Maurice Müller
Senior Content Manager
Maurice Müller ist Journalist und Content-Stratege mit Erfahrung im Print- und Digitalbereich. Bei Formalize verwandelt er komplexe Compliance- und Regulierungsthemen in klare, praxisnahe Inhalte für Compliance-, Risiko- und Sicherheitsexperten in ganz Europa.
Das Wichtigste im Überblick:
DORA gilt seit dem 17. Januar 2025 unmittelbar. Da es sich um eine Verordnung und nicht um eine Richtlinie handelt, ist keine Umsetzung in nationales Recht erforderlich.
Die Verordnung beruht auf fünf Säulen: IKT-Risikomanagement, Meldung von Vorfällen, Resilienztests, Management von Drittparteienrisiken und Informationsaustausch.
DORA gilt unmittelbar für Finanzunternehmen. Die meisten IKT-Drittdienstleister werden mittelbar über die Pflichten dieser Finanzunternehmen erfasst.
Alle 13 technischen Standards zur Konkretisierung von DORA – die technischen Regulierungsstandards (RTS) und die technischen Durchführungsstandards (ITS) – sind inzwischen in ihrer endgültigen Fassung verabschiedet und in Kraft. Damit ist das Framework auf Ebene 2 der Verordnung vollständig.
Bei Finanzunternehmen erfolgt die Durchsetzung durch die zuständigen nationalen Behörden. Für als kritisch eingestufte Dienstleister besteht ein eigener Überwachungsrahmen auf EU-Ebene.
Im Dezember 2024, einen Monat vor dem Geltungsbeginn von DORA, veröffentlichten die Europäischen Aufsichtsbehörden (ESAs) die Ergebnisse eines freiwilligen Probelaufs zum Informationsregister (RoI). Fast 1.000 Finanzunternehmen nahmen daran teil. Von den analysierten Registern bestanden nur 6,5 % alle 116 Datenqualitätsprüfungen. Bei dem Probelauf sollten die Anforderungen nach besten Möglichkeiten erfüllt werden, und die Hälfte der übrigen Register fiel bei weniger als fünf Prüfungen durch. Deshalb äußerten sich die ESAs vorsichtig optimistisch. Das häufigste Problem war dennoch aufschlussreich: 86 % der Fehler waren auf fehlende Pflichtangaben zurückzuführen.
Das verdeutlicht eine zentrale Herausforderung bei DORA insgesamt. Die Regeln sind inzwischen gut verstanden. Entscheidend für den Verlauf eines Aufsichtszyklus ist, ob die Daten, Prozesse und Nachweise einer Organisation mit diesen Regeln Schritt halten können und dies Zyklus für Zyklus.
Was ist die DORA-Verordnung?
Die DORA-Verordnung, offiziell Verordnung (EU) 2022/2554, bildet den EU-Rahmen für die digitale operationale Resilienz im Finanzsektor. Die EU hat sie eingeführt, um den bisherigen Flickenteppich nationaler Vorschriften zu Risiken der Informations- und Kommunikationstechnologie (IKT) zu harmonisieren. Uneinheitliche Anforderungen wurden damit durch eine unmittelbar geltende Verordnung für alle Mitgliedstaaten ersetzt.
DORA geht jedoch über Cybersicherheit hinaus. Im Mittelpunkt steht die Fähigkeit einer Organisation, IKT-Störungen standzuhalten, auf sie zu reagieren und sich davon zu erholen. Dafür führt die Verordnung Governance, Betriebskontinuität und IKT-Risikomanagement in einer gemeinsamen Verantwortungsstruktur zusammen, statt sie als getrennte Themen zu behandeln. Da DORA eine Verordnung und keine Richtlinie ist, gilt sie unmittelbar. Es muss nicht erst ein nationales Gesetz abgewartet werden, und Mitgliedstaaten können die Anforderungen nicht abschwächen.
Für wen gilt die DORA-Verordnung?
