Seit dem 17. Januar 2025 gilt der Digital Operational Resilience Act — kurz DORA — für Finanzdienstleister in der gesamten EU. Die Verordnung stellt neue, verbindliche Anforderungen an die digitale Widerstandsfähigkeit von Banken, Versicherungen, Wertpapierfirmen und einer Vielzahl weiterer regulierter Unternehmen im Finanzsektor.
Wer DORA noch nicht auf dem Schirm hatte, sollte das jetzt ändern. Die Anforderungen sind konkret, die Aufsichtsbehörden sind aktiv — und die Anforderungen gehen über das hinaus, was viele bislang unter IT-Sicherheit verstanden haben.
Was ist DORA — und warum gibt es diese Verordnung?
DORA ist eine EU-Verordnung (EU 2022/2554), die einheitliche Anforderungen an das ICT-Risikomanagement (Information and Communication Technology) für Finanzinstitute schafft. Ziel ist es, sicherzustellen, dass der Finanzsektor auch bei schwerwiegenden IT-Störungen oder Cyberangriffen operativ handlungsfähig bleibt.
Hintergrund: Die Digitalisierung im Finanzsektor hat Abhängigkeiten geschaffen, die systemische Risiken begründen. Fällt ein zentraler IT-Dienstleister aus — oder wird er angegriffen —, können ganze Finanzmarktinfrastrukturen betroffen sein. DORA soll das Risiko strukturell reduzieren.
Wer ist von DORA betroffen?
Die Verordnung gilt für eine breite Palette von Unternehmen:
- Kreditinstitute (Banken)
- Zahlungsinstitute und E-Geld-Institute
- Wertpapierfirmen und Handelsplätze
- Versicherungs- und Rückversicherungsunternehmen
- Kapitalverwaltungsgesellschaften
- Ratingagenturen und Datenmeldedienstleister
- Kritische IKT-Drittdienstleister (also IT-Anbieter, die für Finanzunternehmen tätig sind)
Für kleinere Unternehmen (proportionale Anwendung) gibt es vereinfachte Anforderungen. Aber: Das Prinzip der Verhältnismäßigkeit entbindet nicht von den Kernpflichten.
Die fünf Säulen von DORA
1. IKT-Risikomanagement
Finanzunternehmen müssen ein umfassendes IKT-Risikomanagement einführen und aufrechterhalten. Das umfasst:
- Identifikation aller IKT-Systeme und ihrer Abhängigkeiten
- Schutz- und Präventionsmaßnahmen
- Erkennungs- und Reaktionsfähigkeiten
- Wiederherstellungspläne (Business Continuity & Recovery)
- Regelmäßige Überprüfung und Berichterstattung
Das Risikomanagement muss in die Gesamtsteuerung des Unternehmens integriert sein — und die Leitungsebene trägt persönliche Verantwortung.
2. Meldung von IKT-Vorfällen
DORA schreibt eine strukturierte Vorfallsmeldepflicht vor. Schwerwiegende IKT-bezogene Vorfälle müssen klassifiziert, intern analysiert und an die zuständige Behörde gemeldet werden — mit klaren Fristen und vorgegebenen Meldeformaten.
Wichtig: Auch Cybervorfälle, die Kunden betreffen könnten, müssen unter Umständen an diese kommuniziert werden.
3. Testen der digitalen Betriebsstabilität
Finanzunternehmen müssen ihre Systeme regelmäßig testen — und zwar nicht nur intern. DORA unterscheidet:
- Einfache Tests: Vulnerability Assessments, Penetrationstests, Netzwerksicherheitsprüfungen
- Advanced Tests (TLPT): Threat-Led Penetration Testing für systemrelevante Institute — unter Einbezug von Aufsichtsbehörden
4. Management von IKT-Drittparteienrisiken
Das ist eine der zentralen Neuerungen: Finanzunternehmen müssen ihre Abhängigkeiten von externen IT-Dienstleistern aktiv steuern. Das bedeutet:
- Register aller IKT-Dienstleisterbeziehungen führen
- Vertragsinhalt mit kritischen Anbietern regulatorisch konform gestalten
- Exit-Strategien für kritische Dienstleister vorhalten
- Konzentrationsrisiken bewerten
Kritische IKT-Drittdienstleister (z. B. große Cloud-Anbieter) unterliegen selbst direkter Aufsicht durch europäische Behörden (EBA, ESMA, EIOPA).
