DORA: wer ist betroffen und ab wann?

DORA, der Digital Operational Resilience Act, ist die EU-Verordnung zur digitalen operationellen Resilienz im Finanzsektor. Sie gilt seit dem 17. Januar 2025 unmittelbar in allen EU-Mitgliedstaaten und legt einheitliche Anforderungen an das IKT-Risikomanagement im Finanzsektor fest, die zuvor je Sektor und Mitgliedstaat unterschiedlich geregelt waren.

Dieser Artikel ordnet ein: Wer genau ist erfasst, welche fünf Pflichtenkomplexe gelten, was IKT-Drittanbieter beachten müssen und wie die Zeitachse für die ersten Berichts- und Auditzyklen aussieht.

Was ist DORA und warum existiert die Verordnung?

DORA (Verordnung (EU) 2022/2554) wurde am 14. Dezember 2022 verabschiedet und trat am 16. Januar 2023 in Kraft. Mit zweijähriger Übergangsfrist gilt sie seit dem 17. Januar 2025 unmittelbar, Umsetzungsgesetze in nationales Recht sind nicht nötig.

Hintergrund: Operationelle IT-Risiken (etwa Cloud-Ausfälle, Ransomware, Ausfälle von Dienstleistern) können sich über die Vernetzung des Finanzsystems ausbreiten, waren aber je Mitgliedstaat und Sektor unterschiedlich reguliert. DORA harmonisiert das.

Wesentlicher Zweck nach Art. 1 Abs. 1 der Verordnung: einheitliche Anforderungen an die Sicherheit der Netzwerk- und Informationssysteme im Finanzsektor sowie an das Management des Risikos durch IKT-Drittanbieter.

Geltungsbereich: wer fällt darunter?

Art. 2 Abs. 1 DORA listet die erfassten Finanzunternehmen abschließend auf. Zu den wichtigsten Kategorien gehören:

• Kreditinstitute (Banken, Sparkassen, Volksbanken, Spezialbanken)
• Zahlungsinstitute und E-Geld-Institute
• Wertpapierfirmen und zentrale Gegenparteien (CCPs)
• Versicherungs- und Rückversicherungsunternehmen sowie Versicherungsvermittler, sofern sie keine Kleinst-, kleinen oder mittleren Unternehmen sind
• Verwalter alternativer Investmentfonds (AIFM) und Verwaltungsgesellschaften für OGAW
• Anbieter von Krypto-Dienstleistungen unter MiCA
• Datenbereitstellungsdienste und Crowdfunding-Dienstleister
• Einrichtungen der betrieblichen Altersversorgung (EbAV), sofern bestimmte Schwellenwerte überschritten werden

Zusätzlich nennt Art. 2 Abs. 1 lit. u IKT-Drittanbieter. Direkte Pflichten treffen sie nur, wenn die ESAs sie nach Art. 31 als kritisch einstufen; alle übrigen erreicht DORA mittelbar über die Pflichten ihrer Finanzkunden zum Drittparteienrisiko (Art. 28 bis 30). Das betrifft etwa Cloud-Provider, SaaS-Anbieter im Finanzbereich, Rechenzentrumsbetreiber, Anbieter von Bankensoftware und Managed-Security-Service-Provider.

Sonderfall „kritische IKT-Drittanbieter": Die Europäischen Aufsichtsbehörden (ESAs) erstellen über den Gemeinsamen Ausschuss eine Liste kritischer IKT-Drittanbieter (CTPPs), veröffentlichen sie und aktualisieren sie jährlich (Art. 31 Abs. 9). Jeder CTPP wird von einer der ESAs als federführender Überwachungsbehörde beaufsichtigt. Die erste Liste mit 19 Anbietern veröffentlichten die ESAs am 18. November 2025.

Außerhalb des Anwendungsbereichs bleiben unter anderem Versicherungs-, Rückversicherungs- und Versicherungsnebenvermittler, die Kleinst-, kleine oder mittlere Unternehmen sind (Art. 2 Abs. 3 lit. e), EbAV mit insgesamt höchstens 15 Versorgungsanwärtern (Art. 2 Abs. 3 lit. c) sowie reine Industrie- und Handelsunternehmen ohne Finanzdienstleistungs-Lizenz.

Die fünf Pflichtenblöcke

1. IKT-Risikomanagement (Art. 5-16)

Finanzunternehmen müssen einen umfassenden Rahmen für das IKT-Risikomanagement etablieren. Nach Art. 5 Abs. 2 trägt das Leitungsorgan (Vorstand / Geschäftsführung) die letztendliche Verantwortung für das Management des IKT-Risikos.

