DORA ist eine EU-Verordnung, die sicherstellen soll, dass Finanzinstitute und ihre Dienstleister gegen Cyber-Bedrohungen und andere Störungen widerstandsfähig sind. Sie schafft einen einheitlichen Rahmen für das Management von IKT-Risiken (Informations- und Kommunikationstechnologie) und stellt sicher, dass Unternehmen sich vor potenziellen Betriebsausfällen schützen, auf sie reagieren und sich von ihnen erholen können.

DORA gilt für Finanzinstitute wie Banken, Wertpapierfirmen und Versicherungsunternehmen sowie für dritte IKT-Anbieter, die diese Unternehmen unterstützen. Jede Organisation, die Teil des EU-Finanzsystems ist, muss die Bestimmungen der Verordnung einhalten.

DORA verlangt von Organisationen, dass sie IKT-Risikomanagement-Rahmenwerke implementieren, regelmäßige Risikobewertungen durchführen, Reaktionspläne für Zwischenfälle entwickeln, Drittanbieter überwachen und die Widerstandsfähigkeit durch kontinuierliche Tests und Berichterstattung sicherstellen. Es schreibt auch die Meldung von Vorfällen an die Aufsichtsbehörden und öffentliche Transparenz bei erheblichen Störungen vor.

In der EU tätige Finanzunternehmen und IKT-Drittdienstleister müssen die DORA bis zum 17. Januar 2025 vollständig erfüllen. Es handelt sich um eine feste Frist ohne Übergangszeitraum nach diesem Datum. Die Nichteinhaltung könnte zu erheblichen Strafen und einer verstärkten behördlichen Kontrolle führen.