EU DORA Compliance (Digital Operational Resilience Act)

Implement DORA Regulation (2022/2554) digital operational resilience for financial entities — ICT risk management, incident reporting, resilience testing, third-party risk.

EU DORA Compliance (Digital Operational Resilience Act)

DISCLAIMER: This skill provides guidance only. It does not constitute legal or financial advice. Always verify with qualified professionals.

When to Use

  • Building software for financial institutions in the EU
  • Assessing ICT risk management for fintech
  • Setting up ICT incident reporting for financial entities
  • Designing resilience testing programs
  • Managing third-party ICT service provider relationships

Scope — Who Is Affected?

DORA applies to virtually all EU financial entities:

CategoryEntities
BankingCredit institutions, payment institutions, e-money institutions
InvestmentInvestment firms, trading venues, central securities depositories
InsuranceInsurance/reinsurance undertakings, intermediaries
PensionIORPs (Institutions for Occupational Retirement Provision)
CryptoCrypto-asset service providers (MiCA-regulated)
InfrastructureCCPs, trade repositories, securitization repositories
OtherCredit rating agencies, crowdfunding providers, data reporting services
ICT providersThird-party ICT service providers to the above (critical designation)

5 Pillars of DORA

Pillar 1: ICT Risk Management (Articles 5-16)

Establish an ICT risk management framework:

  • Identify all ICT assets, risks, dependencies
  • Protect through security policies, access controls, encryption
  • Detect anomalies and incidents via continuous monitoring
  • Respond with incident response and crisis communication plans
  • Recover with backup policies, restoration procedures, lessons learned

Pillar 2: ICT Incident Reporting (Articles 17-23)

Classify and report major ICT-related incidents:

CriterionThreshold for Major
Clients affected> 10% of clients or significant clients
Duration> 2 hours for critical services
Geographic spread> 2 member states
Data lossIntegrity, confidentiality, or availability compromised
Economic impactMaterial financial loss
Criticality of servicesCore banking, payment processing, trading

Reporting timeline:

  • Initial notification: within 4 hours of classification as major
  • Intermediate report: within 72 hours
  • Final report: within 1 month

Pillar 3: Digital Operational Resilience Testing (Articles 24-27)

Test TypeFrequencyWho
Vulnerability assessmentsAt least annuallyAll entities
Network security testingAt least annuallyAll entities
Scenario-based testingAt least annuallyAll entities
Threat-Led Penetration Testing (TLPT)At least every 3 yearsSignificant entities only

TLPT must be conducted by qualified external testers following the TIBER-EU framework.

Pillar 4: Third-Party ICT Risk (Articles 28-44)

For all ICT third-party service providers:

  • Maintain a register of all ICT service agreements
  • Conduct pre-contract due diligence
  • Include mandatory contractual clauses (audit rights, exit strategies, data location)
  • Monitor ongoing compliance
  • Have exit plans for critical providers

Critical ICT third-party providers (designated by ESAs) face direct EU oversight.

Pillar 5: Information Sharing (Article 45)

Financial entities may participate in voluntary information-sharing arrangements on:

  • Cyber threat intelligence
  • Indicators of compromise
  • Tactics, techniques, and procedures (TTPs)
  • Security alerts and configuration tools

Key Date

  • 17 January 2025: DORA fully applicable

What This Skill Does NOT Do

  • Does not conduct penetration testing or TLPT
  • Does not configure ICT security tools
  • Does not manage third-party provider contracts
  • Does not replace compliance officer or legal counsel

Last updated: October 13, 2026

View on GitHubDownload (2 files)

Files (2)

Jurisdiction
🇪🇺 European Union
Practice area
Finance
License
MIT
Author
BuilderCed
Source
eu/finance/skills/eu-dora-compliance-builderced

Test EU DORA Compliance (Digital Operational Resilience Act)

Ask a legal question — get an answer generated live from this skill’s instructions.

Sign in to test this skill.

Related skills

/dora:dora-drittparteienrisiko

Apache-2.0European UnionFinance

Management des IKT-Drittparteienrisikos nach DORA – allgemeine Prinzipien und Informationsregister Art. 28 DORA, wesentliche Vertragsbestimmungen Art. 30 DORA, Behandlung kritischer IKT-Drittdienstleister im Überwachungsrahmen. Use when ein Finanzunternehmen eine IKT-Auslagerung bewertet, das Informationsregister aufbaut oder Verträge DORA-fest gestaltet.

