Wer ist verpflichtet zur DORA-Compliance? Geltungsbereich und Zielgruppen

Ein neuer Standard für das finanzielle Ökosystem

Seit dem verbindlichen Anwendungsbeginn am 17. Januar 2025 schließt die EU-Verordnung über die digitale operational Resilienz im Finanzsektor (Verordnung (EU) 2022/2554 – DORA) eine entscheidende Regulierungslücke. Während bestehende Rahmenwerke wie MaRisk, BAIT oder VAIT primär auf nationaler Ebene ansetzten, schafft DORA einen einheitlichen, rechtsverbindlichen Standard für die gesamte Europäische Union.

Viele Marktteilnehmer gehen irrtümlich davon aus, dass DORA nur traditionelle Großbanken betrifft. Tatsächlich erfasst der DORA Geltungsbereich mehr als 20 verschiedene Typen von Finanzunternehmen sowie deren gesamte digitale Lieferkette.

Für Vorstände, Compliance-Verantwortliche und IT-Leiter stellt sich daher primär eine Frage: Fällt unser Unternehmen direkt oder indirekt unter die DORA-Verpflichtung?

Der Geltungsbereich nach Artikel 2 DORA: Wer ist betroffen?

Artikel 2 Absatz 1 DORA definiert die Anwendungsbereiche präzise. Die Regulierung unterscheidet grundsätzlich zwischen Finanzentitäten und IKT-Drittdienstleistern.

1. Klassische Finanzinstitute & Kreditinstitute

• Kreditinstitute im Sinne der Verordnung (EU) Nr. 575/2013 (CRR).
• Zahlungsinstitute und E-Geld-Institute (gemäß PSD2/PSD3).
• Wertpapierfirmen und Handelsplätze.

2. Moderne Finanzdienstleister & FinTechs

• Anbieter von Krypto-Dienstleistungen (CASPs), die unter die MiCA-Verordnung (Verordnung (EU) 2023/1114) fallen.
• Crowdfunding-Dienstleister, die gemäß Verordnung (EU) 2020/1503 zugelassen sind.
• Kreditzusammenführungs- und Kreditdienstleistungsunternehmen.

3. Versicherungs- und Investmentsektor

• Versicherungs- und Rückversicherungsunternehmen.
• Verwalter alternativer Investmentfonds (AIFM) sowie OGAW-Verwaltungsgesellschaften (UCITS).
• Einrichtungen der betrieblichen Altersversorgung (EBAV).

4. IKT-Drittdienstleister (Information and Communication Technology)

Ein Novum der DORA-Regulierung ist die direkte Erfassung von IT-Dienstleistern. Bietet ein Unternehmen Cloud-Infrastruktur, Software-Lösungen, Datenanalysen oder Rechenzentrumskapazitäten für Finanzinstitute an, unterliegt es indirekt oder – als kritischer IKT-Drittdienstleister – sogar der direkten Aufsicht durch die Europäischen Aufsichtsbehörden (EBA, ESMA, EIOPA).

Übersicht der betroffenen Akteure und DORA-Anforderungen

Die nachfolgende Tabelle zeigt, wie sich die DORA Zielgruppe aufteilt und welche Anforderungen für die jeweiligen Segmente gelten:

Was ist eine kritische Finanzentität und ein kritischer IKT-Dienstleister?

DORA unterscheidet in Bezug auf die Überwachungsintensität zwischen Standard-Akteuren und systemrelevanten bzw. kritischen Einheiten:

Kritische Finanzentitäten

Finanzinstitute gelten als kritisch oder systemrelevant, wenn ihr Ausfall oder eine schwerwiegende IT-Störung die Stabilität des gesamten Finanzsystems gefährden könnte (z. B. DAX-Banken, zentrale Gegenparteien oder große Wertpapiersammelverwahrer). Diese Institute unterliegen den strengsten DORA-Vorgaben, einschließlich verflichtender, mehrjähriger Threat-Led Penetration Tests (TLPT) nach dem TIBER-EU-Rahmenwerk.

Kritische IKT-Drittdienstleister (CTPPs)

Gemäß Artikel 31 DORA bestimmen die Europäischen Aufsichtsbehörden (ESAs) diejenigen IKT-Dienstleister, die für das Funktionieren des Finanzsektors von zentraler Bedeutung sind. Kriterien hierfür sind:

• Die systemische Auswirkung auf die Finanzstabilität bei einem Großausfall des Dienstleisters.
• Die Ersetzbarkeit des Dienstleisters (Gibt es reale Alternativen am Markt?).
• Die Anzahl der belieferten Finanzunternehmen.

