DORA – Digital Operational Resilience Act
Abkürzung: DORA
Der Digital Operational Resilience Act (DORA), die Verordnung (EU) 2022/2554, regelt, wie Finanzunternehmen in der EU ihre IT absichern, Störungen bewältigen und IT-Dienstleister steuern. Auf Deutsch heißt sie Verordnung über die digitale operationale Resilienz im Finanzsektor. Sie ist am 16. Januar 2023 in Kraft getreten und gilt seit dem 17. Januar 2025 unmittelbar in allen Mitgliedstaaten, ohne nationales Umsetzungsgesetz.
DORA ersetzt verstreute nationale Vorgaben durch einheitliche Regeln. In Deutschland betraf das vor allem die IT-Anforderungen der BaFin an Banken und Versicherer. Zuständige Aufsicht bleibt die BaFin.
Wer betroffen ist
DORA zählt 20 Arten von Finanzunternehmen auf (Art. 2), darunter:
- Kreditinstitute
- Zahlungs- und E-Geld-Institute
- Wertpapierfirmen und Handelsplätze
- Versicherungen und Rückversicherungen
- Kapitalverwaltungsgesellschaften
- Anbieter von Krypto-Dienstleistungen
Kleinstunternehmen mit weniger als zehn Beschäftigten und höchstens 2 Mio. Euro Umsatz oder Bilanzsumme haben vereinfachte Pflichten. Die Anforderungen richten sich allgemein nach Größe und Risiko (Verhältnismäßigkeit).
Die IT-Dienstleister der Finanzunternehmen nennt DORA ebenfalls. Unmittelbare Pflichten treffen sie aber nur, wenn sie als kritisch eingestuft werden. Alle anderen sind mittelbar betroffen: Sie müssen Verträge akzeptieren, die DORA vorschreibt, und Prüfungen durch ihre Kunden und deren Aufsicht dulden.
Die fünf Säulen von DORA
| Säule | Artikel | Kern |
|---|---|---|
| IKT-Risikomanagement | 5–16 | Rahmenwerk für IT-Risiken, Verantwortung der Geschäftsleitung, jährliche Überprüfung, Backup und Wiederherstellung, Notfallpläne |
| Behandlung und Meldung von IKT-Vorfällen | 17–23 | Vorfälle erkennen, klassifizieren, schwerwiegende an die Aufsicht melden |
| Testen der digitalen operationalen Resilienz | 24–27 | jährliche Tests kritischer Systeme, für bestimmte Unternehmen Threat-Led Penetration Tests alle drei Jahre |
| IKT-Drittparteienrisiko | 28–44 | Strategie für Dienstleister, Informationsregister, Mindestinhalte von Verträgen, Aufsicht über kritische Dienstleister |
| Informationsaustausch | 45 | freiwilliger Austausch über Cyberbedrohungen zwischen Finanzunternehmen |
IKT steht für Informations- und Kommunikationstechnik.
Meldung schwerwiegender Vorfälle
Ein Vorfall gilt als schwerwiegend, wenn er bestimmte Schwellen überschreitet, etwa einen Ausfall kritischer Dienste über zwei Stunden, viele betroffene Kunden oder einen Schaden über 100.000 Euro. Die Kriterien legen technische Standards der europäischen Aufsichtsbehörden fest.
| Meldung | Frist |
|---|---|
| Erstmeldung | 4 Stunden nach Einstufung als schwerwiegend, spätestens 24 Stunden nach Kenntnis |
| Zwischenmeldung | spätestens 72 Stunden nach der Erstmeldung |
| Abschlussbericht | einen Monat nach der letzten Zwischenmeldung, mit Ursachenanalyse |
In Deutschland geht die Meldung an die BaFin. Die Fristen sind kürzer als bei vielen anderen Meldepflichten — wer erst bei einem Vorfall klärt, wer meldet, verpasst sie.
