IT Glossary
DORA regelt die digitale operationale Resilienz des europäischen Finanzsektors. Erfahren Sie, was sie zu IKT-Risiko und Drittparteien verlangt.
August 7, 2026
DORA (Digital Operational Resilience Act), Verordnung (EU) 2022/2554, ist die europäische Verordnung, die die Anforderungen an die digitale operationale Resilienz im Finanzsektor vereinheitlicht. Sie gilt seit dem 17. Januar 2025 und erfasst Banken, Versicherer, Wertpapierfirmen, Zahlungsinstitute, Anbieter von Krypto-Dienstleistungen sowie die kritischen IKT-Drittdienstleister, die sie bedienen.
DORA verlangt ein Informationsregister über jede vertragliche Vereinbarung zu IKT-Dienstleistungen, mit den unterstützten Funktionen und deren bewerteter Kritikalität. Ein Finanzinstitut, das 150 SaaS-Anwendungen nutzt, muss sie alle auflisten, mit den richtigen Attributen. An dieser Stelle entdecken Institute, dass die Einkaufsunterlagen und der tatsächliche Bestand auseinanderlaufen, und dass genau das Schliessen dieser Differenz die von der Aufsicht verlangte Leistung ist.
Ein Zahlungsinstitut baut sein Register aus den Vertragsunterlagen auf und listet 61 IKT-Dienstleister. Die Aufdeckung über Ausgaben- und OAuth-Daten liefert 104 aktiv genutzte Anwendungen, zwölf davon unterstützen Funktionen, die das Institut als wichtig einstuft. Der Abstand zwischen diesen beiden Zahlen ist keine Nachlässigkeit, er ist der Normalzustand eines nicht aufgedeckten Bestands. Die Aufsicht bewertet jedoch das Register und nicht die Absicht dahinter, weshalb die Vollständigkeit selbst zur Prüfungsfrage wird. Corma liefert das fortlaufende Inventar, das das Register an der Realität ausrichtet statt am letzten Einkaufszyklus.
Für rund zwanzig Kategorien von Finanzunternehmen der Union, von Kreditinstituten bis zu Anbietern von Krypto-Dienstleistungen, sowie für die als kritisch eingestuften IKT-Drittdienstleister.
Seit dem 17. Januar 2025, nach dem Inkrafttreten im Januar 2023, das den Instituten zwei Jahre Vorbereitungszeit liess.
Ein strukturierter Nachweis über jede vertragliche Vereinbarung zu IKT-Dienstleistungen, mit Angabe des Dienstleisters, der unterstützten Funktion und ob diese kritisch oder wichtig ist.
Beide erhöhen die Anforderungen an die Cyberresilienz in der Union. DORA ist sektorspezifisch für den Finanzbereich und geht für Institute in seinem Anwendungsbereich vor, während NIS2 ein breiteres Feld wesentlicher und wichtiger Sektoren abdeckt.
