Der Digital Operational Resilience Act (DORA, Verordnung (EU) 2022/2554) ist das EU-weite Regelwerk für digitale Betriebsstabilität im Finanzsektor. Er verpflichtet Banken, Versicherer, Wertpapierfirmen und weitere Finanzunternehmen zu einem einheitlichen IKT-Risikomanagement – und holt erstmals auch die großen Cloud- und IT-Dienstleister hinter den Finanzunternehmen direkt unter EU-Aufsicht. Vor DORA war die IT-Sicherheitsregulierung im Finanzsektor über zahlreiche Einzelvorgaben verschiedener Aufsichtsbehörden verstreut; DORA bündelt diese erstmals in einem einheitlichen, EU-weit unmittelbar geltenden Rahmenwerk. Diese Seite erklärt, wer betroffen ist, welche Pflichten gelten und warum DORA für Finanzunternehmen anstelle von NIS2 greift.
Was ist DORA?
DORA wurde am 14. Dezember 2022 vom EU-Parlament und Rat verabschiedet, am 27. Dezember 2022 im Amtsblatt der EU veröffentlicht und trat am 16. Januar 2023 in Kraft. Nach einer 24-monatigen Übergangsfrist ist DORA seit dem 17. Januar 2025 unmittelbar anwendbares Recht in allen EU-Mitgliedstaaten – als Verordnung ohne nationales Umsetzungsgesetz. Nach Schätzung der Europäischen Kommission sind rund 22.000 Finanzunternehmen und IKT-Dienstleister EU-weit von DORA betroffen. Der Verordnungstext selbst wird durch eine Reihe technischer Regulierungsstandards (RTS) und Durchführungsstandards (ITS) konkretisiert, die von den drei europäischen Aufsichtsbehörden EBA, EIOPA und ESMA gemeinsam erarbeitet wurden – etwa zu Meldevorlagen für IKT-Vorfälle, zum Mindestinhalt von Auslagerungsverträgen oder zum Format des Informationsregisters. Wer DORA umsetzt, kommt an diesen Level-2-Rechtsakten nicht vorbei, da sie die eigentliche operative Detailtiefe liefern.
Wer ist von DORA betroffen?
DORA gilt für rund 20 Kategorien von Finanzunternehmen, darunter:
- Kreditinstitute (Banken), Zahlungsinstitute, E-Geld-Institute und Kontoinformationsdienstleister
- Wertpapierfirmen, Verwalter alternativer Investmentfonds (AIFM) und OGAW-Verwaltungsgesellschaften
- Versicherungs- und Rückversicherungsunternehmen sowie Versicherungsvermittler
- Zentralverwahrer, zentrale Gegenparteien, Handelsplätze und Transaktionsregister
- Krypto-Dienstleister und Emittenten wertreferenzierter Token (im Rahmen der MiCA-Verordnung)
- Ratingagenturen, Crowdfunding-Dienstleister und Administratoren kritischer Referenzwerte
Auch EU-Töchter und Zweigstellen von Finanzkonzernen aus Drittstaaten fallen unter DORA, sofern sie in der EU als Finanzunternehmen zugelassen sind. Nicht erfasst sind dagegen reine Technologieunternehmen ohne aufsichtsrechtliche Zulassung, selbst wenn sie Software für Banken entwickeln – es sei denn, sie werden als kritischer IKT-Drittdienstleister eingestuft (siehe unten).
Anders als NIS2 arbeitet DORA nicht mit Größenschwellen (Beschäftigtenzahl, Umsatz), sondern zählt die erfassten Unternehmenstypen abschließend auf – wer zu einer der Kategorien gehört, ist grundsätzlich immer betroffen, unabhängig von der Unternehmensgröße. Kleine und nicht verflochtene Unternehmen (z. B. kleine Wertpapierfirmen) profitieren aber vom Verhältnismäßigkeitsgrundsatz und dürfen ein vereinfachtes IKT-Risikomanagement-Rahmenwerk anwenden. Zusätzlich erfasst DORA IKT-Drittdienstleister, die als „kritisch" für den Finanzsektor eingestuft werden – dazu unten mehr.
Die fünf Pfeiler von DORA
DORA bündelt die Anforderungen an Finanzunternehmen in fünf aufeinander aufbauenden Themenbereichen, die in der Praxis oft als die „fünf Säulen" von DORA bezeichnet werden:
- 1. IKT-Risikomanagement-Rahmenwerk (Art. 5-16): Governance, Identifikation, Schutz, Erkennung, Reaktion und Wiederherstellung sowie Lernprozesse – von der Geschäftsleitung zu verantworten.