Kritische IKT-Dienstleister werden einem direkten Überwachungsrahmen unterstellt und müssen den ESAs regelmäßige Rechenschaft ablegen.

Gibt es Ausnahmen von der DORA-Pflicht?

Obwohl der DORA Geltungsbereich sehr breit angelegt ist, gewährt Artikel 2 Absatz 2 DORA gezielte Bereichsausnahmen:

1. Befreite Versicherungsvermittler: Versicherungsmakler oder Vermittler, die als Kleinstunternehmen, kleine oder mittlere Unternehmen (KMU) qualifizieren, sind explizit vom Anwendungsbereich ausgenommen.
2. Captive-Rückversicherungsunternehmen: Gesellschaften, die ausschließlich Risiken der eigenen Konzernmutter versichern.
3. Sehr kleine Befreiungen im Wertpapierbereich: Bestimmte natürliche oder juristische Personen, die Anlageberatung erbringen, sofern sie keine Kundengelder halten.

Das Verhältnismäßigkeitsprinzip für Kleinstunternehmen

Kleinstunternehmen im Finanzsektor (weniger als 10 Mitarbeiter und ein Jahresumsatz bzw. eine Jahresbilanzsumme von unter 2 Millionen Euro) sind nicht vollständig befreit, profitieren aber von einem vereinfachten IKT-Risikomanagementrahmen (Artikel 16 DORA). Sie müssen weniger bürokratische Prozesse vorhalten, aber dennoch grundlegende Sicherheits- und Notfallkonzepte nachweisen.

Suchen Sie nähere Informationen zu den damit verbundenen Aufwänden? Lesen Sie unseren Beitrag über die DORA Compliance Kosten und Budgetstrukturen.

Praxisbeispiele aus dem Finanzsektor

Beispiel A: Der Cloud-native FinTech-Skalierer

Ein Berliner FinTech bietet eine Payment-App an und nutzt für das Hosting AWS sowie einen externen Anbieter für Know-Your-Customer-Prozesse (KYC).

• Betroffenheit: Das FinTech ist als E-Geld-Institut direkt verpflichtet, DORA umzusetzen.
• Konsequenz: Es muss ein vollständiges IKT-Risikomanagement etablieren, Vorfälle an die BaFin melden und Verträge mit AWS und dem KYC-Anbieter DORA-konform anpassen.

Beispiel B: Der B2B-SaaS-Anbieter für Risk-Management

Ein Software-Start-up entwickelt eine spezialisierte Analyse-Software für Banken.

• Betroffenheit: Das Start-up ist kein Finanzinstitut, fällt als IKT-Drittdienstleister aber indirekt unter DORA.
• Konsequenz: Bankkunden verlangen im Rahmen der Due-Diligence DORA-Konformitätsnachweise, Sicherheitsaudits und vertragliche Garantien gemäß Artikel 30 DORA. Ohne DORA-Readiness verliert das SaaS-Unternehmen seine Bankenkunden.

Checkliste: Fällt Ihr Unternehmen unter DORA?

Nutzen Sie diesen Schnell-Check zur Orientierung:

• Sind Sie ein nach EU-Recht zugelassenes Kreditinstitut, Wertpapierhaus oder Zahlungsinstitut?
• Verwalten Sie Krypto-Vermögenswerte oder bieten Sie Krypto-Dienstleistungen (CASP) an?
• Bieten Sie IT-, Software-, Cloud- oder Datenverarbeitungsdienste für Unternehmen im Finanzsektor an?
• Haben Sie mehr als 10 Mitarbeiter oder erzielen Sie mehr als 2 Mio. Euro Jahresumsatz im Finanzbereich?

Wenn Sie mindestens eine dieser Fragen mit Ja beantwortet haben, unterliegt Ihr Unternehmen mit hoher Wahrscheinlichkeit der DORA-Verpflichtung oder den indirekten Lieferkettenanforderungen.

Fazit: Gewissheit schaffen und Compliance sichern

Die DORA Verpflichtung betrifft die gesamte Wertschöpfungskette moderner Finanzdienstleistungen. Ganz gleich, ob Sie als traditionelles Institut, aufstrebendes FinTech oder spezialisierter IT-Dienstleister agieren: Die Abgrenzung des eigenen Betroffenheitsgrades ist der erste und wichtigste Schritt auf dem Weg zur Compliance.

DORA verlangt ein proaktives Handeln. Wer seine Betroffenheit frühzeitig analysiert, schützt sein Unternehmen vor aufsichtsrechtlichen Sanktionen und sichert seine Marktposition.