DORA-Verordnung: Pflichten, Informationsregister und Meldefristen

Was ist DORA?

Die DORA-Verordnung, der Digital Operational Resilience Act, ist die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor. Sie regelt EU-weit einheitlich, wie Finanzunternehmen mit Risiken aus ihrer Informations- und Kommunikationstechnologie (IKT) umgehen. Zuvor waren diese Anforderungen über sektorale Regeln und nationale Rundschreiben verteilt.

Als Verordnung gilt DORA unmittelbar in allen Mitgliedstaaten, ohne Umsetzung in nationales Recht. Die begleitende Richtlinie (EU) 2022/2556 passt die bestehenden Finanzmarktrichtlinien an. Die Einzelheiten regeln technische Standards: Erarbeitet haben sie die Europäischen Aufsichtsbehörden EBA, EIOPA und ESMA (ESAs), erlassen hat sie die EU-Kommission.

Für wen gilt DORA?

DORA erfasst 20 Arten von Finanzunternehmen (Art. 2 Abs. 1 und 2):

• Kreditinstitute, Zahlungsinstitute, Kontoinformationsdienstleister und E-Geld-Institute
• Wertpapierfirmen, Anbieter von Krypto-Dienstleistungen und Emittenten wertreferenzierter Token
• Zentralverwahrer, zentrale Gegenparteien, Handelsplätze, Transaktionsregister und Datenbereitstellungsdienste
• Verwalter alternativer Investmentfonds und Verwaltungsgesellschaften
• Versicherungs- und Rückversicherungsunternehmen, Versicherungsvermittler und Einrichtungen der betrieblichen Altersversorgung
• Ratingagenturen, Administratoren kritischer Referenzwerte, Schwarmfinanzierungsdienstleister und Verbriefungsregister

Ausgenommen sind unter anderem Versicherungsvermittler, die Kleinstunternehmen oder kleine und mittlere Unternehmen sind, sowie Einrichtungen der betrieblichen Altersversorgung mit insgesamt weniger als 15 Versorgungsanwärtern (Art. 2 Abs. 3). In Deutschland ist die BaFin zuständig. Sie schätzte 2024, dass mehr als 3.600 Unternehmen DORA anwenden müssen.

Auch IKT-Drittdienstleister wie Cloud-Anbieter, Rechenzentren oder Softwarehäuser erfasst DORA, die meisten aber nur über ihre Kunden: Finanzunternehmen müssen mit ihnen bestimmte Vertragsinhalte vereinbaren und sie überwachen.

Das IKT-Risikomanagement muss in einem angemessenen Verhältnis zu Größe und Gesamtrisikoprofil sowie zu Art, Umfang und Komplexität der Geschäfte stehen (Art. 4). Für die übrigen Pflichten gilt das nur, soweit die jeweiligen Vorschriften es ausdrücklich vorsehen. Kleine und nicht verflochtene Wertpapierfirmen, ausgenommene Zahlungs- und E-Geld-Institute, bestimmte nach der Bankenrichtlinie ausgenommene Institute und kleine Einrichtungen der betrieblichen Altersversorgung wenden einen vereinfachten IKT-Risikomanagementrahmen an (Art. 16).

Die fünf Säulen von DORA

Inhaltlich gliedert sich DORA in fünf Bereiche, die den Kapiteln II bis VI der Verordnung entsprechen:

• IKT-Risikomanagement (Art. 5 bis 16): Finanzunternehmen brauchen einen dokumentierten Rahmen, den sie mindestens einmal jährlich und nach schwerwiegenden IKT-Vorfällen überprüfen. Die letztendliche Verantwortung trägt das Leitungsorgan, dessen Mitglieder sich regelmäßig schulen müssen. Einzelheiten regelt die Delegierte Verordnung (EU) 2024/1774.
• Behandlung, Klassifizierung und Meldung IKT-bezogener Vorfälle (Art. 17 bis 23): Vorfälle werden erfasst und klassifiziert, schwerwiegende der Aufsicht gemeldet.
• Testen der digitalen operationalen Resilienz (Art. 24 bis 27): Ein Testprogramm umfasst etwa Schwachstellenscans, szenariobasierte Tests und Quellcodeprüfungen. Von der Aufsicht ausgewählte Unternehmen führen mindestens alle drei Jahre bedrohungsorientierte Penetrationstests (Threat-Led Penetration Testing, TLPT) an ihren produktiven Systemen durch. Die Methodik folgt dem europäischen Rahmenwerk TIBER-EU, in Deutschland umgesetzt als TIBER-DE.
• Management des IKT-Drittparteienrisikos (Art. 28 bis 44): Finanzunternehmen bleiben für zugekaufte IKT-Dienstleistungen voll verantwortlich und brauchen eine Strategie für dieses Risiko.
• Informationsaustausch (Art. 45): Finanzunternehmen dürfen untereinander Erkenntnisse zu Cyberbedrohungen teilen, etwa Angriffsindikatoren. Die Teilnahme ist freiwillig und der Aufsicht mitzuteilen.

