DORA ist keine Option. Es geht nur noch um das Wie.

DORA gilt seit dem 17. Januar 2025, unmittelbar, ohne Umsetzungsspielraum. Als EU-Verordnung mit konkreten technischen Standards lässt DORA weniger Interpretationsspielraum als jede nationale Regulierung zuvor.

Für Finanzdienstleister steht deshalb nicht mehr die Frage im Raum, ob Handlungsbedarf besteht – sondern wie ICT-Risiken, Drittanbieter, Incidents, Informationsregister und Nachweise so gesteuert werden, dass sie dauerhaft prüfbar sind.

Wer das als einmaliges Compliance-Projekt angeht, hat die Aufgabe grundlegend falsch eingeschätzt.

Der Rahmen ist klar: Fünf Säulen, konkrete technische Standards, enge Meldefristen und ein verpflichtendes Informationsregister über alle IKT-Verträge – bis hin zum Subdienstleister des Subdienstleisters. Doch zwischen regulatorischen Anforderungen und gelebter, prüfbarer Praxis besteht bei vielen Instituten weiterhin eine deutliche Lücke.

Und genau da wird es ernst: Wie überführen Sie die DORA-Anforderungen in funktionierende Prozesse, eindeutige Verantwortlichkeiten und Nachweise, die im Ernstfall auch wirklich standhalten?

In diesem Expert Talk gehen wir genau diesen Fragen nach:

• Was unterscheidet DORA von NIS-2 – und warum ist es für den Finanzsektor das schärfere Instrument?
• Wo liegen die fünf DORA-Säulen in der Praxis wirklich im Argen?
• Warum wird das Informationsregister zur größten Dauerbaustelle?
• Was lernt ein Institut wirklich über sich, wenn ein bedrohungsgeleiteter Penetrationstest läuft?
• Was passiert, wenn ein echter Vorfall kommt – und Meldeprozesse, Klassifizierungslogik und Fristen nicht sitzen?
• Wie sieht ein pragmatischer Einstieg aus, der Klein startet und operativen Mehrwert erzeugt?

Aus realen Projekten zeigen wir, welche Ansätze sich in der Praxis bewährt haben und wo die häufigsten Stolpersteine liegen.