Artikel 2 legt den Anwendungsbereich von DORA fest. Er erfasst unmittelbar ein breites Spektrum von Finanzunternehmen und mittelbar auch IKT-Drittdienstleister über die Pflichten dieser Finanzunternehmen.
Unternehmenskategorie | Beispiele | Anwendung von DORA |
|---|---|---|
Bankwesen und Zahlungsverkehr | Kreditinstitute, Zahlungsinstitute, E-Geld-Institute, Kontoinformationsdienstleister | Unmittelbar als Finanzunternehmen |
Wertpapiergeschäft und Finanzmärkte | Wertpapierfirmen, Handelsplätze, zentrale Gegenparteien, Zentralverwahrer, Transaktionsregister, Datenbereitstellungsdienste | Unmittelbar als Finanzunternehmen |
Versicherungen und Altersversorgung | Versicherungs- und Rückversicherungsunternehmen, Versicherungsvermittler, Einrichtungen der betrieblichen Altersversorgung | Unmittelbar als Finanzunternehmen |
Vermögens- und Fondsverwaltung | Verwalter alternativer Investmentfonds, OGAW-Verwaltungsgesellschaften | Unmittelbar als Finanzunternehmen |
Kryptowerte | Anbieter von Krypto-Dienstleistungen, Emittenten wertreferenzierter Token | Unmittelbar als Finanzunternehmen |
Sonstige Finanzdienstleistungen | Schwarmfinanzierungsdienstleister, Ratingagenturen, Administratoren kritischer Referenzwerte, Verbriefungsregister | Unmittelbar als Finanzunternehmen |
IKT-Drittdienstleister | Anbieter von Cloud-, Software- und Infrastrukturdiensten für Finanzunternehmen | Mittelbar über vertragliche Anforderungen, die Finanzunternehmen ihnen auferlegen müssen |
Bestimmte kleinere und weniger verflochtene Unternehmen, etwa kleine und nicht verflochtene Wertpapierfirmen, können nach Artikel 16 einen vereinfachten IKT-Risikomanagementrahmen anwenden. Die grundlegenden Anforderungen gelten dennoch: ein dokumentiertes Framework, Überwachung, Betriebskontinuität und Sensibilisierungsschulungen.
Innerhalb der IKT-Drittdienstleister wird eine kleinere Gruppe strenger reguliert: kritische IKT-Drittdienstleister (CTPPs). Sie werden von den ESAs einzeln als kritisch eingestuft und unterliegen einer direkten Überwachung auf EU-Ebene, statt wie die übrigen Dienstleister nur mittelbar erfasst zu werden.
NIS-2 erfasst ein ähnlich breites Spektrum von Einrichtungen in kritischen Sektoren. Für Finanzunternehmen hat DORA jedoch als sektorspezifisches Framework für IKT-Risikomanagement und Vorfallmeldungen Vorrang. Bei IKT-Dienstleistern liegt der Fall anders: Sie können selbst unter NIS-2 fallen und zugleich Leistungen für Finanzunternehmen erbringen, die DORA unterliegen.
Was sind die fünf Säulen der DORA-Verordnung?
Fünf Säulen strukturieren sämtliche Anforderungen von DORA. Sie hängen enger zusammen, als es zunächst erscheinen mag: Eine Schwachstelle in einer Säule zeigt sich häufig als Lücke in einer anderen.
IKT-Risikomanagement
Finanzunternehmen benötigen ein dokumentiertes Framework, um IKT-Risiken zu identifizieren, sich dagegen zu schützen, Störungen zu erkennen, darauf zu reagieren und den Betrieb wiederherzustellen. Es muss in der Praxis funktionieren und darf nicht nur auf dem Papier bestehen. Das Leitungsorgan trägt dafür die Gesamtverantwortung. Das Framework muss außerdem regeln, wie IKT-Drittparteienrisiken identifiziert und überwacht werden.
