DORA (Digital Operational Resilience Act) ist die EU-Verordnung über die digitale operationale Widerstandsfähigkeit im Finanzsektor (Verordnung (EU) 2022/2554), anzuwenden seit 17. Jänner 2025. Sie verpflichtet Banken, Versicherungen, Wertpapierfirmen, Zahlungsdienstleister und weitere Finanzunternehmen, ihre IT-Risiken nach einheitlichen Vorgaben zu steuern, statt sie als Randthema der Betriebsorganisation zu behandeln.
Fünf Bereiche bilden den Kern: das Management von IKT-Risiken, die Meldung schwerwiegender Vorfälle an die Aufsicht, das Testen der Widerstandsfähigkeit bis hin zu bedrohungsgeleiteten Penetrationstests, das Management von Risiken aus Drittanbietern und der freiwillige Austausch von Bedrohungsinformationen. Besonders folgenreich ist der Drittanbieterteil, weil er Mindestinhalte für Verträge mit IT-Dienstleistern vorschreibt und kritische Anbieter wie große Cloud-Betreiber selbst unter europäische Aufsicht stellt.
Als Verordnung gilt DORA unmittelbar und geht nationalem Recht vor; in Österreich beaufsichtigt die Finanzmarktaufsicht die Einhaltung. Für Unternehmen außerhalb des Finanzsektors ist die Verordnung mittelbar relevant, denn wer Software oder IT-Leistungen an Finanzunternehmen liefert, bekommt deren Anforderungen über den Vertrag weitergereicht.