01 ·
ICT-Risikomanagement
Ein dokumentiertes ICT-Risikoframework, vom Leitungsorgan genehmigt: die Verantwortung liegt beim Vorstand, nicht nur bei der IT. Asset-Mapping, Schutz, Detection, Response und Recovery.
DORA: Resilienz wird gemessen, nicht erklärt.
DORA verlangt von Finanzunternehmen nachweisbare digitale operationale Resilienz: ICT-Risiko in der Verantwortung des Vorstands, schwerwiegende Vorfälle in Stunden gemeldet, Tests entlang der realen Bedrohung. Ein Angriff auf den Finanzsektor ist kein Bilanzereignis: Es ist jemand, mit Namen und bekannten TTPs.
Regulatorischer Rahmen
VO (EU) 2022/2554
RTS 2025/301
TIBER-EU
ESAs · EBA · ESMA · EIOPA
Aufsicht Deutschland
BaFin
Bundesbank
Die fünf DORA-Säulen
Fünf Pflichten, eine implizite Anforderung: operative Fähigkeit.
DORA verlangt keine Policies: Sie verlangt, dass Sie erkennen, klassifizieren, melden, testen und überwachen. Jede Säule setzt einen Betrieb voraus, der tatsächlich funktioniert, 24·7·365.
02 ·
Vorfallsmeldung
Klassifizierung von ICT-Vorfällen und Meldung schwerwiegender Vorfälle an die Aufsicht: 4 Stunden ab Einstufung, Zwischenbericht nach 72 Stunden, Abschlussbericht innerhalb 1 Monats. Harmonisierte Templates (RTS 2025/301).
03 ·
Resilienz-Tests
Ein risikoproportionales Testprogramm, bis hin zu TIBER-EU-basierten TLPT mindestens alle 3 Jahre für bedeutende Unternehmen: Szenarien auf Basis der Akteure, die den Sektor tatsächlich angreifen.
04 ·
ICT-Drittparteirisiko
Register der ICT-Verträge, Pflichtklauseln, Exit-Strategien, direkte europäische Aufsicht über kritische Anbieter. Die Resilienz Ihres Anbieters wird Teil Ihrer eigenen.
05 ·
Informationsaustausch
Freiwilliger Austausch von Cyber Threat Intelligence zwischen Finanzunternehmen: IOCs, TTPs, Sektor-Alerts. Sektorverteidigung ist kollektiv, oder sie ist keine.
Proof · die Zeiten, die DORA voraussetzt
In 4 Stunden melden heißt in Minuten erkennen.
4h
Erstmeldung ab Einstufung
(≤24h ab Entdeckung)
(≤24h ab Entdeckung)
<15 Min.
medianer TTD Fortgale
von Telemetrie zu Alert
von Telemetrie zu Alert
<30 Min.
medianer TTC Fortgale
von Detection zu Analystenaktion
von Detection zu Analystenaktion
287
verfolgte Angreifergruppen
und Angriffswerkzeuge in der CTI
und Angriffswerkzeuge in der CTI
Anwendungsbereich
Wer unter DORA fällt.
Mehr als 20 Kategorien von Finanzunternehmen: Banken, Wertpapierfirmen, Versicherer und Rückversicherer, Zahlungs- und E-Geld-Institute, Fondsverwalter, Handelsplätze, Krypto-Dienstleister sowie benannte kritische ICT-Anbieter. Anders als NIS2 ist DORA eine Verordnung: EU-weit identisch, ohne nationale Umsetzung, anwendbar seit dem 17. Januar 2025.
Nach DORA · 2026
Nach DORA: die Anforderungen 2026 von EZB, ESAs und nationalen Aufsichtsbehörden.
DORA bleibt die Grundlage: Keine der Mitteilungen von 2026 schafft eine neue Norm. Sie verlangen aber, mit Frist und benanntem Verantwortlichen nachzuweisen, dass die Kontrollen auch gegen Angriffe mit künstlicher Intelligenz standhalten.
07.07.2026 ·
EZB · Schreiben «Addressing AI-enabled cybersecurity threats»
An die Geschäftsleitungen der bedeutenden Banken: Aktionsplan bis zum 31.10.2026 an die Joint Supervisory Teams übermittelt. Jetzt läuft die nächste Phase: horizontale Analyse der EZB und Follow-up der JST; der IT Risk Questionnaire wurde auf Februar 2027 verschoben.
17.07.2026 ·
Nationale Aufsichtsbehörden · Banca d'Italia und IVASS
In Italien haben die Banca d'Italia (weniger bedeutende Banken und beaufsichtigte Intermediäre) und die IVASS (Versicherer und Rückversicherer) am 17.07.2026 eigene Mitteilungen veröffentlicht, mit derselben Logik: Resilienz gegen KI-gestützte Bedrohungen, vom Leitungsorgan bewertet, mit Plan, Verantwortlichem und Bericht an die Aufsicht bis zum 31.12.2026, aufbauend auf DORA. In Deutschland bleibt die BaFin die Adresse für Meldungen und Prüfungen nach DORA.
07.07.2026 ·
ESRB · Warnung ESRB/2026/3
Der Europäische Ausschuss für Systemrisiken stuft das systemische Cyberrisiko als «severe» ein: Der Sektor soll sich auf einen disruptiven Vorfall vorbereiten, nicht über seine Wahrscheinlichkeit diskutieren.
