DORA (Digital Operational Resilience Act): Überblick, Anforderungen und Umsetzung

Was ist DORA?

Der Digital Operational Resilience Act (DORA) ist eine EU-Verordnung (Verordnung (EU) 2022/2554), die die digitale operationale Resilienz im Finanzsektor stärken soll. Seit dem 17. Januar 2025 gilt sie unmittelbar für 20 Arten von Finanzunternehmen – von Banken und Versicherern bis zu Zahlungsinstituten und Krypto-Dienstleistern – und mittelbar auch für deren IKT-Dienstleister. DORA verlangt ein IKT-Risikomanagement, die Meldung schwerwiegender IT-Vorfälle, regelmäßige Resilienztests und die Kontrolle von IT-Dienstleistern. Den Volltext findest du auf EUR-Lex.

Ziel der Verordnung ist es, das europäische Finanzsystem durch einheitliche Vorgaben widerstandsfähiger gegen Cyberangriffe und IT-Ausfälle zu machen. Während frühere Vorgaben wie die BAIT oder VAIT der BaFin national geprägt waren, schafft DORA ein harmonisiertes Schutzniveau in allen EU-Mitgliedstaaten. Cybersicherheit ist damit keine reine IT-Aufgabe mehr, sondern eine direkte Governance-Pflicht der Geschäftsleitung.

Das Wichtigste zu DORA auf einen Blick

• Rechtsform: DORA gilt als EU-Verordnung unmittelbar und braucht kein Umsetzungsgesetz. In Deutschland hat das Finanzmarktdigitalisierungsgesetz (FinmadiG) das nationale Recht angepasst, etwa die Aufsichtsbefugnisse der BaFin und die Bußgeldvorschriften.
• Anwendungsbereich: Neben Banken und Versicherern betrifft DORA ausdrücklich FinTechs, Krypto-Dienstleister (CASPs nach MiCA), Zahlungs- und E-Geld-Institute sowie mittelbar IKT-Drittdienstleister wie Cloud-Anbieter und SaaS-Hersteller.
• Die 5 Säulen: IKT-Risikomanagement, Meldung IKT-bezogener Vorfälle, Testen der digitalen Resilienz, Management des IKT-Drittparteienrisikos und Informationsaustausch.
• Aufsicht: In Deutschland beaufsichtigt die BaFin die Einhaltung von DORA. Die europäischen Aufsichtsbehörden EBA, ESMA und EIOPA erarbeiten die technischen Standards und überwachen kritische IKT-Drittdienstleister direkt. Ein Schwerpunkt der Prüfungen sind die Informationsregister und die Verträge mit IKT-Dienstleistern.

Für wen gilt DORA?

DORA gilt für 20 Arten von Finanzunternehmen sowie – direkt oder mittelbar – für deren IKT-Drittdienstleister. Zu den betroffenen Unternehmen gehören:

• Kreditinstitute und Wertpapierfirmen
• Zahlungsinstitute und E-Geld-Institute
• Versicherungs- und Rückversicherungsunternehmen
• Krypto-Dienstleister (CASPs) gemäß MiCA-Verordnung
• Verwalter alternativer Investmentfonds (AIFM) und OGAW-Kapitalverwaltungsgesellschaften
• IKT-Drittdienstleister: IT-Dienstleister, SaaS-Anbieter, Rechenzentren und Cloud-Provider, die Dienstleistungen für den Finanzsektor erbringen. Als kritisch eingestufte Anbieter werden direkt von den europäischen Aufsichtsbehörden überwacht.

Wichtiger Hinweis für FinTechs und IKT-Dienstleister: Auch wenn dein B2B-Softwareunternehmen nicht selbst als Finanzunternehmen reguliert ist, verlangen Finanzkunden nach Art. 30 DORA vertraglich Sicherheitsnachweise, Audit-Rechte und Ausstiegsstrategien. Wer genau betroffen ist, liest du in unserem Artikel Wer ist verpflichtet zur DORA-Compliance?

Was sind die 5 Säulen von DORA?

DORA gliedert die Anforderungen an die digitale operationale Resilienz in fünf zentrale Handlungsfelder:

Wie funktioniert das IKT-Risikomanagement nach DORA?

Das IKT-Risikomanagement (Säule 1) verpflichtet Unternehmen zu einem dauerhaften Steuerungssystem für IT-Risiken. Konkret bedeutet das:

1. Strategie und Governance: Die Geschäftsleitung legt die Risikotoleranz fest, verabschiedet die IKT-Strategie und bildet sich regelmäßig zu Cyberrisiken fort.
2. Asset Management und Identifikation: Alle IKT-Assets und Geschäftsprozesse werden erfasst, klassifiziert und laufend auf Schwachstellen geprüft.
3. Business Continuity: Unternehmen brauchen Kontinuitäts- und Notfallpläne sowie getestete Backup- und Wiederherstellungsprozesse.

