DORA bündelt Vorgaben, die bisher über viele Regelwerke verteilt waren. Für Banken löst die Verordnung die BAIT ab, für Versicherungen die VAIT. Die MaRisk gelten weiter.

DORA betrifft Finanzunternehmen und IKT-Drittdienstleister, zum Beispiel Cloud-Anbieter. Die Verordnung ist am 16. Januar 2023 in Kraft getreten und gilt seit dem 17. Januar 2025.

Was ist DORA?

DORA ist eine EU-Verordnung, die seit dem 17. Januar 2025 in allen Mitgliedstaaten unmittelbar gilt. Ein eigenes deutsches DORA-Gesetz braucht es dafür nicht. Das Finanzmarktdigitalisierungsgesetz passt das deutsche Recht an die Verordnung an und bezieht ab dem 1. Januar 2027 weitere Institute ein.

Die digitale Betriebsstabilität ist die Fähigkeit von Finanzunternehmen, operative Systeme mit IT-Technologie aufzubauen, zu gewährleisten und zu überprüfen. Eine Vielfalt an IKT-Kompetenzen wird sichergestellt, indem Dienste von Drittanbietern direkt oder indirekt genutzt werden. Die Qualifikationen sind erforderlich, um die ausreichende Sicherheit der eingesetzten Netz- und Informationssysteme zu ermöglichen und die störungsfreie Erbringung von Finanzdienstleistungen zu unterstützen. Informations- und Kommunikationstechnologien (IKT) dürfen nicht durch betriebliche Störungen wie Cyberangriffe oder technische Ausfälle gefährdet werden. Deshalb sollten Finanzunternehmen auf alle denkbaren Beeinträchtigungen und Bedrohungen in der IT vorbereitet sein, um Zwischenfälle zu überstehen. Den vollständigen Verordnungstext von DORA veröffentlicht die EU auf EUR-Lex.

Warum ist DORA wichtig?

Die Gefährdungslage im Cyberraum bleibt hoch, wie der jährliche Lagebericht des BSI zeigt. Wie stark der Finanzsektor betroffen ist, zeigt die erste Auswertung der Meldungen unter DORA: 2025 meldeten Finanzunternehmen der BaFin 733 IKT-Vorfälle, rund 1.200 Unternehmen waren von mindestens einem Vorfall betroffen. Die Hälfte der Vorfälle hatte ihre Ursache bei Dritten, oft bei Dienstleistern. Ein solcher übergreifender Vorfall führte im Schnitt bei 39 Finanzunternehmen zu Störungen. Rund 11 Prozent waren erfolgreiche Cyberangriffe, die Zahl der abgewehrten Versuche liegt deutlich höher. So steht es in der Analyse der BaFin zu den IKT-Vorfällen 2025.

Solche Vorfälle passieren nicht nur in Deutschland, sondern in allen EU-Ländern. Aufgrund der engen Verflechtungen der europäischen Finanzwelt braucht es einheitliche Vorschriften zur Stärkung der IKT-Sicherheit hinsichtlich der digitalen Betriebsstabilität. Vor DORA gab es nur nationale Regularien und Überwachungskonzepte. Einige Länder regelten Prozesse und Maßnahmen per Vorschrift verpflichtend, die in anderen Ländern freiwillig waren. Zudem galten unterschiedliche Maßstäbe für Berichte und Definitionen. Das erschwerte die länderübergreifende Zusammenarbeit und führte zu Überschneidungen, mangelnden Übereinstimmungen oder Doppelanforderungen bei der Aufrechterhaltung der Betriebsstabilität und IKT-Sicherheit.

Welche Ziele hat der Rechtsakt?

Mit dem Digital Operational Resilience Act hat die Europäische Union (EU) die Regeln für die digitale Betriebsstabilität im Finanzsektor vereinheitlicht. Ziel ist, den Schutz der Unternehmen aus der Branche zu erhöhen. DORA bündelt das Sammelsurium verschiedener Rechtsvorschriften zur IT-Sicherheit in einem Rechtsakt. Das verbessert das IKT-Risikomanagement der Finanzunternehmen und begrenzt die negativen Folgen von IKT-Vorfällen.

Die Prüfungspflicht für IKT-Systeme macht den Überwachungsorganen die Gefahr von Cyberrisiken und IKT-Vorfällen bewusst. DORA stattet die europäischen Finanzaufsichtsbehörden, etwa die Europäische Bankenaufsichtsbehörde (EBA), mit einer einheitlichen Verantwortung und umfassenden Befugnissen aus. So können sie die Risiken überwachen, die aus der Abhängigkeit der Finanzunternehmen von IKT-Drittdienstleistern entstehen. Die Verordnung schafft identische Rahmenbedingungen für den gesamten Finanzsektor. Geltende Standards und Praktiken minimieren die Risiken. Damit stärkt DORA die Wettbewerbsfähigkeit und Innovation des europäischen Finanzsektors und reduziert zugleich potenzielle Risiken.

