Digital Operational Resilience Act (DORA): Was die EU-Verordnung für digitale Resilienz bedeutet
Mit Microsoft 365 regulatorische DORA-Anforderungen sicher umsetzen
09.02.2025 | Die fortschreitende Digitalisierung macht Unternehmen und öffentliche Institutionen zunehmend abhängig von komplexen IT-Systemen und digitalen Infrastrukturen. Damit steigen auch die Anforderungen an Sicherheit, Stabilität und regulatorische Compliance. Der Digital Operational Resilience Act (DORA) setzt als wegweisende EU-Verordnung neue Standards für den Umgang mit IT-Risiken und legt den Grundstein für eine widerstandsfähige digitale Zukunft Europas. Seit dem 17. Januar 2025 sind die Vorgaben verbindlich anzuwenden und müssen von den betroffenen Unternehmen und Institutionen erfüllt sein.
In diesem Artikel beleuchten wir die Hintergründe, Ziele und Bestandteile von DORA, zeigen auf, welche Akteure betroffen und welche Maßnahmen erforderlich sind. Außerdem legen wir einen besonderen Fokus auf Microsoft 365 (M365) und dessen Rolle bei der Einhaltung der DORA-Vorgaben.
Was ist DORA? Hintergrund, Ziele und Motivation
Mit DORA (Digital Operational Resilience Act) reagiert die Europäische Union auf die wachsende Bedeutung digitaler Technologien in der Europäischen Wirtschaft und darüber hinaus. Ziel der Verordnung ist es, die digitale Betriebsstabilität, also die Fähigkeit zur Bewältigung und Abwehr von IT-Risiken, europaweit zu stärken.
Nach einer zweijährigen Übergangsphase gilt DORA seit Januar 2025 verbindlich. Unternehmen sind damit verpflichtet, ihre IT-Risiken strukturiert zu managen und die geforderten Maßnahmen nachweislich umzusetzen.
DORA wurde geschaffen, um die Widerstandsfähigkeit kritischer Systeme zu gewährleisten und das Vertrauen in digitale Infrastrukturen nachhaltig zu erhöhen. Die Motivation hinter DORA ist klar: Cyberangriffe, Systemausfälle und Datenverluste können gravierende Auswirkungen auf Wirtschaft und Gesellschaft haben. DORA schafft einen einheitlichen Rechtsrahmen, der präventive Maßnahmen, Meldepflichten und die Kontrolle von Drittanbietern verbindlich regelt.
Bestandteile von DORA: Kernelemente und regulatorische Anforderungen
DORA ist umfassend angelegt und gliedert sich in mehrere zentrale Bestandteile, die für Unternehmen und Institutionen verbindlich sind:
- IT-Risikomanagement:
Unternehmen müssen ein ganzheitliches Rahmenwerk zur Identifikation, Bewertung und Steuerung von IT-Risiken etablieren. - Vorfallmanagement und Meldepflichten:
Relevante IT-Sicherheitsvorfälle sind zeitnah zu erkennen, zu dokumentieren und an die zuständigen Behörden zu melden. - Prüfung der digitalen Betriebsstabilität:
Regelmäßige Tests der eigenen IT-Systeme und Prozesse sind vorgeschrieben, um Schwachstellen frühzeitig zu erkennen. - Management von Drittanbietern:
Die Nutzung externer IT-Dienstleister, insbesondere von Cloud-Anbietern, unterliegt strengen Kontroll- und Dokumentationspflichten. - Informationsaustausch und Zusammenarbeit:
Die Verordnung fördert den Austausch über Bedrohungen und Vorfälle zwischen Unternehmen und Behörden.
Diese Vorgaben sollen nicht nur die Resilienz einzelner Organisationen stärken, sondern die Stabilität des gesamten europäischen Marktes sichern.
Wer ist von der DORA-Verordnung betroffen?
DORA richtet sich vor allem an Unternehmen aus dem Finanzsektor, darunter Banken, Versicherungen, Zahlungsdienstleister und Wertpapierfirmen. Darüber hinaus sind auch zentrale Marktinfrastrukturen, IT-Dienstleister und Anbieter kritischer Dienste wie Cloud-Plattformen und Softwarelösungen in den Anwendungsbereich einbezogen.
Der Geltungsbereich ist weit gefasst und schließt sowohl große Konzerne als auch kleinere Finanzunternehmen und relevante Drittanbieter ein. Auch öffentliche Institutionen, die digitale Services anbieten oder mit sensiblen Daten arbeiten, müssen sich auf die neuen Anforderungen einstellen.
