Seit dem 17. Januar 2025 gibt es den Digital Operational Resilience Act (DORA) – eine EU-Verordnung, die für ein einheitlich hohes Niveau an digitaler Resilienz im europäischen Finanzsektor sorgen soll. Was zunächst nach einem Spezialthema für Banken klingt, betrifft mittlerweile weit mehr Unternehmen als vermutet. Wer DORA bisher nicht ernst genommen hat, riskiert spürbare Sanktionen und einen Vertrauensverlust bei Kunden und Geschäftspartnern.
Wenn Ihr Unternehmen Finanzgeschäfte durchführt, Versicherungsleistungen erbringt oder mit Finanzdienstleistern als Kunde oder auch Partner kooperiert, hat sich Ihre regulatorische Umgebung im Januar 2025 verändert. Mit dem Digital Operational Resilience Act, kurz DORA, hat die EU erstmals einen einheitlichen, verbindlichen Rahmen für die digitale Resilienz im Finanzsektor erschaffen. Die Verordnung gilt direkt, ohne nationale Implementierung und diese schlägt tief in IT-Strukturen, Policen wie auch Prozesse ein.
Die deutsche Finanzaufsicht BaFin hat 2026 unmissverständlich zur Bewährungsprobe erklärt: Geprüft wird nicht mehr, ob DORA implementiert wurde, sondern wie stringent. Welche Pflichten DORA konkret vorschreibt, wer im Anwendungsbereich liegt wie auch welche Sanktionen folgen, wir liefern Ihnen den systematischen Überblick. Eine maßgebliche Themenseite zur Verordnung und zur Aufsichtspraxis stellt die BaFin zur Verfügung.
DORA: Eine kurze Einordnung
Der Digital Operational Resilience Act, bzw. die Verordnung (EU) 2022/2554, ist seit dem 17. Januar 2025 uneingeschränkt anwendbar. Mit DORA hat die EU erstmals einen einheitlichen Rahmen für IKT-Sicherheit, Cyberresilienz und IT-Risikomanagement im ganzen Finanzsektor geschaffen. Davor galten in jedem Mitgliedsstaat unterschiedliche Vorgaben, in Deutschland etwa die Bankaufsichtlichen Anforderungen an die IT (BAIT) oder die Versicherungsaufsichtlichen Bedingungen an die IT (VAIT).
Der Grundgedanke ist simpel: Finanzunternehmen sollen digitale Probleme, Cyberangriffe und Ausfälle nicht bloß verhindern, sondern ebenso dann funktionsfähig bleiben, wenn etwas schiefläuft. Es geht demzufolge nicht mehr bloß um Prävention, sondern klar und deutlich um Widerstandsfähigkeit, die Fertigkeit, Vorfälle zu identifizieren, einzudämmen, zu bewältigen und flott wieder in den Normalbetrieb zurückzukehren. Diesen Vorgang fasst die englische Begrifflichkeit „operational resilience“ treffend zusammen.
Wichtig zu wissen: DORA erneuert in Deutschland weitgehend die bisherigen sektoralen IT-Aufsichtsregeln. Wer als Bank, Versicherer oder Wertpapierfirma bisher nach BAIT oder VAIT gearbeitet hat, muss heute DORA-standardisiert sein. Übergangsfristen für einzelne restliche Institutsgruppen laufen zum Ablauf von 2026 endgültig aus.
Wen DORA in die Pflicht nimmt
Der Anwendungsbereich von DORA ist weitreichend und das verwundert viele Verantwortliche. Direkt erfasst sind nahezu alle beaufsichtigten Finanzunternehmen im EU-Raum, hierunter:
- Banken und Kreditinstitute jeder Größenordnung
- Versicherungs- und Rückversicherungsunternehmen
- Wertpapierfirmen, Investmentgesellschaften und Kapitalverwalter
- Zahlungsdienstleister sowie E-Geld-Institute
- Krypto-Asset-Dienstleister, Crowdfunding-Plattformen und Handelsplätze
- Zentralverwahrer, Transaktionsregister und Datenbereitstellungsdienste
Damit fallen auch zahlreiche mittelständische Akteure unter die Richtlinie, zum Beispiel kleinere Volks- und Raiffeisenbanken, regionale Versicherer wie auch Fintech-Startups. Ausnahmen gelten nur für sogenannte Kleinstunternehmen mit weniger als zehn Beschäftigten und einer Bilanzsumme oder einem Jahresumsatz unter zwei Mio Euro.
Ebenso gewichtig ist die zweite Fallgestaltung: Diese können ebenso dann von DORA betroffen sein, wenn Sie selbst kein Finanzunternehmen sind, aber als Businesspartner oder Anbieter einer Dienstleistung für Finanzunternehmen tätig sind. Im DORA-Sprachgebrauch heißen jene Akteure „IKT-Drittdienstleister“. Gemeint sind alle Anbieter von digitalen Services, die Finanzunternehmen begleiten, vom riesigen Cloud-Dienstleister über Rechenzentrumsbetreiber bis hin zu Software-Häusern und IT-Experten. Der Bankenverband trifft es auf den Punkt: DORA betrifft „auch bestimmte IT-Dienstleister, die mit diesen Unternehmen zusammenarbeiten“.