5. Informationsaustausch
DORA ermöglicht und fördert den freiwilligen Austausch von Informationen über Cyberbedrohungen zwischen Finanzunternehmen — in einem regulierten Rahmen. Das ist neu und zeigt den systemischen Ansatz der Verordnung.
Was DORA von DSGVO und NIS2 unterscheidet
DORA, DSGVO und NIS2 überschneiden sich teilweise — aber sie haben unterschiedliche Schwerpunkte:
DSGVONIS2DORA**Schutzgut**Personenbezogene DatenKritische InfrastrukturenOperationale Stabilität Finanzsektor**Adressaten**Alle UnternehmenKritische und wichtige EinrichtungenFinanzdienstleister**Kern-Pflicht**Datenschutz-ComplianceCybersicherheitsmaßnahmenIKT-Resilienz & Drittparteienmanagement
Wer dem Finanzsektor angehört, muss alle drei Regelwerke im Blick behalten — sie ergänzen sich.
Was jetzt zu tun ist: Praktische Schritte
1. Betroffenheit klären
Fällt Ihr Unternehmen unter DORA? Welche Anforderungsstufe gilt (vollumfänglich oder vereinfacht)?
2. Gap-Analyse durchführen
Was haben Sie bereits — und was fehlt noch? IKT-Risikomanagement, Vorfallsmanagement, Testprogramm, Drittparteienregister.
3. IKT-Risikorahmen aufbauen
Strukturen, Verantwortlichkeiten, Prozesse — das braucht Zeit und Expertise. Frühzeitig anfangen.
4. Verträge mit IT-Dienstleistern prüfen
DORA enthält konkrete Mindestanforderungen an Vertragsklauseln mit kritischen Drittanbietern. Bestehende Verträge müssen möglicherweise angepasst werden.
5. Meldeprozesse einrichten
Wer meldet was an wen, in welcher Frist? Das muss geregelt und geübt sein, bevor es ernst wird.
Fazit
DORA ist kein Papierwerk — es ist eine operative Herausforderung, die Struktur, Ressourcen und Fachkenntnis erfordert. Finanzdienstleister, die DORA ernst nehmen, bauen gerade die Grundlage für eine belastbare, zukunftssichere IT-Governance.
Wer jetzt noch in den Startlöchern steht, sollte keine Zeit verlieren. Die Aufsichtsbehörden haben die Umsetzung im Blick.
Sie möchten wissen, wie weit Ihr Unternehmen bei DORA ist? Wir begleiten Finanzdienstleister bei der Gap-Analyse, beim Aufbau des IKT-Risikomanagements und bei der Vertragsgestaltung mit IT-Dienstleistern.
FAQ: DORA Verordnung Unternehmen
Gilt DORA auch für kleine Finanzdienstleister?
Ja, aber mit abgestuften Anforderungen. Kleine und nicht-komplexe Institute (im Sinne der CRR) unterliegen einem vereinfachten IKT-Risikomanagementrahmen. Kernpflichten wie Vorfallsmeldungen bleiben aber bestehen.
Was passiert bei Verstößen gegen DORA?
Die nationalen Aufsichtsbehörden können Sanktionen verhängen. Das Sanktionssystem ist noch im Aufbau — aber die Aufsicht ist aktiv, und mangelnde Umsetzung wird sich nicht ignorieren lassen.
Betrifft DORA auch IT-Dienstleister, die für Finanzunternehmen arbeiten?
Kritische IKT-Drittdienstleister werden von den europäischen Aufsichtsbehörden direkt überwacht. Ob Ihr Dienstleister als „kritisch“ gilt, hängt von Marktanteil und Systemrelevanz ab.
