Was ist DORA und seit wann gilt sie
Die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor, kurz DORA, legt einheitliche Anforderungen an die Sicherheit von Netz- und Informationssystemen im EU-Finanzsektor fest. Sie gilt seit dem 17. Januar 2025. Als Verordnung gilt sie unmittelbar, ohne Umsetzung in nationales Recht. Einzelheiten regeln technische Regulierungs- und Durchführungsstandards (RTS und ITS), die die Europäischen Aufsichtsbehörden EBA, EIOPA und ESMA erarbeitet haben.
Ziel der Verordnung ist, dass ein Finanzunternehmen IKT-Störungen übersteht, darauf reagiert und sich davon erholt, ganz gleich, ob ein Cyberangriff, ein Systemausfall oder der Ausfall eines Dienstleisters sie verursacht. Die Verantwortung dafür trägt das Leitungsorgan, nicht nur die IT-Abteilung.
Ob und wie DORA für Sie gilt, prüfen Sie schnell mit dem Tool auf dieser Seite. Im Folgenden fassen wir die wichtigsten Anforderungen zusammen.
Für wen gilt DORA
Artikel 2 der Verordnung nennt mehr als zwanzig Arten von Finanzunternehmen. Dazu gehören Kreditinstitute, Zahlungsinstitute und E-Geld-Institute, Wertpapierfirmen, Verwaltungsgesellschaften und Verwalter alternativer Investmentfonds, Versicherungs- und Rückversicherungsunternehmen, Versicherungsvermittler, Einrichtungen der betrieblichen Altersversorgung, Anbieter von Krypto-Dienstleistungen, Finanzmarktinfrastrukturen (Handelsplätze, Zentralverwahrer, zentrale Gegenparteien) sowie Ratingagenturen. Für einige kleinere Unternehmen, zum Beispiel kleinere Versicherungsvermittler, gelten Ausnahmen.
Die Pflichten stehen im Verhältnis zu Größe, Art und Risikoprofil des Unternehmens (Artikel 4). Einige kleinere Unternehmen, zum Beispiel kleine und nicht verflochtene Wertpapierfirmen sowie ausgenommene Zahlungsinstitute und E-Geld-Institute, wenden statt der Artikel 5 bis 15 den vereinfachten Rahmen nach Artikel 16 an. Erleichterungen gelten auch für Kleinstunternehmen.
Eine besondere Rolle spielen IKT-Drittdienstleister: Cloud, Rechenzentren, Managed-IT- und Sicherheitsdienste, Software. Sie sind keine Finanzunternehmen, doch DORA betrifft sie über die Verträge mit ihren Kunden. Anbieter, die für das Finanzsystem von entscheidender Bedeutung sind, stufen die Europäischen Aufsichtsbehörden als kritisch ein (CTPP) und beaufsichtigen sie unmittelbar.
Welche Behörde zuständig ist, hängt von der Art des Unternehmens ab: In Deutschland ist es in der Regel die BaFin (teils in Zusammenarbeit mit der Deutschen Bundesbank), in Österreich die FMA (teils in Zusammenarbeit mit der Oesterreichischen Nationalbank). Im Zweifel klären Sie die Zuständigkeit direkt mit der Aufsicht.
Die fünf Säulen von DORA
Die Anforderungen der Verordnung werden üblicherweise in fünf Säulen zusammengefasst. Auf denselben Säulen beruht auch die Bewertung im Tool.
