DORA (Digital Operational Resilience Act): Überblick, Anforderungen und Umsetzung

DORA einfach erklärt: Was Unternehmen über Anforderungen, Pflichten und Umsetzung wissen müssen

Der Digital Operational Resilience Act (DORA) ist die zentralisierende Verordnung der Europäischen Union zur Stärkung der digitalen operationalen Resilienz im Finanzsektor. Seit dem 17. Januar 2025 gilt die Verordnung (EU) 2022/2554 auf EUR-Lex verbindlich für über 20 Kategorien von Finanzunternehmen sowie deren kritische IKT-Drittdienstleister.

Ziel der Verordnung ist es, das europäische Finanzsystem durch einheitliche Vorgaben zu IKT-Risikomanagement, Incident Management, Resilienztests und Drittparteienrisiken widerstandsfähiger gegen Cyberrisiken und IT-Ausfälle zu machen.

Das Wichtigste zu DORA auf einen Blick

• Geltungsverfahren: DORA wird als EU-Verordnung direkt angewendet und benötigt kein nationales Umsetzungsgesetz. Das deutsche DORA-Ausführungsgesetz (DORA-AfG) regelt ergänzend rein nationale Aufsichtsbefugnisse und Sanktionsmechanismen.
• Anwendungsbereich: Neben klassischen Banken und Versicherern betrifft DORA explizit FinTechs, Krypto-Dienstleister (CASPs nach MiCA), Zahlungs- und E-Geld-Institute sowie IKT-Drittdienstleister (z. B. Cloud-Anbieter, SaaS-Hersteller).
• Die 5 Säulen: IKT-Risikomanagement, Klassifizierung und Meldung IKT-bezogener Vorfälle, Testen der digitalen Resilienz, Management des IKT-Drittparteienrisikos und gegenseitiger Informationsaustausch.
• Aufsichtsfokus: Die europäischen Aufsichtsbehörden (DORA-Aufsicht der BaFin, EBA, ESMA, EIOPA) prüfen intensiv die vorgelegten Informationsregister und die vertragliche Durchreichung von DORA-Anforderungen an IKT-Dienstleister.

Was ist DORA?

DORA steht für Digital Operational Resilience Act (Verordnung EU 2022/2554) und bildet den europäischen Rechtsrahmen für die IT-Sicherheit und digitale Betriebsfestigkeit im gesamten Finanzsektor. Während frühere Vorgaben (wie die BAIT oder VAIT der BaFin) weitgehend national geprägt waren, schafft DORA ein vollständig harmonisiertes Schutzniveau in allen EU-Mitgliedstaaten.

Die Verordnung verpflichtet Finanzunternehmen dazu, Cybersicherheit und IT-Risikomanagement nicht als reine IT-Aufgabe, sondern als direkte Governance-Pflicht der Geschäftsleitung zu verankern.

Für wen gilt DORA?

DORA gilt für mehr als 20 Kategorien von Finanzunternehmen sowie erstmals direkt oder indirekt für deren IKT-Drittdienstleister. Zu den betroffenen Akteuren gehören:

• Kreditinstitute und Wertpapierfirmen
• Zahlungsinstitute und E-Geld-Institute
• Versicherungs- und Rückversicherungsunternehmen
• Krypto-Dienstleister (CASPs) gemäß MiCA-Verordnung
• Verwalter alternativer Investmentfonds (AIFM) und OGAW-Kapitalverwaltungsgesellschaften
• IKT-Drittdienstleister: IT-Dienstleister, SaaS-Anbieter, Rechenzentren und Cloud-Provider, die Dienstleistungen für den Finanzsektor erbringen.

Wichtiger Hinweis für FinTechs und IKT-Dienstleister: Auch wenn Ihr B2B-Softwareunternehmen nicht direkt als Finanzinstitut reguliert wird, verlangen Finanzkunden im Rahmen von Art. 30 DORA vertraglich strikte DORA-Compliance, Sicherheitsnachweise, Audit-Rechte und Ausstiegsstrategien.

Was sind die 5 Säulen von DORA?

DORA gliedert die Anforderungen an die digitale operationale Resilienz in fünf zentrale Handlungsfelder:

Wie funktioniert das IKT-Risikomanagement nach DORA?

Das IKT-Risikomanagement unter DORA (Säule 1) verpflichtet Unternehmen zur Implementierung eines dynamischen Steuerungssystems. Konkret bedeutet das:

1. Strategie & Governance: Die Geschäftsleitung muss die Risikotoleranzschwellen festlegen, IKT-Strategien verabschieden und regelmäßig an Fortbildungen zu Cyberrisiken teilnehmen.
2. Asset Management & Identifikation: Sämtliche IKT-Assets und Geschäftsprozesse müssen kartiert, klassifiziert und kontinuierlich auf Schwachstellen geprüft werden.
3. Business Continuity: Unternehmen müssen präzise Kontinuitäts- und Notfallpläne (Business Continuity Plans) sowie getestete Backup- und Wiederherstellungsprozesse etablieren.

Welche Meldefristen gelten bei IKT-Sicherheitsvorfällen?