Pflicht-Elemente:

• Schriftliche IKT-Risikomanagement-Strategie mit Risikotoleranz
• Inventar aller IKT-Systeme sowie der unterstützten Geschäftsfunktionen
• Schutzmaßnahmen entlang Vertraulichkeit, Integrität, Verfügbarkeit
• Erkennungs- und Reaktionsprozesse für IKT-Vorfälle
• Business-Continuity-Plan und Wiederanlaufverfahren
• Lernprozess aus Vorfällen und Übungen

Ein vereinfachtes Rahmenwerk nach Art. 16 dürfen nur kleine und nicht verflochtene Wertpapierfirmen, nach der Richtlinie (EU) 2015/2366 ausgenommene Zahlungsinstitute, nach der Richtlinie 2013/36/EU ausgenommene Institute (sofern der Mitgliedstaat die Option nach Art. 2 Abs. 4 nicht nutzt), nach der Richtlinie 2009/110/EG ausgenommene E-Geld-Institute und kleine EbAV anwenden. Die Pflicht zur Etablierung eines IKT-Risikomanagements bleibt auch für sie bestehen.

2. Incident-Reporting (Art. 17-23)

DORA harmonisiert die Meldepflichten für schwerwiegende IKT-Vorfälle EU-weit. Die Meldefristen legt Art. 5 der Delegierten Verordnung (EU) 2025/301 fest:

• Erstmeldung: so früh wie möglich, spätestens 4 Stunden nach Einstufung als schwerwiegend und spätestens 24 Stunden, nachdem das Finanzunternehmen vom Vorfall Kenntnis erlangt hat
• Zwischenmeldung: spätestens 72 Stunden nach Übermittlung der Erstmeldung
• Abschlussmeldung: spätestens 1 Monat nach Übermittlung der (zuletzt aktualisierten) Zwischenmeldung

Zusätzlich freiwillige Meldung erheblicher Cyberbedrohungen an die zuständige Behörde (Art. 19).

3. Resilience-Testing (Art. 24-27)

Pflicht zu einem Programm digitaler operationeller Resilienz-Tests:

• Basistests (Art. 24, 25): Finanzunternehmen außer Kleinstunternehmen testen mindestens jährlich alle IKT-Systeme und -Anwendungen, die kritische oder wichtige Funktionen unterstützen; Art. 25 nennt dafür u. a. Schwachstellenscans, Penetrationstests und Quellcodeprüfungen
• Threat-Led Penetration Testing (TLPT) (Art. 26, 27): nur für Finanzunternehmen, die die zuständige Behörde dafür bestimmt; mindestens alle 3 Jahre. Interne Tester sind unter Auflagen zulässig, dann ist bei jedem dritten Test ein externer Tester Pflicht; als bedeutend eingestufte Kreditinstitute setzen nur externe Tester ein

Die ESAs haben die Kriterien für TLPT-Verpflichtung in den finalen RTS-Texten konkretisiert. Praxisrelevant: nicht jedes Institut muss TLPT durchführen, die BaFin nominiert die betroffenen Unternehmen.

4. Drittparteienrisiko (Art. 28-44)

Der zentrale Pflichtblock für IKT-Auslagerungen:

• Strategie zur Steuerung des IKT-Drittparteienrisikos
• Register aller IKT-Drittanbieter-Vereinbarungen
• Vertragliche Mindestinhalte (Art. 30): klare Leistungsbeschreibung, Orte der Leistungserbringung und Datenverarbeitung, Servicelevels, Kündigungsrechte; bei kritischen oder wichtigen Funktionen zusätzlich uneingeschränkte Zugangs- und Prüfungsrechte sowie Ausstiegsstrategien
• Konzentrationsrisiko-Analyse: Was passiert, wenn ein einzelner Anbieter ausfällt?
• Exit-Strategien mit dokumentierten Übergangsplänen

Das Informationsregister nach Art. 28 Abs. 3 muss auf Einzel- sowie auf teil- und konsolidierter Ebene alle vertraglichen Vereinbarungen über IKT-Dienstleistungen erfassen und aktuell gehalten werden. Mindestens jährlich melden die Finanzunternehmen der zuständigen Behörde Anzahl und Art neuer Vereinbarungen.

5. Informationsaustausch (Art. 45)

Finanzunternehmen dürfen untereinander Informationen über Cyberbedrohungen austauschen, verpflichtet sind sie dazu nicht. Der Austausch muss in vertrauenswürdigen Gemeinschaften von Finanzunternehmen stattfinden und Geschäftsgeheimnisse, die DSGVO sowie das Wettbewerbsrecht wahren (Art. 45 Abs. 1).

