Was regelt DORA für die digitale Resilienz im Finanzsektor?

DORA steht für Digital Operational Resilience Act, die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor. Sie legt einheitliche Anforderungen an die Sicherheit der Netz- und Informationssysteme fest, auf die Banken, Versicherungen, Wertpapierfirmen und andere Finanzunternehmen angewiesen sind. Die Verordnung stammt vom 14. Dezember 2022 und gilt seit dem 17. Januar 2025. Als Verordnung gilt sie unmittelbar in jedem Mitgliedstaat und muss nicht erst in nationales Recht umgesetzt werden.

Digitale operationale Resilienz bedeutet, dass ein Finanzunternehmen seinen Betrieb auch bei Störungen der Informations- und Kommunikationstechnologie (IKT) aufrechterhalten oder schnell wiederherstellen kann. Für die erfassten Finanzunternehmen gilt DORA als sektorspezifische Regelung gegenüber der NIS2-Richtlinie.

Wer unter DORA fällt

Artikel 2 der Verordnung zählt 20 Arten von Finanzunternehmen auf. Dazu gehören unter anderem:

• Kreditinstitute, Zahlungsinstitute, Kontoinformationsdienstleister und E-Geld-Institute
• Wertpapierfirmen, Handelsplätze, Zentralverwahrer und zentrale Gegenparteien
• Anbieter von Krypto-Dienstleistungen und Emittenten wertreferenzierter Token
• Verwalter alternativer Investmentfonds und Verwaltungsgesellschaften
• Versicherungs- und Rückversicherungsunternehmen, Versicherungsvermittler und Einrichtungen der betrieblichen Altersversorgung
• Ratingagenturen, Administratoren kritischer Referenzwerte, Schwarmfinanzierungsdienstleister und Verbriefungsregister

Zusätzlich nennt Artikel 2 die IKT-Drittdienstleister, also Anbieter, die Finanzunternehmen IKT-Dienstleistungen bereitstellen. Ausgenommen sind unter anderem Versicherungsvermittler, die Kleinst-, kleine oder mittlere Unternehmen sind, sowie Einrichtungen der betrieblichen Altersversorgung mit insgesamt weniger als 15 Versorgungsanwärtern.

Die Anforderungen gelten nach dem Grundsatz der Verhältnismäßigkeit: Größe, Gesamtrisikoprofil sowie Art, Umfang und Komplexität der Geschäfte sind zu berücksichtigen. Für kleine und nicht verflochtene Wertpapierfirmen und einige weitere Unternehmen sieht Artikel 16 einen vereinfachten IKT-Risikomanagementrahmen vor.

Die fünf Bereiche von DORA

IKT-Risikomanagement

Finanzunternehmen brauchen einen soliden, umfassenden und gut dokumentierten IKT-Risikomanagementrahmen, der Teil ihres gesamten Risikomanagements ist. Die Verordnung gliedert die Anforderungen in Identifizierung, Schutz und Prävention, Erkennung, Reaktion und Wiederherstellung, Backup und Wiederherstellung von Daten, Lernprozesse sowie Kommunikation. Reaktion und Wiederherstellung schließen eine IKT-Geschäftsfortführungsleitlinie ein, die eng mit dem Business Continuity Management verbunden ist.

Die Verantwortung liegt beim Leitungsorgan. Es definiert, genehmigt und überwacht alle Vorkehrungen des IKT-Risikomanagementrahmens und trägt die letztendliche Verantwortung für das Management der IKT-Risiken. Es legt die Strategie für die digitale operationale Resilienz einschließlich der Toleranzschwelle für IKT-Risiken fest und stellt ein angemessenes Budget bereit. Die Mitglieder des Leitungsorgans müssen ihre Kenntnisse über IKT-Risiken aktiv auf dem neuesten Stand halten, unter anderem durch regelmäßige Schulungen.

Behandlung und Meldung IKT-bezogener Vorfälle

Finanzunternehmen müssen einen Prozess einrichten, um IKT-bezogene Vorfälle zu erkennen, zu behandeln und zu melden. Alle Vorfälle und erheblichen Cyberbedrohungen sind zu erfassen, ihre Ursachen zu ermitteln und zu beheben. Das entspricht einem strukturierten Incident Management. Nach festgelegten Kriterien werden Vorfälle klassifiziert; schwerwiegende IKT-bezogene Vorfälle sind der zuständigen Behörde zu melden. Erhebliche Cyberbedrohungen können freiwillig gemeldet werden.

Die Fristen regelt die Delegierte Verordnung (EU) 2025/301:

• Erstmeldung so früh wie möglich, spätestens vier Stunden nach Einstufung des Vorfalls als schwerwiegend und spätestens 24 Stunden, nachdem das Unternehmen vom Vorfall Kenntnis erlangt hat.
• Zwischenmeldung spätestens 72 Stunden nach der Erstmeldung, aktualisiert, sobald der reguläre Geschäftsbetrieb wieder läuft.
• Abschlussmeldung spätestens einen Monat nach der letzten Zwischenmeldung.