In der Realität heißt das: Ihre Bestandsverträge mit Finanzkunden werden überarbeitet, Audit-Rechte des Klienten werden erweitert, Service Level Agreements strenger gefasst, Berichtspflichten konkretisiert. Wer bisher mit schlanken Standardverträgen gewerkelt hat, wird Anpassungen vornehmen müssen.
Die fünf Säulen von DORA
DORA strukturiert sich in fünf zentrale Pflichtenbereiche, die zusammen das Fundament der Verordnung bilden:
- IKT-Risikomanagement: Finanzunternehmen müssen einen umfassenden Governance- sowie Kontrollrahmen aufbauen, der IT-Gefahren strukturiert identifiziert, bewertet und steuert. Die Geschäftsleitung trägt explizit die Gesamtverantwortung – eine Delegation an den IT-Leiter reicht nicht mehr aus.
- IKT-Vorfallsmanagement und Meldepflichten: Schwerwiegende Vorfälle müssen innerhalb von 24 Stunden nach Feststellung an die Aufsicht gemeldet werden, eine Erstklassifizierung sogar innerhalb von vier Stunden. Innerhalb von 72 Stunden folgt eine Zwischenmeldung, nach einem Monat der Abschlussbericht.
- Resilienz-Tests: Wiederkehrende technische Prüfungen sind obligatorisch. Penetrationstests an Live-Systemen sind mindestens alle drei Jahre vorgesehen, für systemrelevante Institute obendrein sogenannte Threat-Led Penetration Tests (TLPT).
- Drittparteienrisikomanagement: Jeder Vertrag mit einem IKT-Dienstleister muss erfasst, bewertet und in einem Informationsregister dokumentiert werden. Dieses Register ist jedes Jahr an die BaFin zu melden – 2026 erfolgte die Einreichung zwischen dem 9. und 30. März.
- Informationsaustausch: Finanzunternehmen sollen Erkenntnisse zu Cyberbedrohungen aktiv mit anderen Marktteilnehmern teilen, um die kollektive Abwehrfähigkeit zu stärken.
Vor allem das Informationsregister erweist sich zu einer Herausforderung in der Praxis. Es muss die vollständige Subunternehmer-Kette abbilden, Datenstandorte ausweisen und Exit-Strategien dokumentieren, ein Detaillierungsgrad, der vielen Firmen im ersten Anlauf große Mühe bereitet hat. Ergänzende FAQ zum Drittparteienrisikomanagement stellt die BaFin laufend aktualisiert bereit.
Wenn DORA nicht eingehalten wird
Die Sanktionen unter DORA sind kein theoretisches Konstrukt. Bei Zuwiderhandlungen drohen Finanzunternehmen Bußgelder von bis zu 10 Millionen Euro oder fünf Prozent des jährlichen Gesamtnettoumsatzes (Artikel 50 DORA). Hinzu kommen Zwangsgelder von bis zu 2,5 Mio Euro nach dem deutschen Finanzmarktdigitalisierungsgesetz und, besonders kritisch die persönliche Haftung der Leitungsebene. Vorstände können folglich direkt haftbar gemacht werden.
Für kritische IKT-Drittdienstleister bestehen eigene Schwellen, aber nicht weniger bedeutende: Hier können Bußgelder bis zu einem Prozent des durchschnittlichen tagtäglichen internationalen Umsatzes verhängt werden. Eine zweite Sanktionsebene ist der Imageschaden: Die BaFin macht Verstöße auf ihrer Webseite öffentlich, ein Risiko, das gerade für Unternehmen mit hoher Marktnähe gewaltig ins Gewicht fällt.
Wir sehen in unserer Praxis als IT-Dienstleister immer wieder, dass DORA mehr ist als eine weitere Compliance-Pflicht. Die Richtlinie ist ein Praxistest für die Reife einer IT-Sicherheitsorganisation. Wer DORA pragmatisch umsetzt, gewinnt nicht nur Rechtssicherheit, sondern auch eine stärker organisierte und dokumentierte IT-Landschaft, ein Vorteil, der deutlich über die regulatorische Anforderung hinausgeht.
Fazit zur DORA-Verordnung
DORA ist seit über einem Jahr in Kraft, aber die wirkliche Bewährungsprobe beginnt erst jetzt. Die BaFin hat 2026 zum Zeitpunkt der vertieften Prüfungen erklärt, mit klaren Schwerpunkten beim Informationsregister, beim Vorfalls-Reporting und bei den Resilienz-Analysen. Die Zeit der Schonfrist ist vorbei.
Unsere Empfehlungshaltung: Verstehen Sie DORA nicht als pure Pflichtübung, sondern als Anlass, Ihre IT-Sicherheits- und Vertragsarchitektur einmal grundlegend zu überprüfen. Wer eine Bestandsaufnahme jetzt strukturiert angeht, vermeidet überstürzte Aktionen unter Aufsichtsdruck und gewinnt operative Klarheit, welche sich auch in etlichen anderen Gebieten auszahlt.
Sie sind unsicher, ob und wie DORA Ihr Unternehmen tangiert, oder möchten den Einstieg in die Umsetzung nicht alleine angehen? Kontaktieren Sie uns gerne, als Ihr IT-Dienstleister stehen wir Ihnen mit unserer Expertise bei Erfassung, Konzeption sowie Umsetzung zur Seite.