IKT-Drittanbieter: was Cloud- und SaaS-Anbieter beachten müssen

Auch wenn IKT-Drittanbieter nicht direkt adressiert sind (außer den ESA-benannten CTPPs), trifft sie DORA mittelbar über die vertraglichen Mindestanforderungen ihrer Finanzkunden. Wer Finanzunternehmen als Kunden hat, muss mit folgenden Forderungen rechnen:

• DORA-konforme Vertragsanpassungen (Art. 30)
• Nachweispflichten zu Sicherheitsmaßnahmen
• Audit-Rechte und Reporting-Verpflichtungen
• Geographische Datenortsangaben
• Notfall- und Exit-Pläne

Für SaaS-KMU mit Finanz-Kunden lohnt sich eine DORA-Readiness-Mappe: Standard-Vertragsanlagen, ein vorbereitetes ISMS-Statement (z.B. nach ISO 27001) und nachvollziehbare Sub-Auftragsverarbeiter-Listen.

Zeitachse: was wann gilt

Sanktionen

Nach Art. 50 bis 52 DORA legen die Mitgliedstaaten Verwaltungssanktionen und Abhilfemaßnahmen fest; in Deutschland ist die BaFin zuständig. Für Finanzunternehmen gibt DORA keine EU-weite Höchstsanktion vor. Nur gegenüber kritischen IKT-Drittanbietern kann die federführende Überwachungsbehörde ein Zwangsgeld von bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes des vorangegangenen Geschäftsjahres verhängen, täglich bis zur Erfüllung und höchstens sechs Monate lang (Art. 35 Abs. 6 bis 8).

Die deutschen Begleitregelungen zu DORA enthält das Finanzmarktdigitalisierungsgesetz (FinmadiG), verkündet im BGBl. 2024 I Nr. 438 vom 27.12.2024. Es ändert unter anderem KWG, WpHG, VAG und ZAG und bestimmt die BaFin als zuständige Behörde nach Art. 46 DORA.

FAQ

Gilt DORA auch für Fintechs ohne Banklizenz?

Nicht direkt. DORA setzt eine Finanzdienstleistungs-Lizenz nach EU-Sektorrecht voraus. Ein Fintech ohne entsprechende Zulassung (z.B. ein SaaS-Anbieter) ist nicht selbst Finanzunternehmen im Sinne von DORA. Erbringt es IKT-Dienstleistungen für Finanzunternehmen, treffen es deren Vertragsanforderungen nach Art. 30; direkte Pflichten entstehen erst bei einer Einstufung als kritischer IKT-Drittanbieter nach Art. 31.

Muss eine Sparkasse mit 200 Mitarbeitern denselben Aufwand betreiben wie eine Großbank?

Nicht zwingend im selben Umfang, aber nach demselben Rahmen. Eine Sparkasse ist ein Kreditinstitut und fällt nicht unter das vereinfachte Rahmenwerk nach Art. 16. Sie setzt den vollen Rahmen nach Art. 5 bis 15 um; nach dem Grundsatz der Verhältnismäßigkeit (Art. 4) richten sich Umfang und Tiefe nach Größe, Risikoprofil sowie Art, Umfang und Komplexität ihrer Dienstleistungen und Geschäfte.

Wann werden die ersten Bußgelder fällig?

DORA gilt seit dem 17. Januar 2025; ab diesem Zeitpunkt kann die BaFin Verstöße verfolgen. Welche Sanktionen im Einzelfall verhängt werden, richtet sich nach den nationalen Sanktionsvorschriften, die die Mitgliedstaaten nach Art. 50 DORA festlegen.

Reicht eine ISO-27001-Zertifizierung als DORA-Nachweis?

Nein. ISO 27001 kann als Grundlage für das IKT-Risikomanagement nach Art. 5 bis 15 dienen, ersetzt aber nicht die DORA-spezifischen Anforderungen, insbesondere die Meldefristen für schwerwiegende IKT-Vorfälle (Art. 17 bis 23), die Testpflichten einschließlich TLPT (Art. 24 bis 27) und die Vertragsinhalte nach Art. 30. Praktisch sinnvoll: ISO 27001 als Basis, DORA-Gap-Analyse als Aufsatz.

Was kostet die DORA-Umsetzung?

Das hängt vom Einzelfall ab: Größe, IT-Komplexität, Zahl der IKT-Drittanbieter und Vorzustand des IKT-Risikomanagements bestimmen den Aufwand. Belastbare Pauschalwerte je Institut gibt es nicht; für eine Budgetplanung braucht es eine Gap-Analyse gegen die Anforderungen der Art. 5 bis 30.