Stuft ein Unternehmen einen Vorfall erst später als 24 Stunden nach Kenntnis als schwerwiegend ein, ist die Erstmeldung innerhalb von vier Stunden nach dieser Einstufung fällig (Art. 5 Abs. 2 der Delegierten Verordnung (EU) 2025/301).

Fällt eine Frist auf ein Wochenende oder einen Feiertag, darf die Meldung grundsätzlich bis 12 Uhr des folgenden Arbeitstags erfolgen. Für Erst- und Zwischenmeldungen von Kreditinstituten, zentralen Gegenparteien, Betreibern von Handelsplätzen und Unternehmen, die nach NIS2 als wesentliche oder wichtige Einrichtung eingestuft sind, gilt diese Erleichterung nicht.

Testen der digitalen operationalen Resilienz

Finanzunternehmen, die keine Kleinstunternehmen sind, brauchen ein risikobasiertes Testprogramm für ihre IKT-Systeme als Teil des IKT-Risikomanagementrahmens. Unternehmen, die die zuständige Behörde dafür bestimmt, müssen mindestens alle drei Jahre erweiterte Tests in Form bedrohungsorientierter Penetrationstests (Threat-Led Penetration Testing, TLPT) durchführen. Diese Tests laufen auf Live-Produktionssystemen und schließen kritische oder wichtige Funktionen ein. Die Einzelheiten regelt die Delegierte Verordnung (EU) 2025/1190.

Management des IKT-Drittparteienrisikos

Wer IKT-Dienstleistungen auslagert, bleibt für die Einhaltung aller Pflichten voll verantwortlich. Finanzunternehmen müssen das IKT-Drittparteienrisiko als Teil ihres IKT-Risikos steuern, eine Strategie dafür festlegen und ein Informationsregister über alle vertraglichen Vereinbarungen mit IKT-Drittdienstleistern führen. Dabei ist zu unterscheiden, ob eine Dienstleistung kritische oder wichtige Funktionen unterstützt. Über neue Vereinbarungen ist der Aufsicht mindestens einmal jährlich zu berichten. Das Vorgehen ähnelt dem allgemeinen Third-Party Risk Management, ist bei DORA aber detailliert vorgeschrieben.

Verträge über IKT-Dienstleistungen müssen nach Artikel 30 bestimmte Mindestinhalte haben, darunter:

• eine vollständige Beschreibung der Leistungen und die Bedingungen für Unteraufträge
• die Standorte, an denen Leistungen erbracht und Daten verarbeitet werden
• Regeln zu Verfügbarkeit, Integrität und Vertraulichkeit der Daten sowie zum Zugang zu den Daten bei Insolvenz oder Vertragsende
• die Pflicht des Dienstleisters, bei IKT-Vorfällen zu unterstützen und mit den Behörden zusammenzuarbeiten
• Kündigungsrechte und Mindestkündigungsfristen

Austausch von Informationen über Cyberbedrohungen

Finanzunternehmen dürfen Informationen über Cyberbedrohungen untereinander austauschen, etwa Indikatoren für Beeinträchtigungen, Taktiken und Techniken von Angreifern oder Sicherheitswarnungen. Voraussetzung ist, dass der Austausch die Resilienz stärkt und innerhalb vertrauenswürdiger Gemeinschaften auf Grundlage von Vereinbarungen erfolgt.

Aufsicht über kritische IKT-Drittdienstleister

DORA stellt auch Dienstleister selbst unter Aufsicht. Die drei Europäischen Aufsichtsbehörden (EBA, EIOPA und ESMA) stufen IKT-Drittdienstleister als kritisch ein. Maßgeblich ist unter anderem, welche systemischen Auswirkungen eine umfassende Betriebsstörung beim Dienstleister auf die Erbringung von Finanzdienstleistungen hätte. Für jeden kritischen Dienstleister wird eine federführende Überwachungsbehörde bestimmt. Die Kriterien für die Einstufung legt die Delegierte Verordnung (EU) 2024/1502 fest, die Überwachungsgebühren die Delegierte Verordnung (EU) 2024/1505. Die erste Liste benannter kritischer IKT-Drittdienstleister haben die Europäischen Aufsichtsbehörden am 18. November 2025 veröffentlicht.

