Veröffentlicht: 6. August 2026

DORA: Der Digital Operational Resilience Act erklärt

Der Digital Operational Resilience Act (DORA) verpflichtet den europäischen Finanzsektor zu einem einheitlichen Umgang mit IT-Risiken. Die Verordnung gilt seit dem 17. Januar 2025 und betrifft neben Banken und Versicherern auch deren IKT-Dienstleister. Dieser Überblick erklärt Anwendungsbereich, die fünf Säulen, Aufsicht, Sanktionen und die Abgrenzung zur NIS2-Richtlinie (Stand: August 2026).

DORA steht für Digital Operational Resilience Act. Im Deutschen sind die Bezeichnungen DORA-Verordnung und Verordnung über die digitale operationale Resilienz im Finanzsektor gebräuchlich. Die gelegentlich verwendete Formulierung „DORA-Richtlinie“ ist ungenau: DORA ist eine unmittelbar geltende EU-Verordnung.

Das Wichtigste in Kürze

• DORA (Verordnung (EU) 2022/2554) gilt seit dem 17. Januar 2025 unmittelbar in allen EU-Mitgliedstaaten, ein nationales Umsetzungsgesetz für die Inhalte ist nicht erforderlich.
• Betroffen sind rund 20 Kategorien von Finanzunternehmen sowie IKT-Drittdienstleister, die Leistungen für den Finanzsektor erbringen.
• Die Verordnung ruht auf fünf Säulen: IKT-Risikomanagement, Vorfallsmeldungen, Resilienztests, IKT-Drittparteirisiko und Informationsaustausch.
• In Deutschland überwacht die BaFin die Einhaltung. Das Finanzmarktdigitalisierungsgesetz (FinmadiG) verankert Befugnisse und Bußgelder im nationalen Recht.
• Für Finanzunternehmen geht DORA der NIS2-Richtlinie als spezielleres Regelwerk vor, allerdings nur bei den sich überschneidenden Pflichten.

Was ist der Digital Operational Resilience Act?

DORA ist eine EU-Verordnung über die digitale operationale Resilienz im Finanzsektor. Sie erschien im Dezember 2022 als Verordnung (EU) 2022/2554 im Amtsblatt der Europäischen Union. Nach einer rund zweijährigen Übergangsphase ist sie seit dem 17. Januar 2025 verbindlich anzuwenden. Als Verordnung wirkt DORA unmittelbar in jedem Mitgliedstaat, anders als eine Richtlinie braucht sie kein Umsetzungsgesetz für ihre Inhalte.

Das Ziel: Finanzunternehmen sollen IT-Störungen und Cyberangriffe verkraften können, ohne dass kritische Geschäftsprozesse ausfallen. Dafür harmonisiert DORA Anforderungen, die zuvor in nationalen Rundschreiben verstreut waren. In Deutschland hat die BaFin ihre IT-Aufsichtsschreiben VAIT, KAIT und ZAIT zum 17. Januar 2025 aufgehoben, weil DORA deren Inhalte abdeckt. Die BAIT gelten laut BaFin nur noch für Aufsichtsobjekte weiter, die das IKT-Risikomanagement nach DORA noch nicht anwenden müssen.

Die Verordnung selbst bildet nur die erste Ebene. Technische Regulierungs- und Durchführungsstandards (RTS und ITS) konkretisieren viele Pflichten, etwa die Klassifizierung von Vorfällen, die Inhalte der Meldungen oder die vertraglichen Anforderungen an Dienstleister. Wer DORA umsetzt, muss diese Level-2-Rechtsakte mitlesen.

Wer ist von DORA betroffen?

Artikel 2 der Verordnung listet rund 20 Kategorien von Finanzunternehmen auf. Dazu zählen unter anderem:

• Kreditinstitute, Zahlungsinstitute und E-Geld-Institute
• Wertpapierfirmen, Handelsplätze und zentrale Gegenparteien
• Kapitalverwaltungsgesellschaften und Verwalter alternativer Investmentfonds
• Versicherungs- und Rückversicherungsunternehmen sowie größere Versicherungsvermittler
• Ratingagenturen, Anbieter von Krypto-Dienstleistungen und Schwarmfinanzierungsdienstleister

Hinzu kommen IKT-Drittdienstleister, also Anbieter von Cloud-Diensten, Rechenzentren, Software oder Datenanalysen für den Finanzsektor. Sie unterliegen den DORA-Anforderungen mittelbar über die Verträge mit ihren Finanzkunden. Werden sie von den europäischen Aufsichtsbehörden als kritisch eingestuft, greift zusätzlich ein direkter Überwachungsrahmen. Für Kleinstunternehmen sieht die Verordnung Erleichterungen vor, einzelne Gruppen wie kleine Versicherungsvermittler sind ausgenommen.

