Wie lange dauert die Umstellung auf DORA?

Wie lange dauert die Umsetzung von DORA?

Das hängt vor allem von Größe, Reifegrad und Zahl der IKT-Dienstleister ab: Kleine Unternehmen mit ISO-27001-Basis schaffen die Umsetzung oft in 3 bis 6 Monaten, mittelgroße Institute in 6 bis 9 Monaten, große Banken und Versicherungen brauchen 9 bis 15 Monate. Der größte Zeitfresser ist fast immer die Anpassung der Verträge mit IKT-Dienstleistern. Die Angaben sind Erfahrungswerte aus Projekten, keine gesetzlichen Fristen.

Der Digital Operational Resilience Act (DORA) gilt seit dem 17. Januar 2025 verbindlich (Verordnung (EU) 2022/2554). Trotzdem sind viele Unternehmen noch nicht fertig: Nachzügler schließen Lücken, neue Finanzunternehmen kommen hinzu, und IKT-Dienstleister müssen die Anforderungen ihrer Finanzkunden erfüllen. Dieser Artikel zeigt, mit welcher Projektdauer du realistisch rechnen solltest und wie du den Zeitplan strukturierst.

Für wen ist die Frage nach der Projektdauer relevant?

DORA betrifft 20 Arten von Finanzunternehmen – von Banken und Versicherern über Zahlungs- und E-Geld-Institute bis zu Krypto-Dienstleistern – sowie mittelbar deren IKT-Dienstleister. Wer genau betroffen ist, liest du in unserem Artikel Wer ist verpflichtet zur DORA-Compliance?

Die Projektdauer interessiert vor allem drei Gruppen:

• Nachzügler, die DORA noch nicht vollständig umgesetzt haben und Lücken vor der nächsten Prüfung schließen müssen.
• Neue Marktteilnehmer, etwa FinTechs mit neuer Lizenz, die DORA von Anfang an erfüllen müssen.
• IKT-Dienstleister, deren Finanzkunden Nachweise, Audit-Rechte und Vertragsanpassungen nach Art. 30 DORA verlangen.

Wie lange dauert DORA je nach Unternehmensgröße und Reifegrad?

Die Projektdauer hängt stark von den Startvoraussetzungen ab. Wer bereits ein Informationssicherheits-Managementsystem nach ISO 27001 betreibt, spart Monate an Grundlagenarbeit. Typische Zeitrahmen aus der Praxis:

Welche Phasen hat die DORA-Umsetzung?

Ein Phasenmodell macht den Zeitplan planbar. Die Phasen laufen in der Praxis teilweise parallel – deshalb ist die Gesamtdauer kürzer als die Summe der einzelnen Phasen.

Phase 1: Scoping und Gap-Analyse (1–2 Monate)

Zu Beginn gleichst du den Ist-Zustand mit DORA und den technischen Regulierungs- und Durchführungsstandards (RTS/ITS) der europäischen Aufsichtsbehörden ab.

• Kernaufgaben: Bestandsaufnahme der IKT-Assets und Geschäftsprozesse, Erfassung aller IKT-Dienstleister, Prüfung bestehender Richtlinien.
• Zeitfresser: Unvollständige oder veraltete IT-Inventare verzögern diesen Schritt oft um mehrere Wochen.

Phase 2: Konzepte und Richtlinien (2–3 Monate)

In dieser Phase entstehen die DORA-Konzepte.

• Kernaufgaben: IKT-Risikomanagementrahmen, Notfall- und Wiederherstellungspläne, Prozess zur Klassifizierung und Meldung von IKT-Vorfällen.
• Zeitfresser: Abstimmungs- und Freigabeschleifen mit der Geschäftsleitung, die nach Art. 5 DORA die Letztverantwortung trägt.

Phase 3: Verträge und Informationsregister (2–4 Monate)

Diese Phase ist in der Praxis meist der größte Zeitfresser.

• Kernaufgaben: Aufbau des Informationsregisters nach Art. 28 Abs. 3 DORA und Anpassung der Verträge nach Art. 30 DORA (Audit-Rechte, Service-Level, Ausstiegsstrategien).
• Zeitfresser: Verhandlungen mit großen internationalen Cloud-Anbietern oder Software-Herstellern, die eigene Vertragsvorlagen durchsetzen wollen.

Phase 4: Umsetzung und Tests (2–3 Monate)

Jetzt werden die Vorgaben im Alltag umgesetzt.