- 2. Klassifizierung & Meldung von IKT-Vorfällen (Art. 17-23): einheitliche EU-weite Kriterien zur Einstufung „schwerwiegender" Vorfälle sowie ein dreistufiges Meldemodell an die zuständige nationale Behörde (in Deutschland: BaFin) – Erstmeldung binnen 4 Stunden nach Klassifizierung, spätestens jedoch 24 Stunden nach Entdeckung, ein Zwischenbericht binnen 72 Stunden sowie ein Abschlussbericht binnen eines Monats. Die technischen Meldeformate sind durch die Regulierungsstandards (EU) 2025/301 harmonisiert.
- 3. Testen der digitalen operationalen Resilienz (Art. 24-27): jährliche Basistests für alle Finanzunternehmen; für als „bedeutend" eingestufte Institute zusätzlich Threat-Led Penetration Testing (TLPT) mindestens alle drei Jahre, basierend auf dem TIBER-EU-Rahmenwerk.
- 4. IKT-Drittparteirisikomanagement (Art. 28-30): ein durchgängiges Informationsregister (Register of Information) aller Verträge mit IKT-Dienstleistern, verpflichtende Mindestinhalte in Auslagerungsverträgen sowie eine Konzentrationsrisikoanalyse vor der Auslagerung kritischer Funktionen.
- 5. Informationsaustausch (Art. 45): freiwillige Vereinbarungen zum Austausch von Bedrohungsinformationen zwischen Finanzunternehmen.
Das Informationsregister aus Pfeiler 4 ist mehr als eine interne Dokumentation: Finanzunternehmen müssen es jährlich bei ihrer zuständigen Behörde einreichen. In Deutschland lief die erste Einreichung bei der BaFin 2025 (Frist bis 28. April 2025), das Meldefenster für die Folgeeinreichung 2026 lag im März. Verspätete oder unvollständige Einreichungen können aufsichtsrechtliche Konsequenzen nach sich ziehen.
Aufsicht über kritische IKT-Drittdienstleister
Eine Besonderheit von DORA: Erstmals unterliegen auch IKT-Dienstleister, die als „kritisch" für den Finanzsektor eingestuft werden, direkter EU-Aufsicht – auch wenn sie selbst keine Finanzunternehmen sind. Die drei europäischen Aufsichtsbehörden (ESAs: EBA, EIOPA, ESMA) benennen für jeden kritischen Anbieter einen federführenden Überwacher (Lead Overseer): die EBA für bankennahe Dienstleister, ESMA für Kapitalmarktinfrastruktur, EIOPA für versicherungsnahe Anbieter. Die Einstufung als „kritisch" erfolgt anhand eines zweistufigen Bewertungsmodells, das systemische Relevanz, Substituierbarkeit, Konzentrationsrisiken und den Umfang der erbrachten Dienstleistungen berücksichtigt. Am 19. November 2025 wurden auf dieser Grundlage erstmals 19 Anbieter als kritisch eingestuft, darunter große Cloud- und Plattformanbieter wie AWS, Microsoft, Google Cloud, Oracle, SAP und die Deutsche Telekom. Der Lead Overseer kann von diesen Anbietern Informationen anfordern, Prüfungen vor Ort durchführen und Empfehlungen zur Risikominderung aussprechen; werden diese nicht umgesetzt, drohen tägliche Zwangsgelder von bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes für maximal sechs Monate (Art. 35). Setzen betroffene Finanzunternehmen die Empfehlungen des Lead Overseers gegenüber ihrem IKT-Anbieter nicht um, kann die eigene Aufsichtsbehörde zusätzlich verlangen, dass die Geschäftsbeziehung zu diesem Anbieter ausgesetzt oder beendet wird.
Sanktionen bei Verstößen
Anders als NIS2 oder der Cyber Resilience Act legt DORA keine EU-einheitliche Bußgeldobergrenze für Finanzunternehmen fest. Art. 50 verpflichtet die Mitgliedstaaten lediglich, „wirksame, verhältnismäßige und abschreckende" verwaltungsrechtliche Sanktionen vorzusehen – die konkrete Ausgestaltung erfolgt über die bestehenden nationalen Aufsichtsregime (in Deutschland z. B. über KWG, VAG oder WpHG durch die BaFin). National unterscheiden sich die Rahmen erheblich: Umsatzbezogene Obergrenzen reichen von 5 % (Spanien) bis 10 % (Schweden) des Jahresumsatzes, absolute Obergrenzen von 2 Mio. € (Tschechien) bis 20 Mio. € (Italien). Für kritische IKT-Drittdienstleister gilt dagegen die EU-weit einheitliche Regelung aus Art. 35 (bis zu 1 % des durchschnittlichen Tagesumsatzes, siehe oben). Neben Bußgeldern verfügt die BaFin über ein breites aufsichtsrechtliches Instrumentarium: Anordnungen zur Mängelbeseitigung, verschärfte Prüfungen und in gravierenden Fällen auch personenbezogene Maßnahmen gegen die Geschäftsleitung nach KWG oder VAG – vergleichbar mit der Geschäftsleitungshaftung, die NIS2 in Art. 20 für andere Sektoren vorsieht.