Maßnahmen und Umsetzung der DORA-Verordnung: Anforderungen an Unternehmen und Institutionen
Unternehmen und Behörden standen vor der Aufgabe, ihre IT-Infrastrukturen und Prozesse an die neuen DORA-Vorgaben anzupassen. Seit der verbindlichen Anwendungspflicht im Januar 2025 müssen diese Anpassungen operativ umgesetzt und dokumentiert sein – eine reine Planung reicht nicht mehr aus.
Zentrale Maßnahmen sind unter anderem:
- Einführung und fortlaufende Aktualisierung eines umfassenden IT-Risikomanagements
- Dokumentation und schnelle Meldung von IT-Sicherheitsvorfällen
- Durchführung regelmäßiger Penetrationstests und Schwachstellenanalysen zur Überprüfung der digitalen Betriebsstabilität
- Strenge Auswahl und kontinuierliche Überwachung von IT-Dienstleistern, insbesondere Cloud-Anbietern
- Schulung und Sensibilisierung der Mitarbeitenden für IT-Risiken und regulatorische Anforderungen
Die Umsetzung erfordert nicht nur technologische Anpassungen, sondern auch organisatorische Veränderungen und eine enge Zusammenarbeit mit Partnern und Dienstleistern.
Microsoft 365 und DORA: Wie M365 die Einhaltung der DORA-Richtlinien unterstützt
Moderne Cloud-Lösungen wie Microsoft 365 spielen eine entscheidende Rolle bei der Umsetzung der DORA-Anforderungen. M365 bietet eine Vielzahl von Funktionen, die Organisationen bei der Sicherstellung digitaler Resilienz unterstützen:
- Umfassende Sicherheits- und Compliance-Tools:
Microsoft 365 integriert fortschrittliche Sicherheitsmechanismen, darunter Bedrohungserkennung, automatisierte Vorfallreaktion und detaillierte Protokollierung, die das Melden und Nachverfolgen von Vorfällen vereinfachen.
- Transparenz und Kontrollmöglichkeiten:
Über zentrale Dashboards behalten Unternehmen die Kontrolle über Datenflüsse, Nutzeraktivitäten und den Zugriff auf sensible Informationen – ein zentraler Aspekt zur Erfüllung der DORA-Vorgaben.
- Regelmäßige Prüfungen und Updates:
Die Plattform wird kontinuierlich auf Schwachstellen getestet und mit aktuellen Sicherheitsupdates versorgt, was die digitale Betriebsstabilität erhöht.
- Management von Drittanbietern:
Die Integration von Drittdiensten erfolgt unter strengen Compliance-Vorgaben und kann umfassend dokumentiert werden. Dies ist besonders relevant für die Kontrolle externer Risiken.
- Schulungs- und Awareness-Programme:
M365 stellt Tools bereit, um Mitarbeitende für aktuelle Bedrohungen und regulatorische Anforderungen zu sensibilisieren und zu schulen.
Die Auswahl der richtigen Lizenz ist hierbei essenziell, da nicht alle M365-Lizenzmodelle sämtliche DORA-Anforderungen abdecken. Beispielsweise bietet Defender for Endpoint P1 grundlegende Schutzfunktionen, während P2 zusätzliche Features wie automatisierte Reaktionen und erweiterte Berichterstattung umfasst, die auch Teil der DORA-Vorgaben sind. Daher sollten Unternehmen ihre Lizenzwahl gezielt auf die eigenen Compliance-Bedürfnisse abstimmen.
Die LEITWERK AG unterstützt kompetent bei der Auswahl der
passenden M365-Lizenz für eine optimale DORA-Konformität.
Souveräne Cloud-Infrastrukturen als Baustein der DORA-Konformität
Gerade in Partnerschaftsmodellen wie beispielsweise bei der Delos Cloud wird deutlich, wie M365 als Teil einer souveränen, europäischen Cloud-Infrastruktur die DORA-Konformität fördert: Daten und Services werden in einer kontrollierten, DSGVO-konformen Umgebung betrieben, wobei Microsoft selbst keinen Zugang zu Kundendaten erhält. So lassen sich regulatorische Auflagen mit den Vorteilen moderner, leistungsfähiger Cloud-Lösungen verbinden.
Jetzt handeln!