Management und Meldung IKT-bezogener Vorfälle
Schwerwiegende IKT-bezogene Vorfälle müssen anhand harmonisierter Kriterien klassifiziert und der zuständigen Behörde in drei Stufen gemeldet werden. Die Erstmeldung ist innerhalb von vier Stunden nach der Einstufung eines Vorfalls als schwerwiegend und spätestens 24 Stunden nach Bekanntwerden abzugeben. Eine Zwischenmeldung folgt innerhalb von 72 Stunden nach der Erstmeldung, eine Abschlussmeldung innerhalb eines Monats nach der letzten Zwischenmeldung.
Tests der digitalen operationalen Resilienz
Finanzunternehmen müssen testen, ob ihre IKT-Systeme und Resilienzkontrollen in der Praxis standhalten. Für die meisten Unternehmen bedeutet das ein regelmäßiges Testprogramm. Unternehmen, die von ihrer zuständigen Behörde dafür bestimmt wurden, müssen außerdem mindestens alle drei Jahre bedrohungsorientierte Penetrationstests (TLPT) durchführen – an laufenden Produktionssystemen und auf Grundlage realer Bedrohungsinformationen.
Management des IKT-Drittparteienrisikos
Für viele Organisationen ist dies die anspruchsvollste Säule. Finanzunternehmen benötigen Verträge mit den von DORA vorgeschriebenen Klauseln, unter anderem zu Prüfungsrechten, Datenstandorten und Ausstiegsstrategien. Außerdem müssen sie Konzentrationsrisiken über ihr gesamtes Lieferantenportfolio hinweg fortlaufend bewerten.
Im Mittelpunkt steht das Informationsregister (RoI). Nach Artikel 28 Absatz 3 müssen Finanzunternehmen ein Register sämtlicher vertraglicher Vereinbarungen mit IKT-Drittdienstleistern führen, aktuell halten und ihrer zuständigen Behörde zur Verfügung stellen. Dafür ist das in den technischen Durchführungsstandards festgelegte einheitliche Format zu verwenden. Die Aufsichtsbehörden erheben das Register einmal jährlich zum Stichtag 31. Dezember; die nationalen Einreichungszeiträume liegen im ersten Quartal. Näheres zum Inhalt des Registers und dazu, wie Sie es aktuell halten, finden Sie auf unserer Seite zum Informationsregister.
Austausch von Informationen und Erkenntnissen
DORA ermöglicht es Finanzunternehmen außerdem, innerhalb vertrauenswürdiger Gemeinschaften Informationen und Erkenntnisse zu Cyberbedrohungen auszutauschen. Die Teilnahme ist freiwillig. Ziel ist es, den Sektor bei der Reaktion auf Bedrohungen zu unterstützen, die selten auf eine einzelne Organisation begrenzt bleiben.
