Glossarbegriff
DORA
Auch: Digital Operational Resilience Act, EU-Verordnung 2022/2554
EU-Verordnung 2022/2554 für digitale operationale Resilienz im Finanzsektor. Seit 17. Januar 2025 unmittelbar geltend. Fünf Säulen: ICT-Risikomanagement, Vorfallsmanagement, Resilienz-Testing inkl. TLPT, Drittanbieter-Steuerung, Informationsaustausch.
DORA ist eine Verordnung (kein Richtlinien-Akt) und gilt damit unmittelbar in allen EU-Mitgliedstaaten ohne nationale Umsetzung. Sie betrifft rund 20 Kategorien von Finanzunternehmen: Banken, Versicherer, Wertpapierfirmen, Krypto-Asset-Dienstleister, Zahlungsinstitute, AIFM, Ratingagenturen, Crowdfunding-Anbieter und mehr. Plus kritische ICT-Drittanbieter unter direkter EU-Aufsicht.
Art. 28-30 sind das harte Drittanbieter-Regime: Informationsregister aller ICT-Verträge, Eignungsprüfung vor Vertragsschluss, dokumentierte Exit-Strategie, Pflichtklauseln für normale und kritische Funktionen (Audit-Rechte, Sub-Outsourcing-Kontrolle, SLA, Datenresidenz).
In der Praxis
TLPT nach Art. 26-27 verpflichtet signifikante Entitäten zu Threat-Led Penetration Tests mindestens alle drei Jahre, methodisch angelehnt an TIBER-EU. Meldefristen bei schwerwiegenden ICT-Vorfällen: 24h Erstmeldung, 72h Zwischenmeldung, 1 Monat Abschlussbericht.
Verwandte Begriffe
NIS2
EU-Richtlinie 2022/2555 zur Netz- und Informationssicherheit. Löst NIS1 ab, erweitert den Anwendungsbereich auf rund 30.000 deutsche Unternehmen in 18 Sektoren, führt persönliche Haftung der Geschäftsleitung ein und verlangt zehn Mindestmaßnahmen nach Art. 21.
ICT Third-Party Risk
Sammelbegriff für Risiken aus dem Einsatz externer ICT-Lieferanten: Cloud-Provider, SaaS-Anbieter, MSPs, MSSPs. Unter DORA Art. 28 explizit reguliert; jeder kritische Lieferant muss in einem Register stehen und einer dokumentierten Eignungsprüfung folgen.
TLPT (Threat-Led Penetration Testing)
Ein behördlich begleiteter, intelligenz-gesteuerter Penetrationstest, den DORA für signifikante Finanzunternehmen alle drei Jahre fordert. TLPT folgt dem TIBER-EU-Framework und ist deutlich intensiver als ein klassischer Pentest.
DORA ICT risk management
The EU Digital Operational Resilience Act regulates the operational resilience of financial entities against ICT risks, with particularly prescriptive expectations around ICT third-party risk management (Art. 28) and contractual arrangements (Art. 30).
Decision Memo (Deutsch)
Strukturiertes Dokument, das eine einzelne Entscheidung mit Trigger, Optionen, Kriterien, Stakeholder-Positionen, Evidenz, Risiken und finaler Begründung erfasst. Audit-fähig, versioniert und als Artefakt-of-Record geführt.
Defense in Depth
Sicherheits-Architektur-Prinzip, bei dem mehrere Schutzschichten (Identity, Endpoint, Netzwerk, Daten, Anwendung, physisch) so kombiniert werden, dass das Versagen einer einzelnen Schicht den Schutz nicht auflöst. Steht in NIS2 Art. 21 implizit im Hintergrund.
DLP
Software-Kategorie zur Erkennung und Verhinderung unbefugter Datenabflüsse. Wirkt auf Endpoints, Netzwerk und Cloud. Klassifiziert Inhalte (Regex, Fingerprinting, ML) und setzt Policies durch.
DMARC / DKIM / SPF
Drei Standards, die zusammen E-Mail-Absender authentifizieren und Spoofing erschweren. SPF authentifiziert sendende IP, DKIM signiert Inhalt, DMARC verbindet beide über den From-Header und definiert die Policy.