Welche Meldefristen gelten bei IKT-Vorfällen?

Bei schwerwiegenden IKT-bezogenen Vorfällen sieht DORA ein dreistufiges Meldeverfahren gegenüber der zuständigen Aufsichtsbehörde (in Deutschland die BaFin) vor:

• Erstmeldung: innerhalb von 4 Stunden nach der Einstufung des Vorfalls als schwerwiegend, spätestens jedoch 24 Stunden, nachdem das Unternehmen von dem Vorfall erfahren hat.
• Zwischenmeldung: innerhalb von 72 Stunden nach der Erstmeldung – und erneut, sobald der normale Betrieb wiederhergestellt ist oder sich wesentliche Änderungen ergeben.
• Abschlussbericht: innerhalb von 1 Monat nach der letzten Zwischenmeldung, inklusive Ursachenanalyse.

Was bedeutet das Management des IKT-Drittparteienrisikos?

Das Drittparteienrisiko (Säule 4) gehört zu den aufwendigsten Handlungsfeldern. Finanzunternehmen müssen alle bezogenen IKT-Dienstleistungen systematisch überwachen.

Das Informationsregister

Jedes betroffene Finanzunternehmen muss ein Informationsregister nach den technischen Durchführungsstandards (ITS) der EU führen. Es enthält alle Verträge mit IKT-Dienstleistern, gegliedert nach kritischen und nicht kritischen Funktionen, einschließlich der Unterauftragnehmerketten.

Vertragsanpassungen nach Art. 30 DORA

Verträge mit IKT-Dienstleistern müssen unter anderem diese Klauseln enthalten:

• Zugangs- und Audit-Rechte: uneingeschränkte Inspektions- und Prüfrechte für das Finanzunternehmen und die Aufsicht.
• SLAs und Sicherheitsniveaus: präzise Service-Level-Vereinbarungen und Sicherheitsstandards.
• Unterauftragnehmer: klare Regeln für die Weitervergabe.
• Exit-Strategien: zugesicherte Unterstützung bei Vertragsende, inklusive geordneter Datenmigration.

Was ist der Unterschied zwischen DORA und NIS2?

Der wesentliche Unterschied liegt im Anwendungsbereich und im Spezialitätsprinzip (Lex specialis):

1. Vorrang von DORA: Für Finanzunternehmen, die unter DORA fallen, geht DORA bei IKT-Sicherheit und Meldepflichten den entsprechenden NIS2-Vorgaben vor. Mehr dazu in unserem Guide NIS2 vs. DORA.
2. Rechtsform: DORA ist eine EU-Verordnung und gilt unmittelbar. NIS2 ist eine Richtlinie, die in nationales Recht umgesetzt werden muss – in Deutschland durch das NIS2-Umsetzungsgesetz, das unter anderem das BSI-Gesetz neu fasst. Zuständige Behörde ist dort das BSI.
3. Ablösung alter Standards: Die BaFin-Rundschreiben BAIT und VAIT gelten für DORA-pflichtige Unternehmen seit dem 17. Januar 2025 nicht mehr; an ihre Stelle treten die DORA-Vorgaben.

Welche Sanktionen drohen bei DORA-Verstößen?

Bei Verstößen können die Behörden erhebliche Maßnahmen ergreifen:

• Zwangsgelder für kritische IKT-Drittdienstleister: bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes des vorangegangenen Geschäftsjahres, für jeden Tag der Nichteinhaltung und für bis zu sechs Monate.
• Nationale Geldbußen: Die BaFin kann Bußgelder gegen Finanzunternehmen verhängen; die Höhe regelt in Deutschland das FinmadiG.
• Verantwortung der Geschäftsleitung: Die Geschäftsleitung trägt die Letztverantwortung für das IKT-Risikomanagement. Bei schweren Versäumnissen kann die Aufsicht auch gegen verantwortliche Geschäftsleiter vorgehen.

DORA-Compliance strukturiert umsetzen mit heyData

Die Einhaltung von DORA erfordert eine strukturierte Erfassung von Dienstleistern, Verträgen und Risikobewertungen. heyData unterstützt FinTechs, Finanzunternehmen und IKT-Dienstleister dabei, diese Prozesse effizient aufzusetzen:

• Strukturiertes Informationsregister: Erfassung und Verwaltung aller IKT-Dienstleisterverträge nach den EU-Vorgaben.
• Vertragsprüfung nach Art. 30 DORA: Prüfung von Dienstleisterverträgen auf Audit-Rechte, SLAs und Exit-Strategien.
• Audit-Readiness-Checks: schnelle Identifikation von Sicherheits- und Governance-Lücken vor behördlichen Prüfungen.

Mach den ersten Schritt: Buche jetzt eine kostenlose Demo

Weiterführende Quellen und offizielle Dokumente

• EUR-Lex: Verordnung (EU) 2022/2554 (DORA-Volltext)
• BaFin: Themenseite Digital Operational Resilience Act (DORA)