identifizierung von Schwachstellen und Cyberbedrohungen (Art. 8 Abs. 2). Überwachung von IKT-Systemen (Art. 9 Abs. 1).	Datierte Scan-Berichte und ein Verlauf der Schwachstellen und ihrer Behebungen
Active Directory-Scan	Zugriff auf das beschränkt, was jede Rolle benötigt (Art. 9 Abs. 4 Buchst. c). Starke Authentifizierung (Art. 9 Abs. 4 Buchst. d). Erkennung privilegierter, ruhender oder falsch konfigurierter Konten.	AD-Konfigurationsbericht und eine priorisierte Liste der Befunde mit Nachverfolgung der Behebung
Cloud Scan (AWS, Azure, GCP)	Sicherheit und Resilienz von Systemen sowie Verhinderung unbefugten Zugriffs und von Datenlecks (Art. 9 Abs. 2, Art. 9 Abs. 3). Erkennung von Fehlkonfigurationen auf Ihrer Seite der Cloud, für die Sie weiterhin voll verantwortlich bleiben (Art. 28 Abs. 1).	Cloud-Posture-Bericht pro Umgebung
Überwachung von Zugangsdaten	Schutz vor unbefugtem Zugriff (Art. 9 Abs. 3 Buchst. b). Erkennung kompromittierter Konten, bevor sie verwendet werden (Art. 10 Abs. 1).	Liste erkannter durchgesickerter Zugangsdaten und zurückgesetzter Passwörter
Email Security	Sicherheit der Datenübertragungskanäle (Art. 9 Abs. 3 Buchst. a). Reduziertes Risiko unbefugten Zugriffs und von Betrug (Art. 9 Abs. 3 Buchst. b).	Statistiken zu blockierten Bedrohungen
MDR	24/7-Erkennung anomaler Aktivitäten auf Endpunkten (Art. 10 Abs. 1). Ausreichende Ressourcen zur Überwachung von Anomalien und Cyberangriffen (Art. 10 Abs. 3). Schnelle Eindämmung (Art. 11 Abs. 2).	Aktivitätsberichte, bearbeitete Alarme, Reaktionszeiten
XDR	Mehrere Kontrollebenen, Alarmgrenzen und automatische Alarmierung (Art. 10 Abs. 2) über VPN-, Firewall- und Cloud-Daten hinweg.	Erkennungsregeln und Alarmhistorie
Schulung	Verpflichtendes IKT-Sicherheitsbewusstsein für alle Mitarbeitenden (Art. 13 Abs. 6). Regelmäßige Schulung des Leitungsorgans (Art. 5 Abs. 4).	Abschlussquoten und Kurszertifikate
Phishing-Simulation	Sensibilisierungsprogramme (Art. 13 Abs. 6). Lernen aus beobachteten Bedrohungen (Art. 13 Abs. 1).	Klick-, Einreichungs- und Melderaten pro Kampagne, mit Trends im Zeitverlauf

2. Management und Meldung von IKT-Vorfällen (Kapitel III, Artikel 17 bis 23)

Stoïk-Service	DORA-Anforderung, bei der es hilft	Nachweise, die Sie vorlegen können
MDR / XDR	Erkennung und Protokollierung von Vorfällen (Art. 17 Abs. 2, Art. 17 Abs. 3). Früherkennung ist wichtig, da die Meldefristen von DORA ab der Einstufung des Vorfalls beginnen.	Alarm- und Vorfallshistorie
Schaltfläche „Phishing melden“	Eine einfache Möglichkeit für Mitarbeitende, verdächtige E-Mails zu melden, die Ihren Prozess zur Vorfallerkennung speist (Art. 17 Abs. 3).	Gemeldete E-Mails und ihre Bearbeitung
Stoïk CERT (24/7-Vorfallreaktion, in der Stoïk-Versicherung enthalten)	Reaktion und Wiederherstellung (Art. 11). Nachbesprechung nach dem Vorfall und Root-Cause-Analyse (Art. 13 Abs. 2). Technischer Input für Berichte über schwerwiegende Vorfälle (Art. 19 Abs. 4): Erstmeldung, Zwischenbericht und Abschlussbericht.	Vorfallbericht mit Zeitachse, Indikatoren für eine Kompromittierung, Grundursache und ergriffenen Maßnahmen

3. Tests der digitalen operationalen Resilienz (Kapitel IV, Artikel 24 bis 27)

DORA verlangt ein Prüfprogramm, das mindestens einmal jährlich überprüft wird und ausdrücklich Folgendes umfasst Schwachstellenbewertungen und Scans (Art. 25 Abs. 1).