IT-Dienstleister und Verträge
Informationsregister
Jedes Finanzunternehmen führt ein Register aller Verträge über IKT-Dienstleistungen (Art. 28) und meldet es jährlich an die Aufsicht. Dienstleistungen werden darin nach Arten eingeordnet. Die Art „IKT, Betriebsmittel und Hostingdienste (ohne Cloud-Dienste)“ umfasst ausdrücklich Strom, Kühlung, Telekommunikationszugang und physische Sicherheit — also das, was ein Colocation-Rechenzentrum liefert.
Pflichtinhalte von Verträgen
Art. 30 schreibt vor, was in jedem Vertrag über IKT-Dienstleistungen stehen muss:
- vollständige Beschreibung der Leistungen, Regeln für Unterauftragnehmer
- Orte, an denen Leistungen erbracht und Daten verarbeitet werden, und Vorabinformation bei Änderungen
- Vorgaben zu Verfügbarkeit, Integrität und Vertraulichkeit, Datenschutz
- Zugang zu und Rückgabe von Daten bei Insolvenz oder Vertragsende
- Beschreibung der Dienstgüte
- Unterstützung bei IKT-Vorfällen ohne Zusatzkosten oder zu vorab festgelegten Kosten
- Zusammenarbeit mit den Aufsichtsbehörden
- Kündigungsrechte und Mindestkündigungsfristen
- Teilnahme an Schulungen zur IKT-Sicherheit
Unterstützt der Dienstleister eine kritische oder wichtige Funktion, kommen hinzu: genaue Leistungsziele, getestete Notfallpläne, Teilnahme an den Penetrationstests des Kunden, uneingeschränkte Zugangs-, Inspektions- und Auditrechte sowie eine Ausstiegsstrategie mit verbindlichem Übergangszeitraum.
Kritische IKT-Drittdienstleister
Dienstleister, von denen viele Finanzunternehmen abhängen, können von den europäischen Aufsichtsbehörden als kritisch eingestuft werden (Art. 31). Sie unterliegen dann einer direkten europäischen Aufsicht. Die erste Liste vom 18. November 2025 umfasst 19 Unternehmen, darunter Cloud-Anbieter, Rechenzentrumsbetreiber und Netzinfrastruktur.
DORA und NIS2
Finanzunternehmen fallen auch unter NIS2. DORA ist für sie die speziellere Regelung und geht vor, soweit sie dasselbe regelt. Für IT-Dienstleister gilt umgekehrt oft NIS2 direkt, etwa für Rechenzentrums- und Cloud-Anbieter, und DORA über die Verträge ihrer Finanzkunden.
| DORA | NIS2 | |
|---|---|---|
| Rechtsform | Verordnung, gilt unmittelbar | Richtlinie, nationale Umsetzung nötig |
| Sektor | Finanzsektor | 18 Sektoren |
| Aufsicht in Deutschland | BaFin | BSI |
| Dienstleister | über Verträge, kritische direkt | als eigene Einrichtung |
Im Rechenzentrum
Für Rechenzentrumsbetreiber mit Bank- oder Versicherungskunden bedeutet DORA vor allem Vertragsarbeit:
- Standardverträge um eine DORA-Anlage ergänzen, die die Pflichtinhalte nach Art. 30 abdeckt
- Audits durch Kunden und Behörden vor Ort ermöglichen, auch mit Zutritt zu gemeinsam genutzten Flächen, ohne andere Kunden offenzulegen
- Standorte festschreiben und Änderungen vorab mitteilen
- Notfallpläne testen und Ergebnisse vorlegen
- Unterstützung bei der Ausstiegsplanung des Kunden zusagen
Viele Banken verlangen inzwischen Nachweise wie Zertifikate nach ISO/IEC 27001 oder Prüfberichte nach ISAE 3402, um nicht jeden Punkt selbst prüfen zu müssen.
Abgrenzung
In der Softwareentwicklung steht DORA auch für DevOps Research and Assessment, ein Forschungsprogramm, nach dem vier Kennzahlen für Softwareauslieferung benannt sind: Deployment-Häufigkeit, Durchlaufzeit von Änderungen, Fehlerquote von Änderungen und Wiederherstellungszeit. Mit der EU-Verordnung hat das nichts zu tun.