Zeitplan der DORA-Verordnung: Wichtige Termine für Ihr Unternehmen
Datum | Meilenstein |
|---|---|
27. Dezember 2022 | DORA wird im Amtsblatt der EU veröffentlicht. |
16. Januar 2023 | DORA tritt in Kraft. Damit beginnt eine zweijährige Vorbereitungszeit. |
2023–2024 | Die ESAs erarbeiten die 13 technischen Regulierungsstandards (RTS) und technischen Durchführungsstandards (ITS) zu DORA und führen dazu Konsultationen durch. Die Standards werden in zwei Paketen vorgelegt. |
17. Januar 2025 | DORA wird in allen EU-Mitgliedstaaten vollständig anwendbar. |
Februar–Juli 2025 | Das zweite Paket der RTS und ITS tritt in Kraft. Es umfasst unter anderem Standards zur Meldung von Vorfällen, zur Harmonisierung der Überwachung, zur Unterauftragsvergabe und zu TLPT. |
18. November 2025 | Die ESAs benennen gemäß Artikel 31 Absatz 9 die ersten 19 kritischen IKT-Drittdienstleister (CTPPs). |
4. Dezember 2025 | Die ESAs empfehlen der Kommission in einem gemeinsamen Bericht, Abschlussprüfer zum jetzigen Zeitpunkt nicht in den Anwendungsbereich von DORA aufzunehmen. |
17. Januar 2026 | Frist für die Überprüfung durch die Europäische Kommission gemäß Artikel 58 Absatz 3, ob Abschlussprüfer in den Anwendungsbereich von DORA fallen sollten. |
DORA-Verordnung: Sanktionen und Folgen bei Nichteinhaltung
Für die Durchsetzung sind die zuständigen nationalen Behörden verantwortlich. Sie beaufsichtigen Finanzunternehmen unmittelbar und können die Verwaltungssanktionen und Abhilfemaßnahmen anwenden, die der jeweilige Mitgliedstaat festgelegt hat. Anders als die Datenschutz-Grundverordnung (DSGVO) legt DORA keine EU-weit einheitliche Bußgeldobergrenze für Finanzunternehmen fest: Artikel 50 überlässt die Festlegung der Beträge dem nationalen Recht. Die Durchsetzung beschränkt sich zudem nicht auf Bußgelder. Zum Instrumentarium gehören auch Aufsichtsmaßnahmen, angeordnete Abhilfemaßnahmen und eine intensivere Prüfung. Für viele Organisationen können die Reputationsschäden und betrieblichen Belastungen einer länger anhaltenden intensiven Beaufsichtigung schwerer wiegen als das Bußgeld selbst.
Für kritische IKT-Drittdienstleister gilt ein vollständig separater Mechanismus. Sie werden unmittelbar auf EU-Ebene überwacht und nicht durch eine nationale Behörde. Kooperiert ein Dienstleister nicht mit seiner federführenden Überwachungsbehörde, etwa indem er Informationsanfragen unbeantwortet lässt, Untersuchungen oder Inspektionen behindert oder nicht über die ergriffenen Abhilfemaßnahmen berichtet, kann die federführende Überwachungsbehörde nach Artikel 35 Zwangsgelder verhängen. Diese fallen täglich an, bis der Dienstleister seinen Pflichten nachkommt, längstens jedoch für sechs Monate. Sie können bis zu 1 % seines durchschnittlichen weltweiten Tagesumsatzes im vorangegangenen Geschäftsjahr betragen. Bei der Festsetzung der Höhe berücksichtigt die federführende Überwachungsbehörde die Schwere und Dauer des Verstoßes, ob er vorsätzlich oder fahrlässig begangen wurde und wie gut der Dienstleister kooperiert hat.
Für Empfehlungen im Rahmen der Überwachung gilt ein anderer Mechanismus. Befolgt ein Dienstleister sie nicht, kann die federführende Überwachungsbehörde dies öffentlich bekannt machen. Als letztes Mittel können die zuständigen Behörden Finanzunternehmen verpflichten, die Nutzung der Dienste dieses Anbieters auszusetzen oder zu beenden.
Neuigkeiten und aktuelle Entwicklungen zur DORA-Verordnung
Zuletzt aktualisiert: September 2026
Alle 13 RTS und ITS sind inzwischen in Kraft
Die Verabschiedung des zweiten Pakets, das die Meldung von Vorfällen, die Harmonisierung der Überwachung, die Unterauftragsvergabe und bedrohungsorientierte Penetrationstests umfasst, wurde im Laufe des Jahres 2025 abgeschlossen. Was sich geändert hat: Das Level-2-Regelwerk zu DORA, also die detaillierten technischen Standards zur Konkretisierung der Verordnung, ist nun vollständig und liegt nicht mehr teilweise nur im Entwurf vor. Wen das betrifft: Jedes Finanzunternehmen, das Teile von DORA weiterhin als noch ausstehende Leitlinien statt als endgültige Anforderungen behandelt. Was Sie tun sollten: Prüfen Sie, ob Ihr Compliance-Programm die endgültig verabschiedete Fassung jedes Standards berücksichtigt und nicht einen früheren Konsultationsentwurf.