| Säule | Artikel | Zentrale Anforderungen |
|---|---|---|
| IKT-Risikomanagement | 5 bis 16 | Rahmen, den das Leitungsorgan billigt und überwacht; Inventar der Werte und Abhängigkeiten; Schutz, Erkennung, Reaktion und Wiederherstellung; Richtlinie zur IKT-Geschäftsfortführung und zu Backups |
| IKT-Vorfälle | 17 bis 23 | Verfahren für das Vorfallsmanagement; Klassifizierung nach einheitlichen Kriterien; Meldung schwerwiegender Vorfälle an die zuständige Behörde; Information der Kunden |
| Resilienztests | 24 bis 27 | risikobasiertes Testprogramm; mindestens jährliche Tests der Systeme, die kritische oder wichtige Funktionen unterstützen; TLPT mindestens alle drei Jahre für Unternehmen, die die Behörde bestimmt |
| Risiken durch IKT-Drittanbieter | 28 bis 30 | Strategie und Richtlinie für Drittanbieterrisiken; Informationsregister; Bewertung des Konzentrationsrisikos; verbindliche Vertragsbestimmungen; Ausstiegsstrategien |
| Informationsaustausch | 45 | freiwilliger Austausch von Informationen zu Cyberbedrohungen zwischen Finanzunternehmen; Mitteilung an die zuständige Behörde über die Teilnahme |
Beim Risikomanagement ist entscheidend, dass auch die Wiederherstellungspläne dokumentiert und getestet sind. RTO- und RPO-Ziele müssen sich aus der Kritikalität der Geschäftsfunktionen ableiten, nicht aus der Leistungsfähigkeit der vorhandenen Geräte. Wie Sie sie festlegen und durchrechnen, zeigt der Leitfaden Backup: RPO und RTO.
Meldung schwerwiegender Vorfälle
Ein Finanzunternehmen muss alle IKT-bezogenen Vorfälle erfassen und nach den Kriterien der Delegierten Verordnung (EU) 2024/1772 klassifizieren, zum Beispiel nach Zahl der betroffenen Kunden, Dauer, geografischer Ausbreitung, Datenverlust, Kritikalität der Dienste und wirtschaftlichen Auswirkungen. Erreicht ein Vorfall die Schwelle eines schwerwiegenden Vorfalls, beginnen die Fristen für die Meldung an die zuständige Behörde zu laufen. Die Fristen legt die Delegierte Verordnung (EU) 2025/301 fest.
| Meldung | Frist | Inhalt in Kürze |
|---|---|---|
| Erstmeldung | innerhalb von 4 Stunden nach Einstufung des Vorfalls als schwerwiegend, spätestens jedoch innerhalb von 24 Stunden ab dem Zeitpunkt, zu dem das Unternehmen von dem Vorfall Kenntnis erlangt hat | Grunddaten zum Vorfall und erste Einschätzung der Auswirkungen |
| Zwischenbericht | innerhalb von 72 Stunden nach der Erstmeldung; Aktualisierungen bei wesentlichen Änderungen | ausführlichere Beschreibung, Ursachen, Auswirkungen und getroffene Maßnahmen |
| Abschlussbericht | spätestens einen Monat nach dem letzten Zwischenbericht | Ursachenanalyse, tatsächliche Auswirkungen und dauerhafte Maßnahmen |
Für einige Unternehmen gelten Sonderregeln, wenn eine Frist auf ein Wochenende oder einen Feiertag fällt. Prüfen Sie die genauen Bedingungen in der Verordnung und bei Ihrer Aufsicht. Da die Fristen in Stunden gemessen werden, ist die Meldung nur mit Erkennung rund um die Uhr, vorab festgelegten Rollen und vorbereiteten Vorlagen machbar. Bedeutende Cyberbedrohungen kann ein Unternehmen der zuständigen Behörde auch freiwillig melden.
IKT-Anbieter, Informationsregister und Ausstiegsstrategien
Die Säule der Drittanbieter verlangt in der Praxis oft den größten Aufwand. Das Finanzunternehmen bleibt für die Konformität voll verantwortlich, auch wenn es IKT-Dienste an einen externen Anbieter auslagert.
- Informationsregister. Verzeichnis aller vertraglichen Vereinbarungen für IKT-Dienste mit den verpflichtenden Angaben zu Anbietern, Diensten, Standorten und Unterauftragnehmern. Das Format legt die Durchführungsverordnung (EU) 2024/2956 fest, und die Aufsichtsbehörden erheben das Register regelmäßig.
- Vertragsbestimmungen. Artikel 30 legt den Mindestinhalt der Verträge fest: Beschreibung der Dienste, Orte der Datenverarbeitung, Service Levels, Unterstützung bei Vorfällen, Zusammenarbeit mit Behörden, Kündigungsrechte. Für Dienste, die kritische oder wichtige Funktionen unterstützen, gelten erweiterte Anforderungen, unter anderem Zugangs- und Prüfrechte, Mitwirkung an TLPT und ein Übergangszeitraum beim Ausstieg.