Die drei Kernziele von DORA:

  1. Vereinheitlichung bestehender europäischer und nationaler Standards und Vorgaben, um doppelte Anforderungen und uneinheitliche Regelungen für europaweit tätige Finanzunternehmen zu beenden.

  2. Sicherstellung, dass Finanzunternehmen alle notwendigen Maßnahmen zur Absicherung gegen Cyberrisiken und -angriffe treffen. Dazu formuliert DORA einheitliche Anforderungen für das IT-Risikomanagement, Meldungen von Vorfällen an die Aufsichtsbehörden, die Durchführung von Belastbarkeitstests sowie die Steuerung und Überwachung von IKT-Drittdienstleistern.

  3. Etablierung eines Rechtsrahmens für die direkte Überwachung von IT-Drittdienstleistern durch die Aufsichtsbehörden, wenn diese für Finanzunternehmen tätig sind.

Wen betrifft DORA?

Die Regelungen gelten für alle regulierten Finanzunternehmen in den Mitgliedsstaaten der EU gleichermaßen.

Der Geltungsbereich umfasst nach Artikel 2 (1) folgende Beteiligte:

  • Finanzunternehmen wie Kredit- und Zahlungsinstitute, E-Geld-Institute, Wertpapierfirmen, Anbieter von Krypto-Dienstleistungen, Verwaltungsgesellschaften, Handelsplätze, verschiedene Register, Versicherungsunternehmen und -vermittler, Ratingagenturen, Wirtschaftsprüfungsgesellschaften und weitere.

  • IKT-Drittdienstleister wie Unternehmen, die digitale Dienste und Datendienste erbringen, Cloud- und Software-Anbieter, Datenanalysedienste und Rechenzentren.

Private Cloud Bank Case Study

Welche Folgen hat DORA für Drittdienstleister und Finanzunternehmen?

Die IKT-Drittdienstleister rücken mit DORA stärker in den Fokus. Die Lieferanten bringen wie die Finanzunternehmen im Rahmen ihrer Digitalisierungsanstrengungen die Infrastrukturen voran. Sie bauen Netzwerke und Systeme aus, um ihre Dienste zu erbringen. Das bedeutet mehr Angriffsflächen für Cyberattacken und ein steigendes Risiko für sie selbst und die Finanzunternehmen.

Mit DORA werden die Drittdienstleister in die IKT-Risikobewertung integriert. Finanzunternehmen und Aufsichtsbehörden erhalten neue Rechte gegenüber den Anbietern, darunter Prüf- und Kündigungsrechte. Anbieter, die die europäischen Aufsichtsbehörden als kritische IKT-Drittdienstleister einstufen, werden direkt beaufsichtigt. Kommt ein solcher Anbieter aus einem Drittland, dürfen Finanzunternehmen seine Dienste nur nutzen, wenn er innerhalb von zwölf Monaten nach der Einstufung ein Tochterunternehmen in der EU gründet.

Als Managed Cloud Solution Provider betreffen die neuen Regelungen auch Adacor. Wir haben unseren Sitz in Deutschland und betreiben unsere Plattformen in deutschen Tier-3+-Rechenzentren von NTT in Frankfurt und München. Wir bieten Banken und Versicherungen sichere, performante und aufsichtskonforme Cloud-Services für die Finanzbranche. Dabei gewährleisten wir eine Nutzung gemäß einem Auslagerungsvertrag, der den Anforderungen der BaFin und der Europäischen Bankenaufsicht (EBA) gerecht wird. Bei der Leistungserbringung erfüllen wir die Vorgaben aus MaRisk, MaComp, der wesentlichen Auslagerung nach KWG, der EU-Delegiertenverordnung 2017/565 und DORA.

Finanzunternehmen müssen alle Vereinbarungen mit IKT-Dienstleistern in einem Informationsregister führen und es der Aufsicht mindestens einmal jährlich melden. Es geht über das bekannte Auslagerungsregister hinaus, weil es alle Verträge mit IKT-Dienstleistern umfasst, nicht nur Auslagerungen. Die Angaben dafür, auch zu unseren Unterauftragnehmern, liefern wir als Dienstleister.

