DORA – Digital Operational Resilience Act einfach erklärt

Autor Christian Ehrmann · Stand 28.08.2026 · https://www.catenis.de/lexikon/dora

Bei Zitat URL und Abrufdatum angeben. Keine Rechtsberatung.

Was es ist

Die Digital Operational Resilience Act betrifft IKT-Risiken und kritische Drittanbieter im Finanzsektor; Catenis führt kein DORA-Modul, fragt die relevanten Punkte aber im Cyber-Premium-Fragebogen ab. Die Abgrenzung zu NIS-2 bleibt beim Unternehmen bzw. seinen Beratern.

DORA ist eine EU-Verordnung für Finanzunternehmen und ihre IKT-Dritten: Tests, Vorfallmeldung an die Finanzaufsicht, Register kritischer Dienstleister, vertragliche Mindestregeln. Der Adressat ist ein anderer als bei NIS-2, die Themen überlappen: Zugriff, Resilienz, Meldewege, Lieferanten.

Catenis bildet das nicht als Aufsichtsmodul ab. Es gibt keine DORA-Maßnahmenliste, keine Meldekette zur BaFin oder EZB, kein Register nach DORA-Format. Der Cyber-Premium-Fragebogen holt Punkte ab, die Kunden aus dem Finanzkreis oder interne Vergleiche brauchen: Drittsteuerung, IAM, Logging, Vorfallfähigkeit. Das ist Vorbereitung der Akte, nicht DORA-Erfüllung.

Wer beides ist – etwa ein IKT-Dienstleister eines Versicherers und zugleich wichtige Einrichtung nach BSIG – führt zwei Erwartungskataloge. Dieselbe MFA-Frage kann beiden dienen. Dieselbe Behördenmeldung nicht: Finanzaufsicht und BSI sind verschiedene Wege.

Kritische IKT-Dritte nach DORA sind ein eigener Status mit Register und Vertragsmindestinhalt. Catenis führt dieses Register nicht. Der Premium-Bogen kann die Fragen vorbereiten, die ein Finanzkunde stellt. Die Meldung an die Finanzaufsicht und die Aufnahme ins Register bleiben beim Verpflichteten.

Tests und Szenarien (Threat-led oder schlanker) gehören zu DORA, nicht zum NIS-2-Minimum in Catenis. Ein Restore-Test aus der Backup-Maßnahme kann als Nachweisbaustein dienen. Er ersetzt kein DORA-Testprogramm.

Geltungsbereich

DORA gilt im Finanzsektor und für bestimmte IKT-Dritte, die für diese Unternehmen kritisch sind. Die genaue Abgrenzung, Schwellen und die Rolle als kritischer Drittanbieter stehen in der Verordnung und bei der Aufsicht. Dieses Lexikon stuft niemanden ein.

NIS-2/BSIG gilt nach Sektor und Größe der Einrichtung. Viele Industrieunternehmen haben DORA nicht am Hals, bekommen die Fragen aber vom Bank- oder Versicherungskunden. Dann ist der Premium-Bogen die Arbeitsfläche, nicht ein DORA-Projekt.

CRA und SBOM sitzen auf dem Produkt, DORA auf dem Betrieb der Finanz-IKT. Wer Software an eine Bank liefert, kann alle drei hören. Catenis fragt CRA/SBOM und DORA-Nahes im selben Premium-Bogen; die Konformitätswege bleiben getrennt und extern.

Gruppen und Auslagerungen im Finanzkonglomerat machen die Abgrenzung unübersichtlich. Tochter, Dienstleister, Intra-Group-IKT: das entscheidet Beratung. Die Plattform speichert, was der Nutzer ablegt. Sie stuft niemanden als DORA-Entität ein.

NIS-2-Meldewege und DORA-Meldewege können denselben Vorfall treffen. Zwei Portale, zwei Fristenlogiken, eine interne Akte. Catenis hält den NIS-2-Vorfallstatus. Die Finanzmeldung bleibt außen, genau wie die BSI-Meldung.

Was zu tun ist

Zuerst klären, ob das Unternehmen selbst DORA-Adresse ist oder nur Lieferant. Die Antwort bestimmt, ob eine Aufsichtsakte nötig ist oder ein Kundenfragebogen. Catenis deckt den zweiten Fall ab, den ersten nicht als Modul.

Im Premium-Bogen die Dritt- und Betriebsfragen ehrlich beantworten und Nachweise datieren. Lücken als Lücken führen. „Nicht einschlägig“ braucht eine Begründung, wenn der Kunde Finanzaufsicht im Nacken hat.

Die Abgrenzung zu NIS-2 schriftlich machen, wo beide greifen könnten: welche Meldung wohin, welcher Katalog intern gilt. Das entscheidet Beratung. Die Plattform mischt die Module nicht.

Keine DORA-Ampel in Catenis erwarten. Wer interne DORA-Listen führt, hält sie außerhalb oder als Dokument an den Lieferanten, nicht als gesetzliches Catenis-Modul.

Verträge mit Finanzkunden auf die geforderten IKT-Klauseln prüfen – außerhalb der Plattform. Den Bogen als Nachweis der technischen Fragen nutzen, nicht als Ersatz für die Klausel. Lücken aus dem Bogen in die Vertragsnachfassung tragen, sonst bleiben sie Dekoration.

Wenn der eigene Betrieb Finanzunternehmen ist, die Aufsichtsakte woanders führen. Catenis bleibt Fragebogen und, falls einschlägig, NIS-2-Dokumentation. Die Abgrenzung schriftlich machen, damit niemand im Haus „das macht die Plattform“ sagt.

Typischer Fehler

Der häufigste Fehler: aus ein paar Premium-Antworten „wir sind DORA-ready“ zu machen. Der Bogen ist kein Register, kein Testnachweis und keine Meldekette. Der zweite: NIS-2-Grün mit DORA-Grün zu verwechseln. Verschiedene Adressaten, verschiedene Aufsicht.

Der dritte: als Industrieunternehmen ein DORA-Großprojekt zu starten, weil ein Kunde fünf Fragen gestellt hat. Oft reicht der priorisierte Bogen. Ob mehr nötig ist, sagt der Vertrag und die Beratung, nicht das Lexikon.

Der vierte: die Finanzmeldung über dasselbe Bookmark wie die BSI-Meldung zu planen. Verschiedene Portale, verschiedene Inhalte. Der fünfte: Catenis um ein DORA-Modul zu bitten, das es laut Produkt nicht gibt, und deshalb die Premium-Fragen liegen zu lassen. Wer als Industrieunternehmen DORA-Folien schreibt statt den Bogen zu beantworten, hat die Kundenfrage verfehlt.

Grenze

Das Lexikon sagt nicht, ob ein Unternehmen unter DORA fällt oder wie die Finanzaufsicht prüft.

Catenis führt kein DORA-Modul. Es dokumentiert Fragebögen und, wo NIS-2 läuft, Maßnahmen und Vorfallstatus. DORA-Aufsicht und Behördenmeldung an Finanzaufsichten bleiben extern. Die Abgrenzung zu NIS-2 bleibt beim Unternehmen und seinen Beratern, nicht bei der Ampel. Der Premium-Bogen bereitet Fragen vor, er erfüllt DORA nicht. Register, Tests und Finanzmeldung bleiben außerhalb der Plattform. Catenis hat dafür kein eigenes Modul und keine Finanzaufsicht und kein DORA-Register im Catenis-Produkt selbst angelegt.