• External Scan, Active Directory Scan und Cloud Scan geben Ihnen wiederkehrende Schwachstellenbewertungen, die dieses Programm speisen (Art. 24 Abs. 6, Art. 25 Abs. 1).

• Phishing-Simulationen sind eine Form von szenariobasierten Social-Engineering-Tests (Art. 25 Abs. 1).

Threat-led Penetration Testing (TLPT, Art. 26 und 27) ist nur für Finanzunternehmen verpflichtend, die von ihrer Aufsichtsbehörde benannt wurden. Stoïk Protect bietet dies nicht an.

4. IKT-Drittparteirisiko (Kapitel V, Artikel 28 bis 44)

Sie bleiben bei der Nutzung eines Cloud-Anbieters weiterhin vollständig für Ihre DORA-Pflichten verantwortlich (Art. 28 Abs. 1). Cloud Scan hilft Ihnen, den Teil dieses Risikos zu kontrollieren, der davon abhängt, wie Sie Ihre Umgebung konfiguriert haben.

Es nicht ersetzt nicht das Informationsregister oder die verpflichtenden Vertragsklauseln mit Ihren IKT-Anbietern (Art. 28 Abs. 3, Art. 30).

5. Informationsaustausch (Artikel 45)

Diese Säule ist unter DORA optional. Stoïk Protect deckt sie nicht direkt ab.

Was in Ihrer Verantwortung bleibt

Stoïk Protect stellt Ihnen Tools und Nachweise zur Verfügung. Ihre Organisation bleibt für Folgendes verantwortlich:

• Governance. Ihr Leitungsorgan trägt die Letztverantwortung für das IKT-Risiko und muss den Rahmen genehmigen (Art. 5 Abs. 2).

• Offizielle Meldungen. Sie melden schwerwiegende Vorfälle Ihrer Aufsichtsbehörde (Art. 19). Das Stoïk CERT hilft Ihnen bei der Vorbereitung des technischen Inhalts.

• Sicherungen und Geschäftskontinuität. Ihre Richtlinien für Sicherung, Wiederherstellung und Geschäftskontinuität oder Notfallwiederherstellung sowie deren Tests (Art. 11, 12).

• Register der IKT-Anbieter und Verträge (Art. 28 Abs. 3, 30).

• Verschlüsselungsrichtlinie (Art. 9 Abs. 4).

• TLPT, wenn Ihre Aufsichtsbehörde Sie benannt hat (Art. 26, 27).

Erste Schritte

1. Öffnen Sie Stoïk Protect und prüfen Sie, welche Tools für Ihre Organisation bereits aktiv sind.

2. Aktivieren Sie die Tools, die zu Ihren Lücken passen. External Scan, Active Directory Scan, Training und Phishing-Simulation sind die schnellsten Erfolge für DORA-Nachweise.

3. Vervollständigen Sie die NIS2-Bewertung in der Registerkarte Registerkarte für eine strukturierte Ansicht Ihrer technischen Maßnahmen.

4. Exportieren Sie die Berichte aus jedem Tool und fügen Sie sie Ihrer DORA-Dokumentation hinzu.

Dieser Artikel dient der allgemeinen Orientierung und stellt keine Rechtsberatung dar. Die Verweise beziehen sich auf die EU-Texte: Verordnung (EU) 2022/2554 (DORA) und ihre delegierten Verordnungen (EU) 2024/1774 und (EU) 2025/301. Der genaue Umfang der einzelnen Dienste hängt von Ihrem Vertrag ab. Für Ihre spezifischen Pflichten wenden Sie sich an Ihren Compliance-Beauftragten oder Ihre Aufsichtsbehörde.