Die ersten CTPPs sind benannt, und 2026 beginnt der erste Überwachungszyklus
Die Europäischen Aufsichtsbehörden benannten im November 2025 insgesamt 19 kritische IKT-Drittdienstleister, überwiegend große Anbieter von Cloud-, Infrastruktur- und Datendiensten. Was sich geändert hat: Diese 19 Anbieter unterliegen nun einer direkten Überwachung auf EU-Ebene. Die ersten Überwachungsaktivitäten und Empfehlungen werden im Laufe des Jahres 2026 erwartet. Wen das betrifft: Finanzunternehmen, die auf einen der benannten Anbieter angewiesen sind. Die Überwachung des Anbieters auf EU-Ebene verringert nicht ihre eigene Verantwortung für die Steuerung dieser Geschäftsbeziehung. Was Sie tun sollten: Gleichen Sie Ihr Informationsregister mit der veröffentlichten CTPP-Liste ab und berücksichtigen Sie die benannten Anbieter in Ihrer eigenen Bewertung von Konzentrationsrisiken.
Abschlussprüfer und DORA: Die ESAs raten von einer Ausweitung des Anwendungsbereichs ab
Nach Artikel 58 Absatz 3 hatte die Europäische Kommission bis zum 17. Januar 2026 Zeit zu prüfen, ob Abschlussprüfer und Prüfungsgesellschaften in den Anwendungsbereich von DORA aufgenommen werden sollten. Was sich geändert hat: In ihrem gemeinsamen Bericht vom Dezember 2025 kamen die Europäischen Aufsichtsbehörden zu dem Schluss, dass die Aufnahme von Abschlussprüfern in DORA zum jetzigen Zeitpunkt nicht gerechtfertigt ist. Letztlich ist die eigene Schlussfolgerung der Kommission maßgeblich. Zum Zeitpunkt der Erstellung dieses Artikels fallen Abschlussprüfer weiterhin nicht in den Anwendungsbereich von DORA. Wen das betrifft: Abschlussprüfer und Prüfungsnetzwerke, die für Finanzunternehmen tätig sind. Was Sie tun sollten: Behalten Sie diese Frage zum Anwendungsbereich im Blick, leiten Sie daraus aber noch keinen Handlungsbedarf ab.
So setzen Sie DORA-Compliance in der Praxis um
Die Verordnung zu verstehen und sie im Arbeitsalltag umzusetzen, sind zwei unterschiedliche Herausforderungen. Die meisten Organisationen müssen dabei die folgenden Schritte durchlaufen:
1. Klären Sie den DORA-Anwendungsbereich: Stellen Sie fest, welcher Kategorie Ihr Unternehmen zuzuordnen ist und ob es die vereinfachten Regelungen nutzen kann.
Identifizieren Sie kritische oder wichtige Funktionen: Die weiteren DORA-Anforderungen richten sich nach dieser Liste. Wer sie frühzeitig korrekt erstellt, vermeidet spätere Nacharbeiten.
Erfassen Sie IKT-Assets und Abhängigkeiten: Verknüpfen Sie Systeme, Lieferanten und Geschäftsfunktionen, bevor Sie versuchen, die damit verbundenen Risiken zu bewerten.
Bewerten Sie den IKT-Risikomanagementrahmen: Gleichen Sie die dokumentierten Regelungen mit den Anforderungen der Artikel 5 bis 16 ab.
Richten Sie Workflows für das Vorfallmanagement ein: Verankern Sie die Klassifizierung und Meldung in einem Prozess und nicht in einem Dokument, das erst bei einer Störung geöffnet wird.
Erstellen und pflegen Sie das Informationsregister: Verstehen Sie es als fortlaufend gepflegte betriebliche Datenbasis und nicht als jährliche Exportaufgabe.