/dora:dora-resilienztests

Apache-2.0European UnionFinance

Aufbau eines DORA-Programms für Tests der digitalen operationalen Resilienz – allgemeine Testanforderungen Art. 24 DORA, Testmethoden Art. 25 DORA, bedrohungsorientierte Penetrationstests (TLPT) Art. 26 DORA, Anforderungen an Tester Art. 27 DORA. Use when ein Finanzunternehmen sein Testprogramm aufsetzt oder klärt, ob es zur TLPT verpflichtet ist.

/dora:dora-vorfallsmeldung

Apache-2.0European UnionFinance

Klassifizierung und Meldung IKT-bezogener Vorfälle nach DORA – Behandlungsprozess Art. 17 DORA, Klassifizierung Art. 18 DORA, Meldung schwerwiegender Vorfälle Art. 19 DORA mit der Fristenkaskade 4h/72h/1 Monat. Use when ein Finanzunternehmen einen IKT-Vorfall klassifizieren und die Meldekette an die zuständige Behörde aufsetzen muss.

/dora:ict-risikomanagement

Apache-2.0European UnionFinance

Aufbau eines DORA-konformen IKT-Risikomanagement-Rahmens für Finanzunternehmen – Governance Art. 5, Risikomanagement-Rahmen Art. 6, IKT-Systeme Art. 7, Identifikation Art. 8, Schutz Art. 9, Erkennung Art. 10, Reaktion und Wiederherstellung Art. 11, Lernen Art. 13. Use when ein Finanzunternehmen die DORA-Governance aufsetzt oder eine Gap-Analyse zum bestehenden BAIT/MaRisk-Rahmen durchführt.

/krypto-mikar:casp-zulassung-uebergang

Apache-2.0European UnionFinance

Zulassung als Anbieter von Kryptowerte-Dienstleistungen und deutsches Übergangsrecht – Zulassungserfordernis Art. 59 VO (EU) 2023/1114, Erbringung durch bestimmte Finanzunternehmen mit Anzeige nach Art. 60, Antrag Art. 62 und Prüfung Art. 63, Unternehmensführung Art. 68, sichere Aufbewahrung von Kundenwerten Art. 70, Verwahrdienstleistung Art. 75, unionsrechtliches Übergangsrecht Art. 143 Abs. 3 bis zum 01.07.2026 mit ausdrücklicher Verkürzungsbefugnis der Mitgliedstaaten und die deutsche Verkürzung in § 50 Abs. 2 Nr. 3 KMAG auf den Ablauf des 31.12.2025, vereinfachtes Verfahren § 50 Abs. 3 KMAG, Anzeigepflicht § 50 Abs. 4 KMAG, digitale operationale Resilienz § 26 KMAG sowie Einschreiten gegen unerlaubte Geschäfte § 9 KMAG. Use when eine CASP-Zulassung zu beantragen, ein Bestandsgeschäft zu überführen oder ein Vorwurf unerlaubter Geschäfte abzuwehren ist.

/krypto-mikar:krypto-marktmissbrauch

Apache-2.0European UnionFinance

Marktmissbrauch bei Kryptowerten – Geltungsbereich der Vorschriften über Marktmissbrauch Art. 86 VO (EU) 2023/1114, Begriff der Insiderinformation Art. 87, Pflicht zur Offenlegung von Insiderinformationen Art. 88 nebst zulässigem Aufschub, Verbot von Insidergeschäften Art. 89, Verbot der unrechtmäßigen Offenlegung Art. 90, Verbot der Marktmanipulation Art. 91 mit den Fallgruppen falscher Signale, Kursbeeinflussung und irreführender Handlungen, Pflicht zur Vorbeugung und Aufdeckung Art. 92 mit Systemen zur Erkennung und Meldung verdächtiger Aufträge, Verfolgung durch die BaFin §§ 31 bis 36 KMAG einschließlich Verschwiegenheit § 32, Anzeige straftatbegründender Tatsachen § 33, Handelsaussetzung § 34 und Übermittlung von Insiderinformationen § 36 sowie Straf- und Bußgeldvorschriften §§ 46, 47 KMAG. Use when ein Verdacht auf Insiderhandel oder Marktmanipulation besteht, ein Meldesystem aufzubauen oder eine Ad-hoc-Entscheidung zu treffen ist.