Was sind DORA EBA Guidelines? Technische Anforderungen verstehen

Was sind die DORA EBA Guidelines?

Mit „DORA EBA Guidelines“ sind in der Regel die Level-2-Rechtsakte zu DORA gemeint: technische Regulierungsstandards (RTS) und technische Durchführungsstandards (ITS). Die Europäischen Aufsichtsbehörden EBA, ESMA und EIOPA haben sie gemeinsam entworfen, die EU-Kommission hat sie als delegierte Verordnungen und Durchführungsverordnungen erlassen. Sie gelten unmittelbar und konkretisieren die Vorgaben der DORA-Verordnung, die seit dem 17. Januar 2025 anzuwenden ist. Leitlinien im engeren Sinn gibt es zusätzlich, etwa zur Schätzung der Kosten und Verluste schwerwiegender Vorfälle. Stand: November 2026.

Die Verordnung (EU) 2022/2554 (DORA) legt die Grundsätze für digitale operationale Resilienz im Finanzsektor fest. Wie genau Verschlüsselung, Vorfallmeldungen, Penetrationstests oder das Register der IKT-Verträge aussehen müssen, regeln erst die technischen Standards. Einen Überblick über DORA insgesamt gibt unser Artikel DORA: Überblick, Anforderungen und Umsetzung.

Wie unterscheiden sich RTS, ITS und Leitlinien?

Die drei Instrumente unterscheiden sich darin, wer sie erlässt und wie verbindlich sie sind:

In Deutschland überwacht die BaFin die Einhaltung von DORA bei den meisten Finanzunternehmen.

Welche RTS und ITS gibt es zu DORA?

Diese Rechtsakte sind im Amtsblatt der EU veröffentlicht und gelten:

Was verlangt der RTS zum IKT-Risikomanagement technisch?

Die Delegierte Verordnung (EU) 2024/1774 legt fest, welche Richtlinien, Verfahren und Schutzmaßnahmen Finanzunternehmen umsetzen müssen. Zu den wichtigsten technischen Vorgaben gehören:

• Verschlüsselung und Kryptografie: eine Richtlinie zur Verschlüsselung von Daten im Ruhezustand und bei der Übertragung und, wo relevant, bei der Verarbeitung, dazu ein geregeltes Schlüsselmanagement.
• Zugriffssteuerung: Rechte nach den Grundsätzen Need-to-know und Least Privilege sowie starke Authentifizierung nach Risiko, insbesondere für privilegierte Zugänge und Fernzugriffe.
• Netzwerksicherheit: Segmentierung von Netzen und Trennung der Produktionsumgebung von Entwicklungs- und Testumgebungen.
• Schwachstellen- und Patch-Management: Schwachstellen erkennen, bewerten und zeitnah beheben.
• Protokollierung und Erkennung: Ereignisse aufzeichnen, auswerten und ungewöhnliche Aktivitäten erkennen.

Für bestimmte Finanzunternehmen gilt nach Art. 16 DORA ein vereinfachter Rahmen, etwa für kleine und nicht verflochtene Wertpapierfirmen sowie für ausgenommene Zahlungs- und E-Geld-Institute. Ob dein Unternehmen dazugehört, zeigt unser Artikel Wer ist verpflichtet zur DORA-Compliance?.

Wann ist ein IKT-Vorfall nach DORA schwerwiegend?

Nach der Delegierten Verordnung (EU) 2024/1772 ist ein Vorfall schwerwiegend, wenn er kritische Dienste betrifft und zusätzlich eine von zwei Bedingungen erfüllt ist: Es gab einen böswilligen, unbefugten Zugriff auf Netzwerk- und Informationssysteme, der zu Datenverlusten führen kann, oder mindestens zwei weitere Schwellenwerte sind überschritten. Die Kriterien sind unter anderem:

• Betroffene Kund:innen, Gegenparteien und Transaktionen: zum Beispiel mehr als 10 % der Kund:innen, die den Dienst nutzen, oder mehr als 100.000 Kund:innen.
• Dauer und Ausfallzeit: Der Vorfall dauert länger als 24 Stunden oder kritische Dienste fallen länger als zwei Stunden aus.
• Geografische Ausbreitung: Auswirkungen in mindestens zwei Mitgliedstaaten.
• Datenverluste: Auswirkungen auf Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten.
• Reputationsauswirkungen und wirtschaftliche Auswirkungen, etwa direkte und indirekte Kosten von mehr als 100.000 Euro.

Praxisbeispiel: DDoS-Angriff auf das Online-Banking

Fiktives Beispiel: Ein DDoS-Angriff legt das Online-Banking einer Bank für 45 Minuten lahm. Betroffen sind 12 % der Kund:innen, die das Online-Banking nutzen. Daten gehen nicht verloren, Medien berichten nicht, und die Auswirkungen bleiben auf ein Land beschränkt.

