DORA: Digitale operationale Resilienz

DORA verpflichtet Finanzunternehmen, IKT-Risiken als eigenständige Risikokategorie zu steuern: von der Governance über das Management des gesamten IKT-Lebenszyklus bis zur Klassifizierung und Meldung schwerwiegender Vorfälle innerhalb fester Fristen. Die Verordnung gilt unmittelbar und ersetzt einen Flickenteppich nationaler Vorgaben.

Neu ist die EU-weite Überwachung kritischer IKT-Drittdienstleister wie Cloud-Anbieter durch die europäischen Aufsichtsbehörden sowie die Pflicht zu bedrohungsgeleiteten Penetrationstests (TLPT) für bedeutende Institute. Verträge mit IT-Dienstleistern müssen Mindestinhalte erfüllen und in einem Informationsregister geführt werden.