DORA-Krisenübung: Getestete Reaktionsfähigkeit ist der Nachweis, der zählt
Seit dem 17. Januar 2025 ist DORA, die Verordnung (EU) 2022/2554, für Finanzunternehmen und kritische IKT-Drittdienstleister anwendbar. Sie verlangt mehr als Pläne für den IKT-Ernstfall: Sie verlangt das Testen der digitalen operationalen Resilienz, und eine Meldekette, deren erste Frist bei vier Stunden liegt. Eine dokumentierte Krisenübung ist der greifbarste Beleg dafür, dass Ihre Reaktionsfähigkeit tatsächlich getestet wurde.
Wer unter DORA fällt, und wer nicht
DORA ist Sektorregulierung im engsten Sinn: Die Verordnung gilt ausschließlich für Finanzunternehmen und kritische IKT-Drittdienstleister. Für alle anderen Branchen ist NIS2 der Maßstab.
Als EU-Verordnung gilt DORA unmittelbar: ohne nationales Umsetzungsgesetz und ohne nationale Spielräume beim Pflichtenkern. Ob Ihre Organisation als Finanzunternehmen im Sinne der Verordnung gilt, ergibt sich aus der Verordnung selbst; im Zweifel gehört diese Einordnung an den Anfang jedes Resilienz-Projekts, nicht an dessen Ende. Klar ist: Wer darunterfällt, für den laufen die Pflichten bereits, eine Schonfrist gibt es seit dem 17. Januar 2025 nicht mehr.
Finanzunternehmen
Der Kern des Anwendungsbereichs: Unternehmen des Finanzsektors, die unter die Verordnung fallen. Für sie gelten die DORA-Pflichten vollständig, vom IKT-Risikomanagement über die Meldekette bis zum Testen der digitalen operationalen Resilienz.
Kritische IKT-Drittdienstleister
DORA endet nicht an der Unternehmensgrenze: Auch kritische IKT-Drittdienstleister werden erfasst. Wer kritische Dienste für Finanzunternehmen erbringt, steht damit selbst im Fokus der Regulierung, nicht nur als Vertragspartner seiner Kunden.
Anwendbar seit dem 17. Januar 2025: die Uhr läuft längst
Anders als bei NIS2 gab es bei DORA kein Warten auf ein nationales Umsetzungsgesetz: Die Verordnung ist seit dem 17. Januar 2025 anwendbar. Wer heute keine getestete Reaktionsfähigkeit nachweisen kann, arbeitet nicht auf eine kommende Frist hin, er liegt hinter einer Pflicht, die bereits gilt. Der Unterschied ist mehr als rhetorisch: Bei der nächsten Aufsichtsanfrage zählt, was dokumentiert vorliegt.
Die DORA-Meldekette: 4 h / 24 h / 72 h / 1 Monat
Bei schwerwiegenden IKT-Vorfällen verlangt DORA eine dreistufige Meldung an die zuständige Behörde. Die Fristen konkretisiert der technische Regulierungsstandard RTS (EU) 2025/301, und die erste ist enger, als die meisten Krisenpläne annehmen.
Die heikelste Entscheidung steht ganz am Anfang, und sie ist keine technische: Ist dieser Vorfall „schwerwiegend“? Diese Einstufung startet die 4-Stunden-Uhr, und sie fällt mitten in der unübersichtlichsten Phase der Krise, während dasselbe Team Systeme isoliert, Zahlungsströme prüft und Kunden beruhigt. Wer die Klassifizierungsfrage zum ersten Mal im Ernstfall stellt, beantwortet sie zu spät.
Genau diese Momente bildet eine Verdus-Übung ab: Das Banking-Szenario konfrontiert Ihren Krisenstab mit der Einstufungsentscheidung und dem Erstmelde-Fenster unter Zeitdruck, jede Entscheidung wird zeitgestempelt festgehalten, und im Debrief sehen Sie schwarz auf weiß, ob Ihre Erstmeldung die 4-Stunden-Frist gehalten hätte.
Testen ist Kernpflicht, nicht Empfehlung
DORA verlangt Tests der digitalen operationalen Resilienz, einschließlich szenariobasierter Tests und, als anspruchsvollste Stufe, bedrohungsorientierter Penetrationstests (TLPT).
Und hier gehört dieselbe Ehrlichkeit hin wie überall auf dieser Seite: DORA schreibt keine Tabletop-Übung mit einem bestimmten Werkzeug vor, und eine Tabletop-Übung ersetzt weder einen TLPT noch technische Tests. Was die Verordnung verlangt, ist getestete Resilienz: Nicht nur Systeme, auch die Reaktionsfähigkeit der Organisation muss sich unter realistischen Bedingungen beweisen, szenariobasierte Tests eingeschlossen.