Verhältnis zu NIS2
DORA ist im Verhältnis zu NIS2 als lex specialis ausgestaltet: Erwägungsgrund 28 der NIS2-Richtlinie stellt klar, dass DORA für den Finanzsektor die spezielleren und mindestens gleichwertigen Regeln enthält. Art. 4 NIS2 sieht vor, dass NIS2-Pflichten zurücktreten, wo sektorspezifisches EU-Recht wie DORA gleichwertige Anforderungen an Risikomanagement und Vorfallmeldung stellt. In der Praxis heißt das: Banken, Versicherer und andere DORA-pflichtige Finanzunternehmen müssen nicht zusätzlich die NIS2-Risikomanagementmaßnahmen nach Art. 21 oder die NIS2-Meldefristen nach Art. 23 erfüllen – DORA ist für sie die maßgebliche Referenz, nicht NIS2. NIS2 bleibt für Finanzunternehmen nur insoweit relevant, wie DORA bestimmte Aspekte nicht abdeckt, etwa manche nationalen Aufsichtsdetails. Wichtig für unsere Nutzer: Unsere NIS2-Vorlagen sind auf §30 BSIG und die NIS2-Anforderungen zugeschnitten – sie ersetzen keine DORA-spezifische Dokumentation wie das Informationsregister oder TLPT-Berichte, auch wenn sich einzelne Prozesse wie die Incident-Response-Grundstruktur inhaltlich ähneln. Mehr zu NIS2 selbst in unserer NIS2-Richtlinie im Überblick, weitere Regulierungen im EU Cyber-Regulierung Wiki.
Praktische nächste Schritte
- Betroffenheit klären: Fällt Ihr Unternehmen unter eine der rund 20 DORA-Finanzunternehmenskategorien?
- Informationsregister aller IKT-Dienstleisterverträge aufbauen oder aktualisieren (Art. 28).
- Prüfen, ob Ihr Institut als „bedeutend" gilt und damit zur Threat-Led Penetration Testing (TLPT) verpflichtet ist.
- Auslagerungsverträge auf DORA-Pflichtklauseln prüfen und bei Bedarf nachverhandeln.
- Testprogramm nach Art. 24-27 aufsetzen: jährliche Basistests für alle Systeme, TLPT-Fähigkeit für bedeutende Institute vorbereiten.
- Bei zusätzlicher NIS2-Berührung (z. B. als Betreiber digitaler Infrastruktur außerhalb des Kerngeschäfts) die Abgrenzung zu DORA mit der Rechtsabteilung oder der BaFin klären.
Häufig gestellte Fragen zu DORA
DORA ist eine Verordnung (Regulation (EU) 2022/2554) und gilt daher seit dem 17. Januar 2025 unmittelbar in allen EU-Mitgliedstaaten, ohne nationales Umsetzungsgesetz.
Rund 20 Kategorien von Finanzunternehmen – u. a. Banken, Versicherer, Wertpapierfirmen, Zahlungsinstitute und Krypto-Dienstleister – sowie als „kritisch" eingestufte IKT-Drittdienstleister.
DORA gilt als lex specialis: Finanzunternehmen im Anwendungsbereich von DORA müssen die NIS2-Risikomanagement- und Meldepflichten nicht zusätzlich erfüllen, da DORA gleichwertige, speziellere Regeln vorsieht (Art. 4 NIS2).
TLPT ist ein realitätsnaher, bedrohungsgestützter Angriffstest auf Live-Produktivsysteme, den als „bedeutend" eingestufte Finanzunternehmen mindestens alle drei Jahre nach dem TIBER-EU-Rahmenwerk durchführen müssen.
Für Finanzunternehmen gibt es keine EU-einheitliche Obergrenze – die Sanktionen richten sich nach nationalem Aufsichtsrecht (in Deutschland über die BaFin). Kritische IKT-Drittdienstleister riskieren dagegen EU-weit einheitliche Zwangsgelder von bis zu 1 % des durchschnittlichen Tagesumsatzes.