DORA: digitale Resilienz Was der Digital Operational Resilience Act von Finanzunternehmen verlangt
Seit 17. Januar 2025 gilt DORA für Banken, Versicherer, Wertpapierfirmen und viele weitere Finanzunternehmen in der EU. Die Verordnung macht Backup, Wiederherstellung und deren regelmäßige Tests zur Pflicht. Cristie Data unterstützt Sie mit Lösungen, die genau das automatisieren und dokumentieren.
Anwendungsbereich
Für wen DORA gilt.
DORA ist eine EU-Verordnung und gilt unmittelbar, ohne nationales Umsetzungsgesetz. Erfasst sind nahezu alle beaufsichtigten Finanzunternehmen – und indirekt ihre IT-Dienstleister.
Banken und Zahlungsverkehr
Kreditinstitute, Zahlungs- und E-Geld-Institute, Kontoinformationsdienste sowie Anbieter von Krypto-Dienstleistungen.
Kapitalmarkt
Wertpapierfirmen, Handelsplätze, zentrale Gegenparteien, Zentralverwahrer, Fondsverwalter und Kapitalverwaltungsgesellschaften, Ratingagenturen.
Versicherungen und Vorsorge
Versicherungs- und Rückversicherungsunternehmen, Versicherungsvermittler sowie Einrichtungen der betrieblichen Altersversorgung – mit Ausnahmen für kleine Einheiten.
IKT-Dienstleister
IT-Dienstleister von Finanzunternehmen sind selbst keine Finanzunternehmen. DORA erreicht sie über Verträge mit ihren Kunden; kritische Anbieter werden direkt beaufsichtigt.
Deutschland: Laut BaFin erweitert das Finanzmarktdigitalisierungsgesetz den Kreis auf weitere KWG-Institute und Versicherungsholdings. Für diese Institute gelten die Meldepflichten seit 17. Januar 2025, die übrigen Anforderungen ab 1. Januar 2027.
Die fünf Säulen
Was DORA verlangt.
IKT-Risikomanagement
Ein dokumentierter Rahmen für Schutz, Erkennung, Reaktion und Wiederherstellung – verantwortet vom Leitungsorgan.
Vorfallmeldung
Schwerwiegende IKT-bezogene Vorfälle werden klassifiziert und an die Aufsicht gemeldet – in Deutschland an die BaFin.
Resilienztests
Regelmäßige Tests der digitalen operationalen Resilienz, für bestimmte Unternehmen auch bedrohungsorientierte Penetrationstests.
IKT-Drittparteienrisiko
Risiken durch IT-Dienstleister erfassen, vertraglich absichern und überwachen – inklusive Ausstiegsstrategien.
Informationsaustausch
Freiwilliger Austausch von Informationen über Cyberbedrohungen zwischen Finanzunternehmen.
Artikel 12 DORA
Backup und Wiederherstellung werden Prüfungsthema.
Artikel 12 regelt Datensicherung und Wiederherstellung so konkret wie kaum eine andere Vorschrift. Die wichtigsten Punkte:
Dokumentierte Strategien
Datensicherungsrichtlinien legen fest, welche Daten wie oft gesichert werden – abhängig von Kritikalität und Vertraulichkeit. Dazu kommen festgelegte Wiederherstellungsverfahren.
Regelmäßig testen
Sicherungs- und Wiederherstellungsverfahren müssen regelmäßig getestet werden. Ein festes Intervall nennt die Verordnung nicht – es muss zu Ihrem Risiko passen und nachweisbar sein.
Getrennte Systeme
Wiederherstellung auf Systemen, die physisch und logisch vom Quellsystem getrennt und vor Manipulation geschützt sind – etwa mit unveränderlichen Backups und einer Air-Gap-Kopie.
RTO und RPO je Funktion
Für jede Funktion sind Wiederherstellungszeit und Wiederherstellungspunkt festzulegen. Mehr dazu im Lexikon: RTO und RPO.
DORA und NIS2
Welche Regel gilt zuerst?