In Deutschland hat das im Dezember 2024 verabschiedete FinmadiG den Kreis zusätzlich erweitert. Laut BaFin fallen dadurch weitere Institute nach dem Kreditwesengesetz unter DORA, etwa Bürgschaftsbanken und Finanzdienstleistungsinstitute. Für sie gilt eine Übergangsfrist bis zum 1. Januar 2027, die Meldepflichten bestehen jedoch bereits seit dem 17. Januar 2025.

Die fünf Säulen von DORA

DORA gliedert die Anforderungen in fünf Themenblöcke, die aufeinander aufbauen:

• IKT-Risikomanagement (Artikel 5 bis 16): Finanzunternehmen benötigen einen dokumentierten Rahmen für Identifikation, Schutz, Erkennung, Reaktion und Wiederherstellung. Das Leitungsorgan trägt die Letztverantwortung und muss die Umsetzung aktiv steuern. Kleinere Unternehmen dürfen einen vereinfachten Rahmen anwenden.
• Behandlung und Meldung IKT-bezogener Vorfälle (Artikel 17 bis 23): Vorfälle sind nach einheitlichen Kriterien zu erfassen, zu klassifizieren und bei schwerwiegender Einstufung fristgebunden an die Aufsicht zu melden.
• Tests der digitalen operationalen Resilienz (Artikel 24 bis 27): Ein risikobasiertes Testprogramm ist Pflicht. Von der Aufsicht bestimmte Unternehmen müssen zusätzlich mindestens alle drei Jahre einen bedrohungsorientierten Penetrationstest (TLPT) durchführen.
• Management des IKT-Drittparteirisikos (Artikel 28 bis 44): Verträge mit IKT-Dienstleistern brauchen definierte Mindestinhalte, alle Auslagerungsbeziehungen gehören in ein Informationsregister. Für kritische IKT-Drittdienstleister gilt ein eigener Überwachungsrahmen. Details erklärt der Beitrag zum IKT-Drittparteirisiko unter DORA.
• Informationsaustausch (Artikel 45): Finanzunternehmen dürfen Bedrohungsinformationen und Erkenntnisse zu Cyberangriffen in vertrauenswürdigen Kreisen freiwillig teilen.

In der Praxis bindet die vierte Säule die meisten Ressourcen. Viele Finanzunternehmen kennen zwar ihre Verträge, aber nicht die tatsächliche Sicherheitslage ihrer Dienstleister. Genau hier setzen kontinuierliche Bewertungsverfahren an.

Meldepflichten: Fristen für schwerwiegende IKT-Vorfälle

Die Meldefristen legt die Delegierte Verordnung (EU) 2025/301 fest. Sie sieht ein dreistufiges Verfahren vor:

In Deutschland nimmt die BaFin die Meldungen als zentrale Stelle entgegen. Fällt eine Frist auf ein Wochenende oder einen Feiertag, dürfen Finanzunternehmen bis 12 Uhr des nächsten Arbeitstages melden. Für Erst- und Zwischenmeldungen von Kreditinstituten, zentralen Gegenparteien, Handelsplatzbetreibern und als wesentlich oder wichtig eingestuften NIS2-Einrichtungen gilt diese Erleichterung nicht. Zusätzlich können Finanzunternehmen erhebliche Cyberbedrohungen freiwillig melden. Wer diese Fristen einhalten will, braucht eingespielte Erkennungs- und Klassifizierungsprozesse, eine reine Ad-hoc-Reaktion reicht nicht aus.

Aufsicht: BaFin und der europäische Überwachungsrahmen

Für deutsche Finanzunternehmen ist die BaFin die zuständige Aufsichtsbehörde, sie arbeitet dabei eng mit der Deutschen Bundesbank zusammen. Die BaFin fungiert als nationale Meldestelle für IKT-Vorfälle, nimmt die Informationsregister zum Drittparteirisiko entgegen und wertet die Daten mit Blick auf Risiken für den Finanzsektor aus. Sie entscheidet außerdem, welche Unternehmen bedrohungsorientierte Penetrationstests durchführen müssen.

Neu ist die europäische Ebene: Die drei EU-Aufsichtsbehörden EBA, EIOPA und ESMA stufen einzelne IKT-Drittdienstleister als kritisch für den Finanzsektor ein. Für jeden kritischen Anbieter übernimmt eine federführende Überwachungsbehörde die direkte Aufsicht, mit Auskunfts-, Untersuchungs- und Inspektionsrechten bis hin zu Vor-Ort-Prüfungen. Damit unterliegen große Cloud- und IT-Anbieter erstmals einer eigenen Finanzaufsicht auf EU-Ebene, obwohl sie selbst keine Finanzunternehmen sind.

