Definition
EU-Verordnung zur digitalen operationellen Resilienz im Finanzsektor. Vollständig anwendbar seit 17. Januar 2025. Verpflichtet Banken, Versicherer, Wertpapierfirmen und IT-Drittanbieter zu IKT-Risikomanagement, Vorfallsmeldung, Resilienztests und Lieferantenmanagement. Kritische IT-Drittanbieter unterliegen direkter EU-Aufsicht. Bußgelder bis 1 % des durchschnittlichen Tagesumsatzes. Praktisch das NIS-2-Pendant für regulierte Finanzunternehmen, mit strengeren spezifischen Anforderungen.
In der Praxis
DORA ist das NIS-2-Pendant für den Finanzsektor — als Verordnung unmittelbar geltend und nach der Lex-specialis-Logik des Art. 1 Abs. 2 für Finanzunternehmen vorrangig vor NIS-2. Für Banken, Versicherer und Wertpapierfirmen heißt das: dokumentierter IKT-Risikomanagementrahmen mit jährlicher Überprüfung, gestufte Vorfallsmeldung, Resilienz-Testprogramm bis hin zu bedrohungsorientierten Penetrationstests. In der Praxis sehe ich zwei Lücken am häufigsten: Das Informationsregister über sämtliche IKT-Vertragsvereinbarungen nach Art. 28 Abs. 3 existiert nicht oder verstaubt als Excel-Liste ohne Kritikalitätsbeurteilung, und Ausstiegsstrategien sowie Kündigungsrechte nach Art. 28 Abs. 7 und 8 sind in den Cloud-Verträgen schlicht nicht geregelt. Relevant wird DORA auch für Unternehmen außerhalb der Finanzbranche: Wer als IKT-Drittdienstleister für Finanzunternehmen arbeitet, landet über Art. 2 Abs. 1 lit. u im Anwendungsbereich — und kritische Drittdienstleister unterliegen sogar direkter EU-Aufsicht. Prüfen Sie Verträge mit Finanzkunden auf DORA-Anforderungen, die an Sie durchgereicht werden.
Verwandte Begriffe
Häufige Fragen zu DORA
Wie grenzt sich DORA von NIS-2 ab — gilt für Finanzunternehmen beides?
Nein. DORA ist eine EU-Verordnung und gilt unmittelbar, ohne nationale Umsetzung. Nach Art. 1 Abs. 2 DORA ist die Verordnung der sektorspezifische Rechtsakt der Union für den Finanzsektor im Sinne von NIS-2 — das heißt, wo DORA gilt, tritt sie an die Stelle der entsprechenden NIS-2-Anforderungen (Lex specialis). Der Adressatenkreis des Art. 2 Abs. 1 umfasst zwanzig Gruppen von Finanzunternehmen, von Banken über Versicherer bis zu Zahlungsdienstleistern, und zusätzlich die IKT-Drittdienstleister (lit. u). DORA geht dabei in mehreren Punkten über NIS-2 hinaus, etwa beim verbindlichen Resilienz-Testprogramm und den detaillierten Vertragsanforderungen an IKT-Drittanbieter. Wer beide Regime prüfen muss, startet mit der Frage: Bin ich Finanzunternehmen im Sinne des Art. 2?
Welche Kernpflichten treffen die Geschäftsleitung unter DORA direkt?
DORA zieht die Verantwortung explizit nach oben: Nach Art. 5 trägt das Leitungsorgan die Verantwortung für das IKT-Risikomanagement und muss sich dafür ausreichendes Wissen aneignen — Delegation an die IT-Abteilung allein genügt nicht (Art. 5 Abs. 2 und 4 DORA). Operativ konkretisiert sich das über Art. 6: Das Unternehmen braucht einen dokumentierten IKT-Risikomanagementrahmen, der mindestens jährlich überprüft wird (Art. 6 Abs. 1 und 5). Dazu kommen die gestufte Meldung schwerwiegender IKT-Vorfälle mit Erst-, Zwischen- und Abschlussmeldung (Art. 19 Abs. 4) sowie die Pflicht zu IKT-Geschäftsfortführungsplänen mit mindestens jährlichem Test (Art. 11 Abs. 6 lit. a). Die Parallele zum BSIG n.F. ist kein Zufall — beide Regime verankern Cybersicherheit als Aufgabe der obersten Leitung.
Was müssen wir bei unseren IKT-Verträgen und Drittanbietern konkret tun?
Beginnen Sie mit dem Informationsregister: Art. 28 Abs. 3 DORA verlangt eine vollständige, aktuelle Dokumentation aller Vertragsvereinbarungen über IKT-Dienstleistungen — für viele Unternehmen allein das schon ein Kraftakt, weil Cloud- und SaaS-Verträge über Fachabteilungen verstreut sind. Vor jedem Neuabschluss sind Kritikalitätsbeurteilung und Sorgfaltsprüfung des Anbieters Pflicht (Art. 28 Abs. 4). Vertraglich müssen Kündigungsrechte und Ausstiegsstrategien geregelt sein (Art. 28 Abs. 7 und 8) — also die Frage, wie Sie Daten und Dienste im Ernstfall zu einem anderen Anbieter oder zurück in die eigene Infrastruktur bekommen. Prüfen Sie bestehende Verträge auf diese Bausteine und priorisieren Sie die Nachverhandlung bei kritischen Dienstleistern.