- Ausstiegsstrategien. Für Dienste, die kritische oder wichtige Funktionen unterstützen, muss das Unternehmen eine Ausstiegsstrategie und einen getesteten Plan für den Wechsel zu einem anderen Anbieter oder zurück in die eigene Umgebung haben.
- Konzentrationsrisiko. Das Unternehmen muss bewerten, ob es zu stark von einem einzelnen Anbieter oder von schwer ersetzbaren Diensten abhängt.
Für IKT-Anbieter bedeutet das neue Erwartungen der Kunden: einen DORA-Standardzusatz zu den Verträgen, Daten für das Register, ein vereinbartes Verfahren zur Benachrichtigung über Vorfälle, Nachweise zu Tests und Geschäftsfortführung sowie einen klar definierten Ausstieg.
DORA und NIS2: Was gilt für wen
Die NIS2-Richtlinie wird in Deutschland durch das NIS2UmsuCG und in Österreich durch das NISG 2026 umgesetzt und erfasst unter anderem das Bankwesen und die Finanzmarktinfrastruktur. Für Finanzunternehmen ist DORA die speziellere Regelung (lex specialis), daher erfüllen sie die Anforderungen an IKT-Risikomanagement und Vorfallsmeldung nach DORA. Für IKT-Anbieter können beide Rahmenwerke zugleich gelten.
| Bereich | DORA | NIS2 / NIS2UmsuCG / NISG 2026 |
|---|---|---|
| Rechtsform | Verordnung, gilt unmittelbar | Richtlinie, durch nationales Gesetz umgesetzt |
| Adressaten | Finanzunternehmen; kritische IKT-Anbieter unter EU-Aufsicht | mittlere und große Unternehmen in 18 Sektoren sowie einzelne unabhängig von der Größe |
| Aufsicht in Deutschland und Österreich | BaFin (DE) bzw. FMA (AT), je nach Art des Unternehmens | BSI (DE) bzw. die nach NISG 2026 zuständige Stelle (AT) |
| Meldung von Vorfällen | 4 Stunden nach Einstufung (spätestens 24 Stunden), 72 Stunden, 1 Monat | 24 Stunden, 72 Stunden, 1 Monat |
| Tests | Testprogramm, für bestimmte Unternehmen TLPT | Bewertung der Wirksamkeit der Maßnahmen |
| Lieferkette | Informationsregister, verbindliche Vertragsbestimmungen, Ausstiegsstrategien | Sicherheit der Lieferkette als eine der Maßnahmen |
Wie Sie nach NIS2 eingestuft werden, prüfen Sie im Leitfaden NIS2-Umsetzung: Sind Sie betroffen?.
So beginnen Sie: von der Bewertung zur nachweisbaren Konformität
- Geltungsbereich und Verhältnismäßigkeit. Legen Sie mit dem Tool oben fest, welches Regime für Sie gilt, und bestätigen Sie es mit der Rechtsabteilung oder der Aufsicht.
- Kritische Funktionen. Bestimmen Sie die kritischen oder wichtigen Funktionen sowie die Systeme, Daten und Anbieter, von denen sie abhängen.
- Lückenanalyse. Vergleichen Sie für jede Säule den Ist-Zustand mit den Anforderungen der Verordnung und der technischen Standards und sammeln Sie Nachweise.
- Anbieter und Register. Ergänzen Sie das Informationsregister, prüfen Sie die Verträge nach Artikel 30 und erstellen Sie Ausstiegsstrategien.
- Test in der Praxis. Führen Sie eine Übung zur Vorfallsmeldung, einen Wiederherstellungstest und, wo nötig, die Vorbereitung auf TLPT durch.
Humanfrog unterstützt Finanzunternehmen bei der Erfassung der IKT-Dienste für das Informationsregister, der Erstellung von Ausstiegsstrategien und beim Testen der Resilienz, einschließlich Wiederherstellungstests aus Veeam-Backups in Rechenzentren der Kategorie TIER III. Mit Managed Security Monitoring unterstützen wir die frühzeitige Erkennung von Vorfällen. Als IKT-Dienstleister sind wir bereit, Finanzkunden die Daten und Vertragsbestimmungen zu liefern, die DORA verlangt. Wenn Sie Ihren Ausgangspunkt prüfen möchten, sprechen Sie mit uns.
