Gesetze und Normen
DORA
EU-Verordnung zur digitalen Widerstandsfähigkeit im Finanzsektor, seit 17. Jänner 2025 verbindlich für Banken, Versicherungen und andere.
DORA steht für Digital Operational Resilience Act. Die EU-Verordnung gilt seit 17. Jänner 2025 und ist als Verordnung in allen Mitgliedstaaten unmittelbar anwendbar. Sie betrifft Finanzunternehmen wie Banken, Versicherungen, Wertpapierfirmen und Zahlungsdienstleister. Ziel ist, dass Zahlungen, Konten und Versicherungsleistungen auch bei Cyberangriffen oder größeren IT-Ausfällen weiter funktionieren.
Verlangt werden unter anderem ein dokumentiertes Management der IT-Risiken, die Meldung schwerer IT-Vorfälle an die Aufsicht, regelmäßige Tests der Widerstandsfähigkeit und eine strenge Kontrolle von IT-Dienstleistern. Finanzunternehmen müssen dazu ein Verzeichnis aller Verträge mit IT-Dienstleistern führen.
Für Betriebe außerhalb der Finanzbranche wird DORA dann relevant, wenn sie IT-Leistungen für Finanzunternehmen erbringen. Wer etwa Software für eine Versicherung liefert oder Systeme einer Bank betreut, muss mit Vertragsklauseln zu Sicherheit, Prüfrechten, Vorfallmeldungen und Ausstiegsplänen rechnen. Für viele andere wichtige Sektoren regelt NIS2 Vergleichbares.
Für Ihren Betrieb
Haben Sie Kunden aus der Finanzbranche, rechnen Sie damit, dass deren Verträge DORA-Klauseln enthalten. Lesen Sie die Anforderungen genau, bevor Sie unterschreiben.