Welche DORA-Meldefristen gelten bei IKT-Vorfällen?

Schwerwiegend ist ein Vorfall nach der Delegierten Verordnung (EU) 2024/1772, wenn er kritische Dienste beeinträchtigt und zusätzlich entweder ein erfolgreicher böswilliger und unbefugter Zugriff auf Systeme vorliegt, der zu Datenverlusten führen kann, oder mindestens zwei weitere Schwellenwerte erreicht sind. Sie beziehen sich auf betroffene Kunden, Gegenparteien und Transaktionen, Reputation, Dauer, geografische Ausbreitung, Datenverluste und wirtschaftliche Auswirkungen. Für schwerwiegende Vorfälle schreibt die Delegierte Verordnung (EU) 2025/301 drei Meldungen mit festen Fristen vor.

Wird ein Vorfall erst mehr als 24 Stunden nach Kenntnis als schwerwiegend eingestuft, läuft die Vierstundenfrist ab der Einstufung. Ändert sich der Status nach der Zwischenmeldung, folgen unverzüglich aktualisierte Zwischenmeldungen, spätestens sobald der reguläre Geschäftsbetrieb wieder aufgenommen ist. Wer eine Frist nicht einhalten kann, muss das der Behörde innerhalb dieser Frist mit Begründung mitteilen.

Fällt eine Frist auf ein Wochenende oder einen Feiertag, genügt die Meldung bis 12 Uhr des nächsten Arbeitstags. Kreditinstitute, zentrale Gegenparteien, Betreiber von Handelsplätzen und nach der NIS-2-Richtlinie wesentliche oder wichtige Einrichtungen dürfen das nur für die Abschlussmeldung nutzen. Die Aufsicht kann diese Einschränkung auch anderen bedeutenden oder systemrelevanten Finanzunternehmen auferlegen. Die Meldung darf an einen Dienstleister ausgelagert werden, die Verantwortung bleibt beim Finanzunternehmen (Art. 19 Abs. 5).

In Deutschland gehen die Meldungen über die Melde- und Veröffentlichungsplattform (MVP) an die BaFin. Bedeutende Kreditinstitute melden ebenfalls dorthin, die BaFin leitet ihre Meldungen an die EZB weiter. Die BaFin hat die 733 IKT-Vorfälle ausgewertet, die ihr für 2025 gemeldet wurden. Rund die Hälfte ging auf Dritte zurück, oft auf Dienstleister. Rund 40 % der Angriffe zielten nicht auf das Finanzunternehmen selbst, sondern auf einen seiner Dienstleister.

Was gehört ins DORA-Informationsregister?

Das Informationsregister (Art. 28 Abs. 3) erfasst alle vertraglichen Vereinbarungen über IKT-Dienstleistungen von Drittdienstleistern, auf Ebene des einzelnen Unternehmens und bei Gruppen auch auf teilkonsolidierter und konsolidierter Ebene. Verträge über Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, sind gesondert auszuweisen. Kritisch oder wichtig ist eine Funktion, deren Ausfall die finanzielle Leistungsfähigkeit, die Solidität oder die Fortführung der Geschäfte erheblich beeinträchtigen würde oder die Einhaltung der Zulassungsbedingungen und aufsichtsrechtlichen Pflichten gefährden würde (Art. 3 Nr. 22).