• Kernaufgaben: technische Schutzmaßnahmen (z. B. Logging und Monitoring, Multi-Faktor-Authentifizierung), Schwachstellenanalysen und Penetrationstests, Schulung der Mitarbeitenden und der Geschäftsleitung.
• Zeitfresser: Beschaffung und Einrichtung neuer Sicherheitstools sowie Termine für die Schulung der Geschäftsleitung.

Phase 5: Readiness-Check (ca. 1 Monat)

Zum Abschluss prüfst du, ob alles funktioniert.

• Kernaufgaben: Simulation einer Vorfallmeldung, Vollständigkeitsprüfung aller Nachweise, Freigabe durch die Geschäftsleitung.

Was beeinflusst die Projektdauer am stärksten?

Warum brauchen manche Unternehmen drei Monate und andere über ein Jahr? Drei Faktoren entscheiden:

1. Komplexität der Lieferkette

Ein Unternehmen mit fünf zentralen Cloud-Diensten kann seine Verträge in wenigen Wochen anpassen. Ein Institut mit über 150 IKT-Dienstleistern muss Hunderte Verträge prüfen, nachverhandeln und im Informationsregister erfassen. Ein strukturiertes Vendor Risk Management verkürzt diese Phase erheblich.

2. Verfügbarkeit interner Ressourcen

Fehlen feste Projektkapazitäten, erledigen IT- und Sicherheitsteams DORA „nebenbei“. Das verlängert die Projektdauer erfahrungsgemäß deutlich.

3. Vorhandene Standards und Werkzeuge

Wer bereits ein ISMS nach ISO 27001 betreibt, muss vor allem Lücken schließen statt neu anzufangen. Ob sich eine Zertifizierung lohnt, liest du in unserem Artikel ISO 27001: Für welche Unternehmen lohnt sich die Zertifizierung? Wer Verträge, Risiken und Register dagegen in Excel-Tabellen pflegt, verliert viel Zeit.

Wie kannst du die DORA-Umsetzung beschleunigen?

Wenn der Zeitdruck steigt, helfen diese Hebel – ohne Abstriche bei der Qualität:

1. Bestehende Standards nutzen: Baue auf ISO 27001 oder IT-Grundschutz auf und ergänze nur die DORA-spezifischen Lücken, statt alles neu zu schreiben.
2. Vertragsanpassungen standardisieren: Arbeite mit einem einheitlichen DORA-Vertragsnachtrag, der alle Pflichtinhalte nach Art. 30 abdeckt, und priorisiere Dienstleister für kritische oder wichtige Funktionen.
3. Informationsregister digital führen: Nutze eine Software, die das Register im Format der technischen Durchführungsstandards (ITS) abbildet und exportiert.
4. Schulungen digitalisieren: E-Learning-Module erleichtern die regelmäßigen Schulungen der Mitarbeitenden und der Geschäftsleitung (Art. 5 Abs. 4 DORA).
5. Projekt straff steuern: Lege klare Meilensteine fest und binde Rechtsabteilung, IT und Informationssicherheit in kurzen, regelmäßigen Abstimmungen ein.

Den Unterschied zu NIS2 und welche Regeln für dich Vorrang haben, erklärt unser Guide NIS2 vs. DORA.

Beispiel: Zeitplan für ein kleines FinTech

Ein fiktives Beispiel: ein FinTech mit 50 Mitarbeitenden, Cloud-IT, ISO 27001 vorhanden und 22 IKT-Dienstleistern.

• Monat 1: Gap-Analyse und Erfassung aller 22 IKT-Dienstleister.
• Monat 2: Anpassung des IKT-Risikorahmens und des Incident-Response-Handbuchs.
• Monat 3: Versand der DORA-Vertragsnachträge an die Dienstleister, Schulung der Geschäftsleitung.
• Monat 4: Befüllung des Informationsregisters und Penetrationstest.
• Monat 5: Simulation einer Vorfallmeldung und Freigabe durch die Geschäftsleitung.

Gesamtdauer: rund 5 Monate bis zur vollständigen Umsetzung.

Fazit: Mit realistischer Planung zum Ziel

Wie lange die DORA-Umsetzung dauert, lässt sich nicht pauschal sagen, aber gut planen: Je nach Größe und Ausgangslage sind 3 bis 15 Monate realistisch, für IKT-Dienstleister oft weniger. Weil DORA bereits gilt, sollten Nachzügler keine Zeit verlieren.

Die wirksamsten Hebel sind vorhandene Standards wie ISO 27001, standardisierte Vertragsnachträge und ein digital geführtes Informationsregister.

Mit dem Vendor Risk Management von heyData erfasst du deine IKT-Dienstleister, prüfst Verträge und führst dein Informationsregister an einem Ort.

Mach den ersten Schritt: Buche jetzt eine kostenlose Demo