Etablieren Sie das Programm für Resilienztests: Legen Sie Umfang und Zeitplan für wiederkehrende Tests fest und dokumentieren Sie die Durchführung mit Nachweisen. Beziehen Sie TLPT ein, soweit diese anwendbar sind.
Überwachen Sie die Compliance und halten Sie sie aufrecht: Überprüfen Sie alle oben genannten Punkte erneut, wenn sich Lieferanten, Systeme oder aufsichtliche Erwartungen ändern.
Die Schritte 3 und 6 nehmen häufig am meisten Zeit in Anspruch, vor allem, weil sie auf Daten angewiesen sind, die über Einkauf, IT und Geschäftsbereiche verteilt sind. Formalize bündelt den IKT-Risikomanagementrahmen, Vorfall-Workflows, Testpläne, das Drittparteienregister und die zugehörigen Kontrollen an einem Ort, gemeinsam mit Ihrer Arbeit zu ISO 27001 und NIS-2. So sind diese Inhalte nicht auf Tabellenkalkulationen und separate Tools verteilt. Das Informationsregister bleibt bei Änderungen an Verträgen und Lieferanten aktuell, statt in jedem Berichtszyklus von Grund auf neu aufgebaut zu werden.
So unterstützt Formalize die Einhaltung von DORA
Formalize ist auf den Teil von DORA ausgelegt, der sich wiederholt: Daten und Nachweise zwischen den einzelnen Zyklen aktuell zu halten, statt sie jedes Mal neu zusammenzustellen.
Ein Informationsregister, das aktuell bleibt. Lieferanten, Verträge, IKT-Dienstleistungen und Geschäftsfunktionen bleiben miteinander verknüpft. Fehler werden bereits bei der Eingabe angezeigt, und das Register lässt sich im offiziellen Format exportieren. Mehr dazu auf der Seite zum Informationsregister.
Ein kostenloser RoI Validator. Er führt 294 Prüfungen über alle 15 Berichte im offiziellen Format durch. Eine Registrierung ist nicht erforderlich, unabhängig davon, ob Sie Formalize nutzen.
Risiken, Vorfälle und Tests an einem Ort. Jeweils mit namentlich benannten Verantwortlichen, Fristen und Nachweisen, die direkt im Zuge der Bearbeitung hinterlegt werden.
DORA gemeinsam mit ISO 27001, NIS-2 und der DSGVO, im selben System statt in separaten Tools.
Mehr als 8.000 Organisationen in ganz Europa nutzen bereits die Produkte von Formalize.
Erleben Sie, wie Ihr Informationsregister aktuell bleibt
Bringen Sie Ihre eigene Lieferantenliste mit, gern auch als Tabelle. Wir zeigen Ihnen lieber konkret, wie sie mit Ihrer übrigen DORA-Arbeit verknüpft wird, als es nur zu beschreiben.
Wo können Sie die DORA-Verordnung als PDF herunterladen?
Für die Verordnung selbst ist EUR-Lex die maßgebliche Quelle. Zusammenfassungen aus anderen Quellen sind zur Orientierung hilfreich. Rechtlich entscheidend ist jedoch der im Amtsblatt veröffentlichte Text.
Die Verordnung allein vermittelt allerdings noch kein vollständiges Bild. Die oben erläuterten 13 RTS und ITS ergänzen die operativen Einzelheiten, die DORA selbst nicht festlegt. Aufsichtliche Leitlinien der Europäischen Aufsichtsbehörden verdeutlichen weiterhin, wie die Anforderungen aus Sicht der Aufsichtsbehörden in der Praxis erfüllt werden sollen. Wer sich bei der Umsetzung allein auf den Verordnungstext stützt und die ergänzenden technischen Standards nicht einbezieht, übersieht häufig genau die Einzelheiten, nach denen Aufsichtsbehörden als Erstes fragen.