Der Digital Operational Resilience Act (DORA) ist seit dem 17. Januar 2025 verbindlich. Finanzunternehmen in der EU müssen ihre digitale Widerstandsfähigkeit gegenüber IKT-Störungen und Cyberangriffen jetzt nachweisbar aufbauen, regelmäßig testen und dokumentieren.
Dieser Artikel erklärt die Grundlagen: Was DORA ist, wen es betrifft, welche fünf Pflichten gelten und welche Schritte zur Umsetzung sinnvoll sind.
Key Takeaways
Was ist DORA?
DORA steht für Digital Operational Resilience Act. Die EU-Verordnung (EU) 2022/2554 schafft erstmals einen sektorübergreifenden, verbindlichen Rechtsrahmen für IKT-Risiken und Cybersicherheit im Finanzsektor.
DORA erkennt an, dass digitale Systeme und Finanzsysteme eng miteinander verknüpft sind. Störungen der IKT können sich schnell auf die wirtschaftliche Stabilität ganzer Märkte auswirken. Die Verordnung setzt dem einen einheitlichen EU-weiten Rahmen entgegen.
Der entscheidende Unterschied zu früheren EBA- und ESMA-Empfehlungen: DORA ist eine rechtsverbindliche Verordnung mit klar definierten Sanktionen. Frühere Leitlinien hatten empfehlenden Charakter. Das ist nun vorbei.
Seit wann gilt DORA?
DORA trat am 16. Januar 2023 in Kraft. Die Anwendungspflicht gilt seit dem 17. Januar 2025.
In Deutschland begleitete das Finanzmarktdigitalisierungsgesetz (FinmadiG) die Umsetzung. Es trat am 27. Dezember 2024 in Kraft und verankerte die notwendigen Anpassungen im deutschen Recht.
Wen betrifft DORA?
DORA gilt für rund 20 Kategorien von Finanzunternehmen sowie deren IKT-Drittdienstleister. Die Verordnung greift unabhängig davon, ob der Unternehmenssitz innerhalb oder außerhalb der EU liegt, solange das Unternehmen in der EU tätig ist.
| BETROFFENE FINANZUNTERNEHMEN (AUSWAHL) |
|---|
| Kreditinstitute |
| Zahlungsinstitute und E-Geld-Institute |
| Wertpapierfirmen |
| Versicherungs- und Rückversicherungsunternehmen |
| Verwalter alternativer Investmentfonds (AIF) |
| Anbieter von Krypto-Dienstleistungen (gemäß MiCA) |
| Ratingagenturen |
| Schwarmfinanzierungsdienstleister |
| Zentralverwahrer, zentrale Gegenparteien und Handelsplätze |
| IKT-Drittdienstleister (mittelbar betroffen) |
Bestimmte kleine Versicherungsvermittler und Kleinstunternehmen sind ausdrücklich ausgenommen (Art. 2 Abs. 3 DORA).
DORA-Schlüsselsäulen
Um seine Ziele zu erreichen, stützt sich DORA auf fünf grundlegende Säulen, die zusammen die digitale Widerstandsfähigkeit von Finanzinstituten stärken sollen:
| SÄULE | KERNANFORDERUNG |
|---|---|
| IKT-Risikomanagement | Strategien und Prozesse zur Erkennung, Bewertung und Abwehr von IKT-Risiken. Das Leitungsorgan (Vorstand, Geschäftsführung) trägt die Letztverantwortung und muss die Resilienzstrategie aktiv genehmigen. |
| Vorfallmanagement und Meldepflichten | Klassifizierung erheblicher IKT-Vorfälle anhand definierter Kriterien (betroffene Kunden, Ausfallsdauer, geografische Reichweite, wirtschaftliche Folgen) und fristgerechte Meldung an die zuständige Behörde. |
| Resilienztests | Regelmäßige Schwachstellenbewertungen, Penetrationstests und szenariobasierte Übungen. Große Institute sind verpflichtet, alle drei Jahre ein Threat-led Penetration Testing (TLPT) durchzuführen. |
| IKT-Drittparteienrisikomanagement | Due Diligence vor Vertragsschluss, laufende Überwachung der IKT-Dienstleister sowie Aufbau und Pflege eines vollständigen Informationsregisters aller IKT-Drittparteienvereinbarungen. |
| Informationsaustausch | Freiwilliger Austausch von Informationen über Cyber-Bedrohungen und -Schwachstellen im Finanzsektor, koordiniert durch die Europäischen Aufsichtsbehörden. |
Ein Punkt, der in der Praxis oft unterschätzt wird: Das Leitungsorgan muss die IKT-Risikostrategie nicht nur formell kennen, sondern aktiv genehmigen und das nötige Budget bereitstellen. Digitale Widerstandsfähigkeit ist damit Führungsverantwortung, keine reine IT-Aufgabe.