Für Finanzunternehmen ist DORA das speziellere Gesetz. Beim IKT-Risikomanagement und bei der Meldung von Vorfällen gilt DORA statt NIS2; die meisten Pflichten des BSI-Gesetzes entfallen (§ 28 Abs. 6 BSIG). Vorfälle melden Sie nur einmal an die BaFin, die das BSI informiert. Die Registrierung beim BSI bleibt laut BSI für betroffene Finanzunternehmen bestehen.
Mehr dazu: NIS2 im Überblick · NIS2- und DORA-Check · DORA-Verordnung im Blog
Umsetzung mit Cristie Data
Wiederherstellung, die Sie der Aufsicht zeigen können.
Im Finanzsektor hängen kritische Dienste oft an Hunderten oder Tausenden Servern. Cristie Data automatisiert deren Wiederherstellung – mit unserer eigenen Software und den Backup-Lösungen führender Hersteller wie Rubrik, Cohesity, IBM und Dell.
System Recovery
Bare Machine Recovery stellt ganze Server automatisiert wieder her, auch auf anderer Hardware oder in der Cloud – mit Simulationen und Berichten für Ihre Tests.
Geschützte Backups
Unveränderliche Speicher, S3 Object Lock und Air-Gap-Kopien auf LTO-Band – getrennt vom Produktivsystem, wie Art. 12 es verlangt.
Erkennung und Tests
24/7-Überwachung durch ein Managed SOC und kontinuierliches Pentesting mit Resilience Booster Detect als Bausteine für Ihre Resilienztests.
Daten in Europa: Backup- und Archivbetrieb mit EU- bzw. deutscher Datenhaltung, auf Wunsch als Service im OPEX-Modell mit READY by Cristie.
FAQ
Häufige Fragen zu DORA.
Seit wann gilt DORA?
Die Verordnung (EU) 2022/2554 ist am 16. Januar 2023 in Kraft getreten und gilt seit 17. Januar 2025 unmittelbar in allen EU-Mitgliedstaaten.
Wer muss DORA umsetzen?
Nahezu alle beaufsichtigten Finanzunternehmen: Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Versicherer, Fondsverwalter, Handelsplätze, Krypto-Dienstleister und weitere. IT-Dienstleister sind keine Finanzunternehmen, werden aber über Verträge mit ihren Kunden einbezogen.
Wie oft müssen Backups nach DORA getestet werden?
Artikel 12 verlangt regelmäßige Tests der Sicherungs- und Wiederherstellungsverfahren, nennt aber kein festes Intervall. Das Intervall muss zu Ihrem Risikoprofil passen und dokumentiert sein.
Was bedeutet DORA für die Backup-Architektur?
Backups müssen nach dokumentierten Richtlinien erstellt und auf Systemen wiederhergestellt werden können, die physisch und logisch vom Quellsystem getrennt und vor Manipulation geschützt sind. Für jede Funktion sind RTO und RPO festzulegen.
Gilt für Banken NIS2 oder DORA?
Für Finanzunternehmen gilt vorrangig DORA. Die meisten Pflichten des BSI-Gesetzes entfallen, Vorfälle werden einmal an die BaFin gemeldet. Die Registrierung beim BSI kann trotzdem nötig sein.
Wie unterstützt Cristie Data bei DORA?
Mit automatisierter Systemwiederherstellung inklusive Simulationen und Berichten, geschützten Backups mit Air Gap, Managed SOC und kontinuierlichem Pentesting – sowie Beratung zur passenden Architektur.
Hinweis: Diese Seite gibt einen Überblick und ersetzt keine Rechtsberatung. Stand: November 2026, Grundlage sind die Verordnung (EU) 2022/2554 sowie Veröffentlichungen von BaFin und BSI.
Kontakt · B2B
DORA-konforme Wiederherstellung – getestet und dokumentiert.
Wir zeigen Ihnen, wie Sie Wiederherstellungstests automatisieren, Backups vom Produktivsystem trennen und die Ergebnisse für Prüfungen dokumentieren.
Ihre Anfrage
Cristie Data GmbH
Nordring 53-55, 63843 Niedernberg
E-Mail: info@cristie.de
Telefon: +49 (0) 6028 97950