31.07.2026 ·
ESAs · Statement JC 2026 25
Governance und kohärente Aufsicht über die Risiken von KI-Frontier-Modellen: keine neue Pflicht, aber die Erwartung, dass KI-Nutzung und KI-gestützte Bedrohungen im ICT-Risikorahmen nach DORA verankert sind.
Auch die nationalen Regelwerke werden angepasst: In Italien hat die Banca d'Italia im Februar 2026 die ICT-Abschnitte des Rundschreibens 285 aufgehoben und verweist direkt auf DORA. Die Anforderungen stehen in der Verordnung und ihren RTS, nicht in nationalen Leitlinien.
Säule 4 · Drittparteien
Informationsregister und ICT-Drittanbieter.
Artikel 28 DORA verlangt von jedem Finanzunternehmen ein Informationsregister über alle vertraglichen Vereinbarungen mit ICT-Drittanbietern, aktuell gehalten und für die Behörde verfügbar. Ein gemanagter MDR-, SOC- oder CTI-Service ist ein ICT-Dienst: Fortgale steht in Ihrem Register als ICT-Drittanbieter, und seine Resilienz wird Teil Ihrer eigenen. Die vertraglichen Vorgaben nach Artikel 30 (Beschreibung von Dienst und Service-Leveln, Datenstandort, Zugangs- und Prüfungsrechte, Unterstützung bei Vorfällen, Exit-Strategie) sind im Servicevertrag abgebildet; die Nachweise zu Organisation, Standorten, Kontinuität und Datenverarbeitung sind im Trust Center gesammelt, bereit für die Due Diligence vor Vertragsschluss und die regelmäßige Überprüfung.
Wie Fortgale DORA unterstützt
Drei Fähigkeiten, drei abgedeckte Säulen.
Säulen 1-2
MDR · Detection und Meldung
Erkennung und Eindämmung in Minuten, Beweise und Timeline bereit für die 4-Stunden-Meldung. Die Einstufung stützt sich auf Fakten, nicht auf Schätzungen.
MDR entdecken →Säulen 3-5
CTI · Szenarien und TLPT
Intelligence zu 287 verfolgten Angreifergruppen und Angriffswerkzeugen: Threat-led-Szenarien für TIBER-EU-Tests und Beitrag zum Informationsaustausch des Sektors.
CTI entdecken →Sektor
Banken & Finanzwesen
Die Fortgale-Vertikale für den Finanzsektor: Akteure gegen europäische Banken, dokumentierte Fälle und Service-Architektur.
Zur Vertikale →FAQ
Häufige Fragen zu DORA.
Wer fällt unter die DORA-Verordnung?
Finanzunternehmen in der EU: Banken, Wertpapierfirmen, Versicherer, Zahlungs- und E-Geld-Institute, Fondsverwalter, Handelsplätze, Krypto-Dienstleister sowie benannte kritische ICT-Anbieter. In Deutschland liegt die Aufsicht bei der BaFin, gemeinsam mit den ESAs (EBA, ESMA, EIOPA).
Welche Meldefristen gelten bei einem schwerwiegenden ICT-Vorfall?
Drei Stufen (RTS 2025/301): Erstmeldung innerhalb von 4 Stunden nach Einstufung als schwerwiegend, spätestens 24 Stunden nach Entdeckung; Zwischenbericht innerhalb von 72 Stunden nach der Erstmeldung; Abschlussbericht innerhalb von 1 Monat nach dem Zwischenbericht, mit vollständiger Root-Cause-Analyse. Fällt eine Frist außerhalb der Geschäftszeiten, gilt 12 Uhr mittags des nächsten Arbeitstags.
Ersetzt DORA die NIS2 für Banken?
DORA ist lex specialis: Bei den abgedeckten Pflichten (ICT-Risiko, Meldung, Tests) geht sie der NIS2 für Finanzunternehmen vor. Nicht-finanzielle Zulieferer bleiben im NIS2-Perimeter.
Was sind TLPT?
Threat-Led Penetration Tests auf dem TIBER-EU-Framework: Szenarien auf Basis der Akteure und TTPs, die Ihren Sektor tatsächlich angreifen. Mindestens alle 3 Jahre für bedeutende Unternehmen. Ihre Qualität hängt von der Threat Intelligence dahinter ab.
Wie oft muss ein TLPT durchgeführt werden?
Mindestens alle 3 Jahre für die von der Behörde nach Artikel 26 DORA bestimmten Finanzunternehmen, auf Produktionssystemen, die kritische oder wichtige Funktionen unterstützen. Auswahlkriterien, Methodik und Anforderungen an die Tester legt die RTS 2025/1190 auf Basis von TIBER-EU fest. Die Behörde kann eine höhere Frequenz verlangen.
Ist DORA bereits in Kraft?
Ja, seit dem 17. Januar 2025, in allen Mitgliedstaaten und ohne nationale Umsetzung. Auch die technischen Standards zu Meldung, Tests und Drittparteien sind operativ.
Wo anfangen
Den Angreifer zu kennen ist der erste Akt der Verteidigung. Ihn rechtzeitig zu stoppen der zweite.
Ein DORA-Assessment klärt die Distanz zwischen Ihrer operativen Fähigkeit und der, die die Verordnung voraussetzt. Europäisches SOC mit Sitz in Mailand seit 2017, 24·7·365: Antwort innerhalb eines Werktags.