DORA: Digitale operationale Resilienz im Finanzsektor

DORA gilt für ein breites Spektrum beaufsichtigter Finanzunternehmen – von Kreditinstituten über Versicherer, Zahlungs- und Wertpapierinstitute bis zu bestimmten Kryptodienstleistern – sowie für IKT-Drittdienstleister des Finanzsektors. Inhaltlich ruht die Verordnung auf fünf Säulen: IKT-Risikomanagement (Art. 5–16), Management und Meldung IKT-bezogener Vorfälle (Art. 17–23), Testen der digitalen operationalen Resilienz einschließlich TLPT (Art. 24–27), Management des IKT-Drittparteienrisikos samt Oversight (Art. 28–44) und Vereinbarungen zum Austausch von Informationen über Cyberbedrohungen (Art. 45). Die Detailanforderungen werden auf einer zweiten Ebene durch RTS und ITS konkretisiert, die als delegierte bzw. Durchführungsverordnungen unmittelbar gelten.

Kernstück ist ein dokumentierter IKT-Risikomanagementrahmen, für den das Leitungsorgan die Gesamtverantwortung trägt. Er folgt einem Lebenszyklus aus Identifikation, Schutz und Prävention, Erkennung, Reaktion und Wiederherstellung sowie Lernen und Weiterentwicklung – einschließlich Backup- und Wiederherstellungsverfahren, Kommunikationsplänen und regelmäßiger Überprüfung. Für bestimmte kleinere und weniger verflochtene Unternehmen sieht Art. 16 einen vereinfachten IKT-Risikomanagementrahmen mit reduzierten Anforderungen vor.

Finanzunternehmen müssen IKT-bezogene Vorfälle nach einem definierten Prozess erfassen, klassifizieren und schwerwiegende Vorfälle an die zuständige Behörde melden – in Deutschland fungiert die BaFin als nationaler Melde-Hub. Die Klassifizierungskriterien regelt die Delegierte Verordnung (EU) 2024/1772; Fristen, Inhalte und Formulare legen die Delegierte Verordnung (EU) 2025/301 und die Durchführungsverordnung (EU) 2025/302 fest: Erstmeldung in der Regel binnen vier Stunden nach Einstufung als schwerwiegend und spätestens 24 Stunden nach Kenntnis, Zwischenbericht binnen 72 Stunden nach der Erstmeldung, Abschlussbericht innerhalb eines Monats. Erhebliche Cyberbedrohungen können zusätzlich freiwillig gemeldet werden.

Alle Finanzunternehmen außer Kleinstunternehmen müssen ein risikobasiertes Programm zum Testen der digitalen operationalen Resilienz betreiben, von Schwachstellenbewertungen bis zu szenariobasierten Tests. Von den Behörden dafür identifizierte Unternehmen müssen darüber hinaus mindestens alle drei Jahre bedrohungsgeleitete Penetrationstests (TLPT) nach Art. 26/27 durchführen – auf Live-Produktionssystemen und bezogen auf mehrere oder alle kritischen oder wichtigen Funktionen; die zuständige Behörde kann die Frequenz anpassen. Kriterien, Umfang, Methodik und Anforderungen an interne wie externe Tester konkretisiert die Delegierte Verordnung (EU) 2025/1190 (RTS zu TLPT), anwendbar seit dem 8. Juli 2025. Als Durchführungsleitfaden dient das TIBER-EU-Rahmenwerk des Eurosystems, das die EZB am 11. Februar 2025 vollständig an DORA und die RTS angeglichen hat.

Kapitel V verpflichtet Finanzunternehmen, Risiken aus IKT-Dienstleistungsverträgen über den gesamten Lebenszyklus zu steuern: Strategie und Grundsätze inklusive Exit-Strategien (Art. 28), Bewertung des IKT-Konzentrationsrisikos (Art. 29) und vertragliche Mindestinhalte etwa zu Sicherheits-, Prüf- und Kündigungsrechten (Art. 30). Zentrales Instrument ist das Informationsregister (Register of Information) nach Art. 28(3) über alle vertraglichen Vereinbarungen mit IKT-Drittdienstleistern; die Durchführungsverordnung (EU) 2024/2956 gibt hierfür verbindliche Standardvorlagen vor. Die eingereichten Register dienen den Aufsichtsbehörden zugleich als Datenbasis – unter anderem für die Einstufung kritischer IKT-Drittdienstleister.

Mit DORA erhalten die drei europäischen Aufsichtsbehörden EBA, EIOPA und ESMA (ESAs) erstmals ein direktes Überwachungsmandat über IKT-Drittdienstleister, die als kritisch für den Finanzsektor eingestuft werden. Am 18. November 2025 haben die ESAs die ersten 19 kritischen IKT-Drittdienstleister benannt, darunter große Cloud-, Rechenzentrums- und Netzwerkanbieter; Grundlage der Kritikalitätsbewertung waren die Informationsregister der Finanzunternehmen. Jeder eingestufte Anbieter wird einem federführenden Überwacher (Lead Overseer) aus dem Kreis der ESAs zugeordnet, der Informationen anfordern, Untersuchungen durchführen und Empfehlungen aussprechen kann. Die Verantwortung der Finanzunternehmen für ihr eigenes Drittparteienrisiko bleibt davon unberührt.