Bei als schwerwiegend klassifizierten IKT-bezogenen Vorfällen sieht DORA ein dreistufiges Meldeverfahren gegenüber der zuständigen Aufsichtsbehörde (z. B. der BaFin) vor:

• Erstmeldung: Innerhalb von 4 Stunden nach der Klassifizierung des Vorfalls als schwerwiegend (spätestens jedoch 24 Stunden nach Feststellung).
• Zwischenmeldung: Innerhalb von 72 Stunden, sobald der normale Betrieb wiederhergestellt ist oder neue Erkenntnisse vorliegen.
• Abschlussbericht: Spätestens 1 Monat nach dem Vorfall inklusive einer detaillierten Ursachenanalyse (Root Cause Analysis).

Was bedeutet das Management des IKT-Drittparteienrisikos?

Das Drittparteienrisiko (Säule 4) gehört zu den aufwendigsten Handlungsfeldern. Finanzunternehmen müssen alle Bezüge von IKT-Dienstleistungen systematisch überwachen.

Das Informationsregister

Jedes beaufsichtigte Unternehmen muss ein strukturiertes Informationsregister nach den technischen Durchführungsstandards (ITS) der EU führen. Dieses enthält sämtliche Verträge mit IKT-Dienstleistern, gegliedert nach kritischen und nicht-kritischen Funktionen sowie deren Unterauftragnehmerketten.

Vertragsanpassungen nach Art. 30 DORA

Bestehende und neue Verträge mit IKT-Dienstleistern müssen zwingend folgende Pflichtklauseln enthalten:

• Zugangs- & Audit-Rechte: Uneingeschränkte Inspektions- und Auditrechte für das Finanzunternehmen und die Aufsichtsbehörden.
• SLAs & Sicherheitsniveaus: Präzise formulierte Service-Level-Agreements und Sicherheitsstandards.
• Unterauftragnehmer: Klare Regeln für die Weitervergabe kritischer Funktionen.
• Exit-Strategien: Vertraglich zugesicherte Mitwirkung bei der Beendigung des Vertrags inklusive geordneter Datenmigration.

Was ist der Unterschied zwischen DORA und NIS2?

Der wesentliche Unterschied zwischen DORA und der NIS2-Richtlinie liegt im Anwendungsbereich und dem Spezialitätsprinzip (Lex Specialis):

1. Vorrang von DORA: Finanzunternehmen, die unter DORA fallen, sind bezüglich ihrer IKT-Sicherheits- und Meldepflichten von den entsprechenden NIS2-Vorgaben freigestellt. DORA geht als Lex Specialis vor. Weitere Details zur allgemeingültigen Cybersicherheitsrichtlinie finden Sie in unserem Leitfaden zur NIS2-Richtlinie bei heyData.
2. Rechtsform: DORA ist eine EU-Verordnung und gilt unmittelbar in allen Mitgliedstaaten. NIS2 ist eine Richtlinie, die erst durch nationale Gesetze in nationales Recht überführt wird (in Deutschland geregelt über das BSI – Bundesamt für Sicherheit in der Informationstechnik).
3. Ablösung alter Standards: Die bisherigen Rundschreiben der BaFin (BAIT, VAIT) wurden mit dem Geltungsbeginn von DORA in das neue EU-Regelwerk überführt und abgelöst.

Welche Strafen und Sanktionen gibt es bei DORA-Verstößen?

Bei Nicht-Compliance erheben Behörden signifikante aufsichtsrechtliche Maßnahmen:

• Zwangsgelder für kritische IKT-Drittdienstleister (CTPPs): Bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes des vorangegangenen Geschäftsjahres – verhängt für jeden Tag der anhaltenden Nicht-Einhaltung.
• Nationale Geldbußen: Die Aufsichtsbehörden (wie die BaFin) können abgestufte Bußgelder für Institute und Dienstleister verhängen.
• Persönliche Haftung: Aufsichtsbehörden können Führungskräften bei schwerwiegenden Versäumnissen im IKT-Risikomanagement die Ausübung von Leitungspositionen vorübergehend untersagen.

DORA-Compliance rechtssicher und digital umsetzen mit heyData

Die Einhaltung der DORA-Anforderungen erfordert eine strukturierte Erfassung von Dienstleistern, Verträgen und Risikobewertungen. heyData unterstützt FinTechs, Finanzinstitute und IKT-Dienstleister dabei, Compliance-Prozesse effizient zu automatisieren:

• Strukturiertes Informationsregister: Automatisierte Erfassung und Verwaltung aller IKT-Dienstleisterverträge gemäß den Vorgaben der EU-Aufsichtsbehörden.
• Vertragsprüfung nach Art. 30 DORA: Digitale Prüfung von Drittanbieter-Verträgen auf Audit-Rechte, SLAs und Exit-Strategien.
• Audit-Readiness-Checks: Schnelle Feststellung von Sicherheits- und Governance-Lücken zur Vorbereitung auf behördliche Prüfungen.

Weiterführende Quellen & Offizielle Dokumente

• EUR-Lex: Verordnung (EU) 2022/2554 (DORA Volltext)
• BaFin: Themenseite Digital Operational Resilience Act (DORA)