Genau dort setzt die Krisenübung an. Sie testet die Schicht, die kein Pentest erreicht: Klassifiziert Ihr Krisenstab den Vorfall rechtzeitig als schwerwiegend? Hält die Erstmeldung das 4-Stunden-Fenster? Entscheiden Fraud, Recht, Treasury und Kommunikation in einem Takt, oder in vier? Eine dokumentierte Übung macht aus der Behauptung, reaktionsfähig zu sein, einen geführten Nachweis: mit Datum, Entscheidungen, Zeiten und Findings.
Wie eine Verdus-Übung auf DORA einzahlt
Fünf Bausteine machen aus einer Übungsstunde belastbare DORA-Evidenz. Alle fünf sind in Verdus Cyber eingebaut.
Und NIS2? Für den Finanzsektor gilt: DORA geht vor.
Für Finanzunternehmen ist DORA die speziellere Regelung, lex specialis: Wo DORA greift, setzt sie den Maßstab für IKT-Risikomanagement, Vorfallsmeldung und Resilienz-Tests. Für alle anderen Branchen bleibt NIS2 beziehungsweise in Deutschland das BSIG die Referenz, mit eigener Meldekette (Frühwarnung binnen 24 h, Vorfallsmeldung binnen 72 h, Abschlussbericht nach 1 Monat) und persönlichen Pflichten der Geschäftsleitung.
Wenn Sie nicht nur Finanzsektor sind (etwa als Gruppe mit Einheiten in mehreren Branchen), lohnt der Blick auf unseren NIS2-Leitfaden: gleiche Übungslogik, andere Meldekette.
Zum NIS2-LeitfadenHäufige Fragen zur DORA-Krisenübung
Schreibt DORA eine Tabletop-Übung vor?
Nicht wörtlich, und wir behaupten das auch nicht. DORA verlangt Tests der digitalen operationalen Resilienz, einschließlich szenariobasierter Tests (Art. 25/26). Eine dokumentierte Krisenübung ist der praktikabelste Weg, die Reaktionsfähigkeit Ihrer Organisation szenariobasiert zu testen und diesen Test nachweisbar zu machen. Die Übung ist der Nachweisweg, nicht der Gesetzestext.
Ersetzt eine Tabletop-Übung den TLPT?
Nein. Ein bedrohungsorientierter Penetrationstest prüft Ihre technischen Abwehrmaßnahmen gegen reale Angriffstechniken; eine Krisenübung testet die Entscheidungs- und Meldefähigkeit Ihres Krisenstabs. Das sind unterschiedliche Ebenen des Testprogramms: Die Übung ergänzt technische Tests, sie ersetzt sie nicht.
Gilt für uns DORA oder NIS2?
DORA gilt ausschließlich für Finanzunternehmen und kritische IKT-Drittdienstleister; für alle anderen Sektoren ist NIS2 beziehungsweise das BSIG der Maßstab. Für den Finanzsektor ist DORA die speziellere Regelung. Im Zweifel klären wir die Einordnung im ersten Gespräch.
Zum NIS2-LeitfadenWann startet die 4-Stunden-Frist für die Erstmeldung?
Mit Ihrer eigenen Klassifizierung des Vorfalls als schwerwiegend, spätestens jedoch 24 Stunden nach Kenntnis. Das macht die Einstufungsentscheidung zum kritischsten Moment der Meldekette: Sie fällt unter maximaler Unsicherheit und lässt sich nicht wegdelegieren. Genau diese Entscheidung wird in der Übung trainiert und zeitgestempelt dokumentiert.
Was liefert das Debrief als DORA-Evidenz?
Eine Timeline mit Entscheidungs-Zeitstempeln, eine Bewertung über acht Kompetenzen und ein Framework-Mapping, das neben NIST CSF, ISO 27001 und MITRE ATT&CK auch DORA umfasst. Teilnehmende, Szenario, Entscheidungen und Findings sind dokumentiert: verwendbar gegenüber Aufsicht, Prüfern und dem eigenen Gremium.
Zum DebriefWas kostet eine DORA-Krisenübung?
Ehrliche Antwort: Das hängt von Format und Tiefe ab, selbst moderiert, spezialisten-geführt oder über das Partnerprogramm. Die drei Delivery-Modelle stehen auf unserer Preisseite; eine realistische Spanne nennen wir im ersten Gespräch, nicht erst nach drei Workshops.
Zur PreisseiteMachen Sie Ihre DORA-Testpflicht übungsfest.
In einer halben Stunde zeigen wir Ihnen, wie eine DORA-taugliche Übung für Ihr Haus aussieht: Banking-Szenario, 4-Stunden-Meldekette, Debrief-Evidenz.