Leitungsorgansaufsicht revisionssicher dokumentieren
DORA verlangt, dass das Leitungsorgan Entscheidungen zur IKT-Risikostrategie nachvollziehbar dokumentiert. Mit dem Board Portal der DiliTrust Suite werden Sitzungsprotokolle, Beschlüsse und Board-Dokumentation in einer revisionssicheren Umgebung abgelegt. Kein verteiltes Ablagesystem, keine fehlenden Nachweise bei Prüfungen.
BaFin: Aufsicht und Meldepflichten in Deutschland
Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) ist die zuständige nationale Behörde für DORA in Deutschland.
Konkret übernimmt die BaFin drei Funktionen:
Die drei Europäischen Aufsichtsbehörden (EBA, EIOPA, ESMA) haben ergänzend technische Regulierungsstandards (RTS) und Implementierungsstandards (ITS) erarbeitet, die die Anforderungen von DORA in der Praxis weiter konkretisieren.
DORA und NIS2: Was gilt bei Überschneidungen?
Viele Finanzunternehmen fallen gleichzeitig unter DORA und unter NIS2, die EU-Richtlinie zur Netz- und Informationssicherheit, die in Deutschland seit Ende 2024 in nationales Recht umgesetzt wurde.
Hier gilt eine klare Regel: DORA hat als speziellere Regelung für den Finanzsektor Vorrang. Eine Vorfallmeldung nach DORA an die BaFin ersetzt die NIS2-Meldepflicht. Doppelte Meldungen sind nicht erforderlich.
Sanktionen bei Verstößen
DORA sieht empfindliche Sanktionen vor. Bei vorsätzlichen oder fahrlässigen Verstößen gegen die Verordnung (Art. 50–52 DORA):
Das Reputationsrisiko ist dabei nicht zu unterschätzen. Öffentliche Sanktionsmitteilungen erreichen Kunden, Investoren und Geschäftspartner.
IKT-Verträge zentralisieren und DORA-Klauseln prüfen
Lückenhafte IKT-Verträge oder fehlende Klauseln gehören zu den häufigsten Compliance-Schwachstellen unter DORA. Das Vertragsmanagement Modul der DiliTrust Suite hilft Rechtsabteilungen dabei, IKT-Verträge zentral zu erfassen, DORA-relevante Klauseln automatisiert zu identifizieren und das Informationsregister strukturiert aufzubauen.
Erste Schritte zur DORA-Compliance
Die praktische Umsetzung folgt meist drei Arbeitspaketen:
Sind Sie bereit für die DORA-Grundlagen?
Dies sollte Ihnen die Grundlagen von DORA vermitteln. Aber vielleicht müssen Sie noch tiefer in das Thema eintauchen.
Wenn Sie sich für die Einhaltung von Vorschriften interessieren, sollten Sie sich unbedingt die offizielle DORA-Website der Europäischen Kommission ansehen.
Zweitens: Bereiten Sie sich mit den Inhalten unserer Experten auf die Einhaltung von DORA vor.
Wenn Sie weitere Fragen haben und wissen möchten, wie eine robuste Corporate-Governance-Lösung Ihnen helfen kann, Prozesse zu beschleunigen und sich auf DORA vorzubereiten, buchen Sie noch heute eine persönliche Demo mit einem unserer Experten!
Häufige Fragen zu DORA
Die BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht) ist die nationale Aufsichtsbehörde und der zentrale Melde-Hub für erhebliche IKT-Vorfälle im deutschen Finanzsektor.
Ein vollständiges, aktuelles Register aller vertraglichen Vereinbarungen mit IKT-Drittdienstleistern. Es enthält Angaben zu Anbietern, Vertragsgegenstand, betroffenen Rechtseinheiten und der Kritikalität der erbrachten Funktionen. Aufsichtsbehörden können dieses Register auf Anfrage einsehen.
Finanzunternehmen riskieren Geldbußen bis zu 2 % ihres weltweiten Jahresumsatzes (Art. 50–52 DORA). Verantwortliche Führungskräfte können mit bis zu 1 Mio. EUR belegt werden. Die BaFin kann Verstöße öffentlich bekanntmachen.