Aufbau und Inhalt legt die Durchführungsverordnung (EU) 2024/2956 in Standardvorlagen fest. Für jeden Dienstleister verlangt sie unter anderem:

• eine gültige und aktive Rechtsträgerkennung (LEI) oder die europäische einheitliche Kennung (EUID) aus dem Handelsregister; liegen beide vor, beide
• die offizielle Bezeichnung, wie sie im Register des Sitzlandes eingetragen ist
• das Land der weltweiten Hauptverwaltung
• die Kennung des obersten Mutterunternehmens, bei Dienstleistern ohne Gruppe die eigene

Dienstleister mit Sitz außerhalb der EU werden nur über die LEI identifiziert. Auch Unterauftragnehmer, die kritische oder wichtige Funktionen unterstützen, brauchen LEI oder EUID. Ausgenommen sind natürliche Personen, die als Unternehmer handeln. Über die Kennung des obersten Mutterunternehmens lassen sich Verträge mit verschiedenen Gesellschaften einer Gruppe zusammenführen, etwa um Konzentrationsrisiken zu erkennen.

Finanzunternehmen reichen das Register jährlich ein, mit Stand 31. Dezember des Vorjahres; in Deutschland über die MVP der BaFin. Die Aufsichtsbehörden leiten die Register bis zum 31. März an die ESAs weiter.

Kritische IKT-Drittdienstleister und ihre Überwachung

Aus den Informationsregistern ermitteln die ESAs gemeinsam mit den nationalen Aufsichtsbehörden, welche IKT-Drittdienstleister für den Finanzsektor kritisch sind (Art. 31). Maßgeblich ist vor allem, wie sich ein umfassender Ausfall auf die Finanzdienstleistungen auswirken würde, wie viele und wie bedeutende Finanzunternehmen auf den Dienstleister angewiesen sind und wie leicht er sich ersetzen lässt.

Die erste Liste der ESAs umfasst 19 Dienstleister: Accenture, Amazon Web Services EMEA, Bloomberg, Capgemini, Colt Technology Services, Deutsche Telekom, Equinix (EMEA), Fidelity National Information Services (FIS), Google Cloud EMEA, IBM, InterXion HeadQuarters, Kyndryl, LSEG Data and Risk, Microsoft Ireland Operations, NTT DATA, Oracle Nederland, Orange, SAP und Tata Consultancy Services.

Jeden kritischen Dienstleister überwacht eine federführende Überwachungsbehörde. Das ist die ESA, deren beaufsichtigte Finanzunternehmen zusammen den größten Teil der Bilanzsumme aller Kunden des Dienstleisters ausmachen. Sie kann Informationen anfordern, Untersuchungen und Inspektionen durchführen und Empfehlungen aussprechen. Liefert ein Dienstleister angeforderte Informationen oder Berichte nicht oder lässt er Untersuchungen und Inspektionen nicht zu, verhängt sie frühestens 30 Tage nach Mitteilung der Maßnahmen ein Zwangsgeld von bis zu 1 % seines durchschnittlichen weltweiten Tagesumsatzes im Vorjahr. Es fällt täglich an, höchstens sechs Monate lang (Art. 35).

IKT-Drittdienstleister vor Vertragsschluss prüfen

Vor jedem Vertrag über IKT-Dienstleistungen müssen Finanzunternehmen die Risiken bewerten und den Dienstleister mit der gebotenen Sorgfalt prüfen (Art. 28 Abs. 4). Für Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, konkretisiert die Delegierte Verordnung (EU) 2024/1773 diese Prüfung (Art. 6). Zu prüfen ist unter anderem, ob er

• über eine ausreichende geschäftliche Reputation sowie angemessene finanzielle, personelle und technische Ressourcen verfügt
• eine angemessene Organisationsstruktur, ein Risikomanagement und interne Kontrollen hat
• die erforderlichen Zulassungen oder Registrierungen besitzt
• Unterauftragnehmer für kritische oder wichtige Funktionen einsetzt
• in einem Drittstaat sitzt oder dort Daten verarbeitet und dadurch etwa von Embargos und Sanktionen betroffen sein kann

In der Praxis ähnelt das einer Due-Diligence-Prüfung von Geschäftspartnern. Registerdaten, Gesellschafterstruktur und Jahresabschlüsse zeigen, wer hinter einem Dienstleister steht und wie solide er finanziert ist. Ein Abgleich mit Sanktionslisten ergibt, ob der Dienstleister oder seine Eigentümer gelistet sind.

Validatis liefert diese Daten aus Primärquellen als Datenlieferung direkt in Ihre Systeme.