Technische Regulierungs- und Durchführungsstandards

Viele Einzelheiten stehen nicht in der Verordnung selbst, sondern in technischen Regulierungsstandards (RTS) und technischen Durchführungsstandards (ITS), die die Kommission als eigene Verordnungen erlassen hat. Die wichtigsten:

• Delegierte Verordnung (EU) 2024/1774: Tools, Methoden, Prozesse und Richtlinien für das IKT-Risikomanagement und den vereinfachten Rahmen
• Delegierte Verordnung (EU) 2024/1772: Klassifizierung von IKT-bezogenen Vorfällen und Cyberbedrohungen, Wesentlichkeitsschwellen
• Delegierte Verordnung (EU) 2025/301: Inhalt und Fristen der Meldungen schwerwiegender Vorfälle
• Durchführungsverordnung (EU) 2025/302: Standardformulare und Verfahren für die Meldungen
• Delegierte Verordnung (EU) 2025/1190: bedrohungsorientierte Penetrationstests (TLPT)
• Delegierte Verordnung (EU) 2024/1773: Leitlinie für Verträge über IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen
• Delegierte Verordnung (EU) 2025/532: Unterauftragsvergabe bei IKT-Dienstleistungen für kritische oder wichtige Funktionen
• Durchführungsverordnung (EU) 2024/2956: Standardvorlagen für das Informationsregister

DORA in Deutschland

In Deutschland ist die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) zuständig. Schwerwiegende IKT-bezogene Vorfälle werden über die Melde- und Veröffentlichungsplattform (MVP) der BaFin gemeldet, im Fachverfahren „Digital Operational Resilience Act (DORA)“. Auch das Informationsregister nimmt die BaFin ausschließlich über die MVP entgegen.

Für Finanzunternehmen im Sinne von DORA gelten die Risikomanagement-, Melde- und Geschäftsleitungspflichten des BSI-Gesetzes nicht (§ 28 Abs. 6 BSIG). Wer unter DORA fällt, meldet IKT-Vorfälle also nach DORA und nicht zusätzlich nach § 32 BSIG. Die Registrierungspflicht nach § 33 BSIG ist in dieser Ausnahme nicht genannt. Wie DORA und NIS2 zusammenhängen, erklärt der Beitrag zu NIS2.

Einordnung in das Risikomanagement

DORA greift Themen auf, die auch im Operational Risk Management behandelt werden. Grundlagen dazu behandeln die Beiträge zum IT-Risiko und zur Business Impact Analysis, mit der sich kritische oder wichtige Funktionen bestimmen lassen. Eine bestimmte Norm schreibt DORA nicht vor; ein Informationssicherheitsmanagement nach ISO/IEC 27001 kann als Ausgangspunkt für einen Abgleich dienen.

Häufige Fragen zu DORA

Seit wann gilt DORA?

Die Verordnung (EU) 2022/2554 gilt seit dem 17. Januar 2025. Sie gilt unmittelbar in allen Mitgliedstaaten, ein nationales Umsetzungsgesetz ist dafür nicht erforderlich.

Gilt DORA auch für IT-Dienstleister?

Ja, auf zwei Wegen. Die Pflichten treffen in erster Linie die Finanzunternehmen, Artikel 30 verlangt aber Vertragsinhalte, die auch den Dienstleister binden, etwa die Unterstützung bei IKT-Vorfällen und die Zusammenarbeit mit den Behörden. Dienstleister, die die Europäischen Aufsichtsbehörden als kritisch einstufen, unterliegen zusätzlich einer direkten Überwachung auf EU-Ebene.

Wie schnell muss ein schwerwiegender IKT-Vorfall gemeldet werden?

Die Erstmeldung ist spätestens vier Stunden nach der Einstufung als schwerwiegend fällig und in jedem Fall spätestens 24 Stunden, nachdem das Unternehmen vom Vorfall erfahren hat. Erfolgt die Einstufung erst nach diesen 24 Stunden, gilt die Vier-Stunden-Frist ab der Einstufung. Es folgen eine Zwischenmeldung nach spätestens 72 Stunden und eine Abschlussmeldung nach spätestens einem Monat.

Was ist das Informationsregister?

Eine Aufstellung aller vertraglichen Vereinbarungen über IKT-Dienstleistungen von Drittdienstleistern, geführt auf Unternehmensebene und gegebenenfalls auf Gruppenebene. Es unterscheidet, ob eine Dienstleistung kritische oder wichtige Funktionen unterstützt. Die Vorlagen dafür legt die Durchführungsverordnung (EU) 2024/2956 fest.

Was ist ein TLPT?

Ein bedrohungsorientierter Penetrationstest (Threat-Led Penetration Testing) simuliert reale Angriffe auf die Live-Produktionssysteme eines Finanzunternehmens, die kritische oder wichtige Funktionen unterstützen. Unternehmen, die die Aufsicht dafür bestimmt, müssen solche Tests mindestens alle drei Jahre durchführen.

Müssen DORA-pflichtige Unternehmen zusätzlich NIS2 erfüllen?

Für die Risikomanagement- und Meldepflichten nein. DORA gilt gegenüber NIS2 als sektorspezifische Regelung. Das BSI-Gesetz nimmt Finanzunternehmen im Sinne von DORA von seinen Risikomanagement-, Melde- und Geschäftsleitungspflichten aus.