Für Finanzunternehmen bedeutet DORA eine Reihe neuer Vorgaben. Die meisten Banken, Fintechs, Versicherungen und Co. müssen ihre Prozesse im Risikomanagement überarbeiten. Um beispielsweise die Konzentration von Risiken zu vermeiden, prüfen viele ihre Bestandsanbieter und ermitteln, welche Dienstleister kritische oder wichtige Funktionen unterstützen. Bei Dienstleistern, welche die Anforderungen nicht erfüllen, ist gegebenenfalls ein Wechsel in Betracht zu ziehen. Wie eine Bank ihren Cloud-Dienstleister in der Praxis steuert und überwacht, beschreibt unser Beitrag zur compliance-konformen Auslagerung in die Cloud.

Die Verantwortung liegt dabei bei der Geschäftsleitung. Das Leitungsorgan trägt nach DORA die letztendliche Verantwortung für das Management der IKT-Risiken. Zu seinen Aufgaben gehören unter anderem:

  • Festlegung der Rollen und Verantwortlichkeiten für alle IKT-Funktionen

  • Verantwortung für die Strategie zur digitalen operationalen Resilienz

  • Genehmigung und regelmäßige Überprüfung der Leitlinie zur Geschäftsfortführung sowie der Reaktions- und Wiederherstellungspläne

  • Genehmigung der internen IKT-Revisionspläne

  • Zuweisung angemessener Budgets

  • Genehmigung der Leitlinie zur Nutzung von IKT-Drittdienstleistern und Information über Vereinbarungen mit Drittdienstleistern und über Vorfälle

Zusätzlich richten Finanzunternehmen, die keine Kleinstunternehmen sind, eine Funktion zur Überwachung der Vereinbarungen mit IKT-Drittdienstleistern ein oder benennen dafür ein Mitglied der Geschäftsleitung. Die Mitglieder des Leitungsorgans müssen ihre Kenntnisse zu IKT-Risiken durch regelmäßige Schulungen aktuell halten. Das geht deutlich über die bisherigen Fortbildungspflichten für das höhere Management hinaus.

Mit DORA sind Finanzunternehmen verpflichtet, Notfallstrategien und -pläne zur Fortführung des Geschäftsbetriebs zu entwickeln. Selbst Firmen, die bereits viele der IKT-Risikomanagement-Anforderungen erfüllen, sollten überprüfen, ob ihre Reaktions- und Wiederherstellungsstrategien den erweiterten Regeln entsprechen.

Die Strategien und Pläne müssen einen Krisenkommunikationsplan für Kunden und weitere von einem IKT-Vorfall Betroffene beinhalten. Damit wird eine verantwortungsbewusste Offenlegung von IKT-Vorfällen möglich. Der Rechtsakt gibt klare Kriterien vor, mit denen sich IKT-Vorfälle klassifizieren lassen. Ein schwerwiegender IKT-Vorfall muss innerhalb vorgegebener Fristen an die zuständige Behörde gemeldet werden. Kunden sind zu informieren, wenn ihre finanziellen Interessen berührt sein könnten.

Um das Bewusstsein für IKT-Risiken zu schärfen, die Ausbreitung von Angriffen einzudämmen und Technologien zur frühzeitigen Erkennung von Bedrohungen zu fördern, können Finanzunternehmen Vereinbarungen treffen, um sich über Cyberbedrohungen auszutauschen.

DORA bedeutet für Finanzunternehmen und Drittdienstleister höhere Aufwände. Die Verordnung bietet aber auch die Chance, die IKT-Sicherheit im Finanzsektor zu erhöhen und gleichzeitig die Gefahren durch Cyberangriffe zu reduzieren.

Fazit: DORA gilt, jetzt zählt der Nachweis

Im Rahmen der Digitalisierung in der Finanzbranche kommt dem Einsatz von IKT eine große Bedeutung zu. Digitale Prozesse sind im Finanzwesen überall zu finden: zum Beispiel die bargeldlose Zahlung via Onlinebanking, das Angebot finanzspezifischer Leistungen per App, der elektronische Börsenhandel oder die Abwicklung von Darlehens- und Finanzierungsgeschäften über das Internet. Neben der digitalen Transformation treiben die neuen Technologien die Vernetzungen und Abhängigkeiten innerhalb der Branche sowie von Infrastrukturen der Drittdienstleister voran.

DORA greift die dazugehörigen Herausforderungen auf und bündelt Anforderungen an IKT-Risiken, die bis dahin in einzelnen Verordnungen und Richtlinien gesondert geregelt waren. Seit die Verordnung gilt, geht es für Finanzunternehmen nicht mehr um die Vorbereitung, sondern um den Nachweis: Register, Verträge und Notfallpläne müssen stehen und einer Prüfung durch die Aufsicht standhalten.

Als erfahrener Managed Cloud Solution Provider unterstützen wir seit vielen Jahren Finanzinstitute bei wesentlichen und unwesentlichen Auslagerungen. Wie wir die Anforderungen von DORA in der Cloud abbilden, beschreibt die Seite zu Compliance und Governance.