DORA

Start › IT-Sicherheit › DORA

Der Digital Operational Resilience Act (DORA, VO (EU) 2022/2554) gilt seit dem 17. Januar 2025 für nahezu alle Finanzunternehmen in der EU. Er regelt IKT-Risikomanagement, Meldung von IKT-Vorfällen, Resilienztests und vor allem die Verträge mit IKT-Dienstleistern. Wir beraten Finanzunternehmen und die IT-Anbieter, die an sie liefern, insbesondere bei Verträgen, Auslagerungen und Vorfällen.

Wer unter DORA fällt

Erfasst sind unter anderem Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Kryptowerte-Dienstleister nach MiCA, Versicherungen, Kapitalverwaltungsgesellschaften und Einrichtungen der betrieblichen Altersversorgung. Kleinere Unternehmen profitieren vom vereinfachten Risikomanagementrahmen nach Art. 16. IKT-Drittdienstleister sind nicht unmittelbar Adressat, spüren DORA aber über die Vertragsanforderungen ihrer Kunden. Für Finanzunternehmen gehen die DORA-Regeln den NIS2-Vorgaben als spezielleres Recht weitgehend vor.

IKT-Risikomanagement und Verantwortung des Leitungsorgans

Das Leitungsorgan trägt die Letztverantwortung für das IKT-Risikomanagement (Art. 5). Es muss den Rahmen genehmigen, Budget bereitstellen, die Strategie für IKT-Drittparteienrisiken beschließen und sich regelmäßig schulen. Inhaltlich verlangt DORA einen dokumentierten Rahmen mit Identifizierung, Schutz, Erkennung, Reaktion und Wiederherstellung sowie Backup- und Kommunikationsrichtlinien. Konkretisiert wird das durch technische Regulierungsstandards (RTS).

Meldung schwerwiegender IKT-Vorfälle an die BaFin

Schwerwiegende IKT-bezogene Vorfälle sind der BaFin über deren Meldeplattform zu melden. Ob ein Vorfall schwerwiegend ist, richtet sich nach den Klassifizierungskriterien der RTS, etwa Zahl der betroffenen Kunden, Dauer, Datenverlust, geografische Ausbreitung, Kritikalität der Dienste und wirtschaftliche Auswirkungen. Die Fristen:

1. Erstmeldung innerhalb von 4 Stunden nach Einstufung als schwerwiegend, spätestens 24 Stunden nach Kenntnis.
2. Zwischenmeldung innerhalb von 72 Stunden nach der Erstmeldung und bei wesentlichen Änderungen.
3. Abschlussmeldung spätestens einen Monat nach der letzten Zwischenmeldung, mit Ursachenanalyse.

Kunden müssen informiert werden, wenn der Vorfall ihre finanziellen Interessen berührt. Personenbezogene Daten lösen zusätzlich die Meldung nach Art. 33 DSGVO aus. Erhebliche Cyberbedrohungen können freiwillig gemeldet werden.

Verträge mit IKT-Dienstleistern nach Art. 30 DORA

Für Kunden aus dem Finanzsektor ist dies der praktisch wichtigste Teil. Jeder Vertrag über IKT-Dienstleistungen muss Mindestinhalte haben, etwa eine klare Leistungsbeschreibung, Standorte der Datenverarbeitung, Regeln zu Verfügbarkeit, Integrität und Vertraulichkeit, Unterstützung bei Vorfällen, Kündigungsrechte und Mitwirkung an Schulungen. Für Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, kommen hinzu: Service Levels mit quantitativen Zielen, Meldepflichten, Notfallpläne, Teilnahme an Tests, unbeschränkte Zugangs-, Inspektions- und Prüfungsrechte sowie Ausstiegsstrategien mit Übergangsfrist.

Unterauslagerungen von IKT-Dienstleistungen für kritische oder wichtige Funktionen sind gesondert geregelt. Viele Standardverträge großer Cloud-Anbieter enthalten inzwischen DORA-Zusätze, die aber im Einzelfall geprüft werden müssen.

Informationsregister und Aufsicht über kritische Anbieter

Finanzunternehmen führen ein Informationsregister über alle vertraglichen Vereinbarungen mit IKT-Dienstleistern und reichen es jährlich bei der BaFin ein; 2026 lief das Meldefenster im März. Auf Grundlage der Register haben die Europäischen Aufsichtsbehörden kritische IKT-Drittdienstleister benannt, die nun unmittelbar beaufsichtigt werden, darunter große Cloud-Anbieter. Für bedeutende Institute kommen bedrohungsorientierte Penetrationstests (TLPT) mindestens alle drei Jahre hinzu.

Typische Mandate

• Gap-Analyse und Nachverhandlung bestehender IT- und Cloud-Verträge nach Art. 30.
• DORA-Anhänge für IT-Dienstleister, die an Banken, Versicherer oder Fintechs liefern.
• Einordnung, ob eine Leistung eine kritische oder wichtige Funktion unterstützt.
• Ausstiegspläne und Exit-Klauseln, Abstimmung mit Data-Act-Wechselregeln.
• Vorfallmanagement, Meldung an die BaFin und Regress gegen Dienstleister.

Häufige Fragen zu DORA

Muss ein IT-Dienstleister DORA umsetzen?

Nicht unmittelbar, außer er wurde als kritischer Drittdienstleister benannt. Seine Kunden müssen aber die Vertragsinhalte des Art. 30 durchsetzen und brauchen dafür seine Mitwirkung.

Was gilt für bestehende Verträge?

DORA gilt seit dem 17. Januar 2025 ohne Bestandsschutz. Altverträge mussten angepasst werden. Wo das noch fehlt, ist es ein Prüfpunkt der Aufsicht.

Gelten DORA und NIS2 nebeneinander?

Für Finanzunternehmen ist DORA das spezielle Regime. Details zur Abgrenzung auf unserer Seite zu NIS2.

Verwandte Themen

• Fintech und MiCA
• IT-Outsourcing
• Cloud Computing
• NIS2
• Mustervertrag SLA
• Cyberangriff und Ransomware