Prüfen Sie jetzt, ob ihre aktuelle M365-Lizenz alle DORA-Anforderungen abdeckt.
Kontaktieren Sie unsere Experten, um Ihre M365-Umgebung optimal auf DORA abzustimmen und mögliche Lücken zu schließen.
Lassen Sie sich jetzt beraten!
Leitung Consulting Public Cloud & Modern Workplace
Gülsah Koch
Wie wird sichergestellt, dass sich Unternehmen an die Vorgaben von DORA halten?
Die Kontrolle der DORA-Vorgaben übernehmen in Europa vor allem die großen Aufsichtsbehörden wie EBA, ESMA und EIOPA. Sie schauen genau hin, ob Unternehmen und ihre IT-Dienstleister die Regeln einhalten: Das passiert etwa durch Audits, das Prüfen von Sicherheitsberichten, spontane Kontrollen vor Ort oder gezielte Nachfragen zu getroffenen Schutzmaßnahmen. Wer gegen die DORA-Regeln verstößt, muss mit Bußgeldern oder sogar Einschränkungen im Geschäft rechnen. Zusätzlich sind auch die nationalen Behörden mit im Boot und sorgen gemeinsam dafür, dass überall die gleichen Standards gelten.
Fazit: Bedeutung von DORA und die Rolle moderner Cloud-Lösungen
DORA stellt Unternehmen und Behörden vor neue Herausforderungen, bietet aber auch die Chance, die eigene digitale Resilienz nachhaltig zu stärken. Da die Vorgaben inzwischen verbindlich gelten, ist digitale Resilienz keine Zukunftsaufgabe mehr, sondern Teil des laufenden Betriebs. Die klare, europaweite Regulierung schafft Sicherheit und Vertrauen, sowohl bei Nutzern als auch bei Geschäftspartnern.
Moderne Lösungen wie Microsoft 365, insbesondere in Kombination mit europäischen Cloud-Angeboten wie Delos Cloud, ermöglichen es, regulatorische Vorgaben effizient zu erfüllen, ohne auf Innovationskraft und Flexibilität verzichten zu müssen.
Häufig gestellte Fragen
Der Digital Operational Resilience Act (DORA) ist eine EU-Verordnung, die die digitale Widerstandsfähigkeit von Unternehmen und Institutionen stärken soll. Sie richtet sich vor allem an Organisationen im Finanzsektor, darunter Banken, Versicherungen, Zahlungsdienstleister und Wertpapierfirmen, schließt aber auch IT-Dienstleister und Anbieter kritischer Dienste ein. Ziel ist es, einheitliche Standards für digitale Resilienz und regulatorische Compliance zu schaffen und Risiken durch IT-Ausfälle oder Cyberangriffe systematisch zu reduzieren.
DORA verlangt ein umfassendes IT-Risikomanagement, das Risiken identifiziert, bewertet und überwacht. Organisationen müssen IT-Sicherheitsvorfälle zeitnah dokumentieren und melden, die Stabilität ihrer Systeme regelmäßig testen und die Nutzung von Drittanbietern kontrollieren. Damit wird die IT-Resilienz gestärkt und die digitale Resilienz der Organisation sichergestellt, während gleichzeitig die regulatorische Compliance gewährleistet wird.
MS365 bietet Sicherheits- und Compliance-Funktionen, die die Umsetzung von DORA erleichtern: Bedrohungserkennung, Protokollierung, Zugriffskontrollen und Tools für Mitarbeiterschulungen. Durch die gezielte Auswahl der richtigen Lizenz, wie z. B. Defender for Endpoint P2, lassen sich automatisierte Vorfallreaktionen und erweiterte Berichterstattung implementieren. So unterstützt Microsoft 365 Unternehmen dabei, die Anforderungen an digitale Resilienz, IT-Risikomanagement und regulatorische Compliance effizient umzusetzen.
Die Umsetzung der DORA-Vorgaben war bis 17. Januar 2025 verbindlich. Seit diesem Zeitpunkt müssen Unternehmen alle Anforderungen operativ umgesetzt und dokumentiert haben. Bei Nichteinhaltung drohen Sanktionen durch die zuständigen Aufsichtsbehörden, darunter Bußgelder oder Einschränkungen der Geschäftstätigkeit. Die Einhaltung der Verordnung ist damit nicht nur eine Empfehlung, sondern eine verpflichtende Maßnahme für die Sicherstellung von IT-Resilienz und regulatorischer Compliance.
