DORA trifft nicht nur Banken und Versicherer. Wer als IT-Dienstleister, Softwareanbieter oder Rechenzentrumsbetreiber Finanzunternehmen beliefert, ist als IKT-Drittdienstleister mittelbar in der Pflicht — spätestens, wenn der erste Kunde das Informationsregister befüllt und Vertragsklauseln nachverhandelt. Das Vorgehen ist dasselbe wie bei NIS-2: Betroffenheit klären, Lücken messen, priorisiert schließen.
Was enthalten ist
- Betroffenheitsanalyse — als Finanzunternehmen oder als IKT-Drittdienstleister in der Lieferkette
- Gap-Analyse gegen die DORA-Anforderungen an das IKT-Risikomanagement
- Vorfallmeldewesen: Klassifikation, Meldeketten und Fristen für schwerwiegende IKT-Vorfälle
- Testprogramm für die digitale operationale Resilienz — inklusive Einordnung, ob bedrohungsorientierte Penetrationstests (TLPT) für Sie relevant sind
- Management des IKT-Drittparteienrisikos: Informationsregister, Vertragsanforderungen, Ausstiegsstrategien
- Umsetzungsbegleitung bis zur nachweisbaren Konformität
Wie wir vorgehen
Betroffenheit
Rolle klären: Finanzunternehmen, IKT-Drittdienstleister oder beides.
Gap-Analyse
Ist-Stand gegen die DORA-Anforderungen — Risikomanagement, Meldewesen, Tests, Drittparteien.
Roadmap
Priorisierte Maßnahmen mit Aufwandsklassen, entscheidbar auf GF-Ebene.
Umsetzung
Prozesse, Register und Nachweisdokumentation aufbauen — mit Ihrem Team.
Was Sie erhalten
- Betroffenheits-Einschätzung mit Begründung — belastbar gegenüber Kunden und Aufsicht
- Gap-Übersicht je Anforderungsbereich mit Ampelbewertung
- Priorisierte Maßnahmen-Roadmap mit Aufwandsklassen
- Vorlagen für Meldeprozess und Informationsregister
- Ergebnispräsentation vor der Geschäftsleitung
Warum das zählt
DORA ist seit dem 17. Januar 2025 anwendbar — es gibt keine Übergangsfrist mehr. Finanzunternehmen müssen ihre IKT-Dienstleister vertraglich in die Pflicht nehmen und im Informationsregister führen. Wer als Dienstleister keine belastbaren Antworten hat, verliert nicht durch Bußgelder, sondern durch verlorene Aufträge.
Häufige Fragen
Wir sind keine Bank — betrifft uns DORA trotzdem?
Sehr wahrscheinlich ja, wenn Sie IKT-Leistungen für Finanzunternehmen erbringen: Software, Hosting, Cloud, Managed Services, Rechenzentren. Als IKT-Drittdienstleister erreichen Sie die Anforderungen über die Verträge Ihrer Kunden — die Betroffenheitsanalyse klärt das in kurzer Zeit.
Wie verhält sich DORA zu NIS-2?
DORA ist für den Finanzsektor die speziellere Regelung und geht NIS-2 dort vor. Viele Anforderungen überlappen — Risikomanagement, Meldewesen, Lieferkette —, sodass sich Umsetzungen gegenseitig anrechnen lassen. Wenn Sie beides betrifft, bauen wir eine gemeinsame Nachweisstruktur statt zwei parallele. Siehe auch unsere NIS-2 Beratung.
Müssen wir einen TLPT durchführen?
Bedrohungsorientierte Penetrationstests (TLPT) sind nur für von der Aufsicht bestimmte Finanzunternehmen verpflichtend. Für alle anderen gilt ein risikobasiertes Testprogramm — wir ordnen ein, was für Ihre Kategorie tatsächlich gefordert ist, und dimensionieren die Tests entsprechend.
Was kostet die DORA-Readiness?
Festpreis nach kostenlosem Scoping — analog zu unserem NIS-2 Readiness-Check. Beratungsleistungen sind zudem häufig förderfähig (BAFA/Landesprogramme, bis zu 50–80 % Zuschuss) — wir übernehmen die Fördernavigation.
Nächster Schritt.
Ein 30-Minuten-Gespräch klärt Ihre Betroffenheit — als Finanzunternehmen oder als IKT-Dienstleister.
Briefing anfragen