Glossary term
DORA
Also: Digital Operational Resilience Act, EU-Verordnung 2022/2554
EU-Verordnung 2022/2554 für digitale operationale Resilienz im Finanzsektor. Seit 17. Januar 2025 unmittelbar geltend. Fünf Säulen: ICT-Risikomanagement, Vorfallsmanagement, Resilienz-Testing inkl. TLPT, Drittanbieter-Steuerung, Informationsaustausch.
DORA ist eine Verordnung (kein Richtlinien-Akt) und gilt damit unmittelbar in allen EU-Mitgliedstaaten ohne nationale Umsetzung. Sie betrifft rund 20 Kategorien von Finanzunternehmen: Banken, Versicherer, Wertpapierfirmen, Krypto-Asset-Dienstleister, Zahlungsinstitute, AIFM, Ratingagenturen, Crowdfunding-Anbieter und mehr. Plus kritische ICT-Drittanbieter unter direkter EU-Aufsicht.
Art. 28-30 sind das harte Drittanbieter-Regime: Informationsregister aller ICT-Verträge, Eignungsprüfung vor Vertragsschluss, dokumentierte Exit-Strategie, Pflichtklauseln für normale und kritische Funktionen (Audit-Rechte, Sub-Outsourcing-Kontrolle, SLA, Datenresidenz).
TLPT nach Art. 26-27 verpflichtet signifikante Entitäten zu Threat-Led Penetration Tests mindestens alle drei Jahre, methodisch angelehnt an TIBER-EU. Meldefristen bei schwerwiegenden ICT-Vorfällen: 24h Erstmeldung, 72h Zwischenmeldung, 1 Monat Abschlussbericht.
Related terms
NIS2
EU-Richtlinie 2022/2555 zur Netz- und Informationssicherheit. Löst NIS1 ab, erweitert den Anwendungs…
ICT Third-Party Risk
Sammelbegriff für Risiken aus dem Einsatz externer ICT-Lieferanten: Cloud-Provider, SaaS-Anbieter, M…
TLPT (Threat-Led Penetration Testing)
Ein behördlich begleiteter, intelligenz-gesteuerter Penetrationstest, den DORA für signifikante Fina…
DORA ICT risk management
The EU Digital Operational Resilience Act regulates the operational resilience of financial entities…
Decision Memo (Deutsch)
Strukturiertes Dokument, das eine einzelne Entscheidung mit Trigger, Optionen, Kriterien, Stakeholde…
Defense in Depth
Sicherheits-Architektur-Prinzip, bei dem mehrere Schutzschichten (Identity, Endpoint, Netzwerk, Date…
DLP
Software-Kategorie zur Erkennung und Verhinderung unbefugter Datenabflüsse. Wirkt auf Endpoints, Net…
DMARC / DKIM / SPF
Drei Standards, die zusammen E-Mail-Absender authentifizieren und Spoofing erschweren. SPF authentif…