• Kritischer Dienst betroffen? Ja, das Online-Banking ist ein kritischer Dienst.
• Böswilliger Zugriff mit Datenverlust? Nein, der Angriff hat Systeme überlastet, aber keinen Zugriff verschafft.
• Weitere Schwellenwerte: Nur die Schwelle bei den betroffenen Kund:innen ist überschritten. Ausfallzeit, Datenverluste, geografische Ausbreitung und Reputation bleiben darunter.

Ergebnis: Nur ein weiterer Schwellenwert ist erreicht, der Vorfall gilt deshalb nicht als schwerwiegend und ist nicht meldepflichtig. Du dokumentierst ihn trotzdem und prüfst die Einstufung neu, wenn sich die Lage ändert, etwa durch Medienberichte oder einen längeren Ausfall. Das Beispiel ersetzt keine Prüfung im Einzelfall.

Welche Meldefristen gelten für schwerwiegende Vorfälle?

Die Delegierte Verordnung (EU) 2025/301 legt drei Meldestufen an die zuständige Behörde fest, in Deutschland meist die BaFin:

• Erstmeldung: innerhalb von 4 Stunden nach der Einstufung als schwerwiegend, spätestens 24 Stunden nachdem du vom Vorfall erfahren hast.
• Zwischenbericht: innerhalb von 72 Stunden nach der Erstmeldung.
• Abschlussbericht: innerhalb eines Monats nach dem letzten Zwischenbericht.

Die Formulare dafür legt die Durchführungsverordnung (EU) 2025/302 fest. Wie sich diese Pflichten von NIS2 unterscheiden, zeigt unser Vergleich DORA vs. NIS2.

Was regelt das Informationsregister?

Die Durchführungsverordnung (EU) 2024/2956 gibt einheitliche Vorlagen für das Informationsregister vor. Darin erfasst du alle vertraglichen Vereinbarungen über IKT-Dienstleistungen, einschließlich der Unterauftragnehmer, die kritische oder wichtige Funktionen unterstützen. Die Aufsicht fordert das Register an, deshalb muss es vollständig und aktuell sein. Welche weiteren Nachweise DORA verlangt, liest du in Welche Dokumente benötigt man für DORA-Compliance?.

Was gilt für bedrohungsorientierte Penetrationstests (TLPT)?

TLPT müssen nur Finanzunternehmen durchführen, die die Aufsicht dafür bestimmt, mindestens alle drei Jahre. Die Delegierte Verordnung (EU) 2025/1190 orientiert sich am europäischen Rahmenwerk TIBER-EU. Sie legt fest, wer testen muss, wie Umfang und Methode aussehen und welche Anforderungen für Tester gelten, etwa Fachkenntnis, Referenzen und eine Berufshaftpflichtversicherung. Interne Tester sind unter Bedingungen erlaubt, nach DORA sind aber bei jedem dritten Test externe Tester einzusetzen.

Wie setzt du die technischen Standards in deiner IT um?

1. Gap-Analyse gegen den RTS zum Risikomanagement: Prüfe bestehende Maßnahmen, etwa aus ISO 27001 oder BSI IT-Grundschutz, gegen die Vorgaben der Delegierten Verordnung (EU) 2024/1774.
2. Klassifizierung ins Vorfallmanagement einbauen: Hinterlege die Kriterien und Schwellenwerte im Ticketsystem oder SIEM, damit dein Team schnell entscheiden kann, ob ein Vorfall schwerwiegend ist.
3. Meldeprozess vorbereiten: Halte die Vorlagen aus der Durchführungsverordnung (EU) 2025/302 bereit und lege Zuständigkeiten für die 4-Stunden-Frist fest.
4. Informationsregister strukturiert führen: Pflege das Register in einem strukturierten System statt in verteilten Tabellen.
5. Verträge prüfen: Gleiche Verträge mit IKT-Dienstleistern mit Art. 30 DORA und der Vertragsrichtlinie nach der Delegierten Verordnung (EU) 2024/1773 ab.

Wie viel Zeit du dafür einplanen solltest, zeigt unser Artikel Wie lange dauert die Umstellung auf DORA?.

Fazit: Die technischen Standards machen DORA umsetzbar

Die sogenannten DORA EBA Guidelines sind vor allem verbindliche RTS und ITS. Sie legen fest, wie Risikomanagement, Vorfallmeldung, Tests und Dienstleistersteuerung konkret aussehen müssen. Wer die Klassifizierungslogik, die Meldefristen und das Informationsregister früh in seine Prozesse einbaut, kann Vorfälle schneller einordnen und der Aufsicht belastbare Nachweise liefern.

Mit heyData für Fintech & Finanzunternehmen setzt du DORA strukturiert um: Richtlinien, Informationsregister und Nachweise liegen an einem Ort.

Mach den ersten Schritt: Buche jetzt eine kostenlose Demo