DORA in Deutschland: BaFin, FinmadiG und Bußgelder

Das Finanzmarktdigitalisierungsgesetz (FinmadiG, BGBl. 2024 I Nr. 438) passt das deutsche Aufsichtsrecht an DORA an. Es erstreckt DORA auch auf Institute nach dem Kreditwesengesetz (KWG), die nicht unter Art. 2 fallen, vor allem Bürgschaftsbanken, Finanzierungsleasing- und Factoringinstitute sowie Drittstaatenzweigstellen. Für sie gelten die Vorgaben zu IKT-Vorfällen (Kapitel III) seit dem 17. Januar 2025, die übrigen Anforderungen ab dem 1. Januar 2027, mit vereinfachtem IKT-Risikomanagement nach Art. 16, ohne TLPT und für Kleinstunternehmen ohne die Vorgaben zum IKT-Drittparteienrisiko (Art. 28 bis 30) (§ 1a Abs. 2a und § 65a Abs. 3 KWG).

Die BaFin hat ihre IT-Rundschreiben KAIT, VAIT und ZAIT mit Ablauf des 16. Januar 2025 aufgehoben, die BAIT folgen mit Ablauf des 31. Dezember 2026. Bis dahin gelten die BAIT nur für Institute, die noch kein IKT-Risikomanagement nach DORA betreiben müssen.

Verstöße sind bußgeldbewehrt. Ein Institut nach dem KWG, das Vorfälle nicht rechtzeitig oder unvollständig meldet oder einen TLPT nicht durchführt, riskiert eine Geldbuße bis zu 5 Millionen Euro. Für Verstöße gegen die jährliche Berichtspflicht über IKT-Verträge sind es bis zu 500.000 Euro (§ 56 Abs. 5e und 6 KWG). Für andere Finanzunternehmen gelten die Bußgeldvorschriften ihrer jeweiligen Aufsichtsgesetze.

Wie verhält sich DORA zu NIS2?

Die NIS-2-Richtlinie (EU) 2022/2555 regelt die Cybersicherheit wesentlicher und wichtiger Einrichtungen in vielen Sektoren, darunter das Finanzwesen. Für Finanzunternehmen, die danach als wesentliche oder wichtige Einrichtungen gelten, ist DORA ein sektorspezifischer Rechtsakt im Sinne von Art. 4 NIS2 (Art. 1 Abs. 2 DORA). Die entsprechenden Vorschriften von NIS2 zu Risikomanagement, Meldepflichten sowie Aufsicht und Durchsetzung finden auf sie keine Anwendung.

Häufige Fragen zu DORA

Müssen Verträge mit IKT-Drittdienstleistern angepasst werden?

Ja, wenn sie die Mindestinhalte nach Art. 30 nicht enthalten. Dazu gehören eine vollständige Beschreibung der Leistungen, die Standorte der Datenverarbeitung, der Zugang zu den Daten bei Insolvenz des Dienstleisters, Unterstützung bei IKT-Vorfällen, die Zusammenarbeit mit den Behörden und Kündigungsrechte. Verträge über kritische oder wichtige Funktionen brauchen zusätzlich genaue Leistungsziele, Notfallpläne, die Mitwirkung an TLPT sowie uneingeschränkte Zugangs-, Inspektions- und Auditrechte.

Was gilt für Kleinstunternehmen?

Kleinstunternehmen sind Finanzunternehmen mit weniger als zehn Beschäftigten und höchstens 2 Millionen Euro Jahresumsatz oder Bilanzsumme. Handelsplätze, zentrale Gegenparteien, Transaktionsregister und Zentralverwahrer zählen nie dazu (Art. 3 Nr. 60). Kleinstunternehmen überprüfen ihren IKT-Risikomanagementrahmen regelmäßig statt jährlich und testen risikobasiert ohne eigenes Testprogramm (Art. 24 Abs. 1, Art. 25 Abs. 3). Eine Strategie für das IKT-Drittparteienrisiko brauchen sie nicht.

Plant die EU Änderungen an DORA?

Die Kommission überprüft die Verordnung nach Art. 58, unter anderem die Kriterien für die Einstufung kritischer IKT-Drittdienstleister und die Freiwilligkeit der Meldung von Cyberbedrohungen. Außerdem hat sie im November 2025 mit dem Digital Omnibus vorgeschlagen, Meldungen nach DORA, NIS2, der DSGVO und weiteren Rechtsakten über eine zentrale Anlaufstelle abzuwickeln. Der Vorschlag ist noch nicht beschlossen (Stand: Oktober 2026); bis dahin gelten die bestehenden Meldewege.