Sanktionen bei Verstößen

DORA schreibt keine EU-weit einheitlichen Bußgeldhöhen für Finanzunternehmen vor. Artikel 50 verpflichtet die Mitgliedstaaten, Sanktionen und Abhilfemaßnahmen festzulegen, die „wirksam, verhältnismäßig und abschreckend“ sind. In Deutschland hat das FinmadiG die Sanktionsnormen unter anderem im Kreditwesengesetz verankert. § 56 KWG erfasst seither auch DORA-Verstöße; für juristische Personen sieht er bei bestimmten Verstößen Bußgelder bis zu 20 Millionen Euro oder zehn Prozent des jährlichen Gesamtumsatzes vor, je nachdem, welcher Betrag höher ist.

Für kritische IKT-Drittdienstleister enthält die Verordnung selbst ein scharfes Instrument: Die federführende Überwachungsbehörde kann nach Artikel 35 DORA Zwangsgelder von bis zu einem Prozent des durchschnittlichen weltweiten Tagesumsatzes im vorangegangenen Geschäftsjahr verhängen, und zwar täglich über einen Zeitraum von bis zu sechs Monaten.

Hinzu kommt die persönliche Dimension: Das Leitungsorgan trägt nach Artikel 5 DORA die Letztverantwortung für das IKT-Risikomanagement. Geschäftsleitungen, die Umsetzung und Kontrolle vernachlässigen, setzen sich damit auch persönlichen Haftungsrisiken aus.

DORA und NIS2: Gemeinsamkeiten und Unterschiede

DORA und die NIS2-Richtlinie stammen beide aus dem EU-Gesetzgebungspaket vom Dezember 2022, verfolgen aber unterschiedliche Ansätze. Artikel 4 der NIS2-Richtlinie regelt das Verhältnis: Sektorspezifische Rechtsakte mit mindestens gleichwertiger Wirkung gehen vor. Für Finanzunternehmen gilt DORA deshalb als lex specialis, allerdings nur für das IKT-Risikomanagement und die Vorfallsmeldungen. Ein Überblick über die NIS2-Anforderungen und Pflichtmaßnahmen zeigt, welche Themen die Richtlinie darüber hinaus abdeckt.

Wichtig für die Praxis: Die Vorrangregel befreit Finanzunternehmen nicht pauschal von NIS2. Sie ersetzt nur die Pflichten, die DORA gleichwertig oder strenger regelt. Konzerne mit Gesellschaften innerhalb und außerhalb des Finanzsektors müssen beide Regelwerke parallel im Blick behalten.

Häufige Fragen

---

Seit wann ist DORA verpflichtend anzuwenden?

Die Verordnung trat im Januar 2023 in Kraft und ist seit dem 17. Januar 2025 verbindlich anzuwenden. Für Institute, die erst durch das deutsche FinmadiG unter DORA fallen, gilt laut BaFin eine Übergangsfrist bis zum 1. Januar 2027, die Meldepflichten bestehen für sie aber bereits.

---

Gilt DORA auch für IT-Dienstleister außerhalb des Finanzsektors?

Ja, in zwei Stufen. Alle IKT-Drittdienstleister von Finanzunternehmen treffen die Anforderungen mittelbar über die vertraglichen Mindestinhalte, die ihre Kunden durchsetzen müssen. Als kritisch eingestufte Anbieter unterliegen zusätzlich der direkten Überwachung durch die europäischen Aufsichtsbehörden, inklusive Prüfungen und Zwangsgeldern.

---

Was ist ein TLPT und wer muss ihn durchführen?

Ein Threat-Led Penetration Test simuliert reale Angriffe auf die produktiven Systeme eines Finanzunternehmens, ausgerichtet an aktuellen Bedrohungsszenarien. Nach Artikel 26 DORA ist er mindestens alle drei Jahre fällig. Welche Unternehmen betroffen sind, entscheidet die zuständige Aufsichtsbehörde anhand der Kriterien der Verordnung.

---

Ersetzt DORA die NIS2-Richtlinie?

Nein. DORA geht NIS2 für Finanzunternehmen nur dort vor, wo sich die Pflichten überschneiden, also beim IKT-Risikomanagement und bei den Vorfallsmeldungen. Für Unternehmen außerhalb des Finanzsektors bleibt NIS2 der maßgebliche Rahmen.

---

Wie unterstützt ein Security Rating bei der DORA-Umsetzung?

Ein Security Rating bewertet die von außen sichtbare Angriffsfläche eines Unternehmens anhand messbarer Kriterien. Damit lässt sich die Sicherheitslage der eigenen Systeme und der IKT-Dienstleister kontinuierlich beobachten, etwa als Baustein der laufenden Überwachung nach Säule vier. Die vertragliche und organisatorische Umsetzung von DORA ersetzt ein Rating nicht, es liefert aber belastbare Daten für Risikoentscheidungen.

Fazit: Drittparteirisiko als Daueraufgabe angehen

DORA macht das Management von IKT-Dienstleistern zur laufenden Pflicht: Informationsregister pflegen, Verträge nachschärfen, Dienstleister fortlaufend bewerten. LocateRisk unterstützt Sie dabei mit einem Vendor-Risk-Management, das Fragebögen und KPI-basierte Security Ratings kombiniert. Die Analyse betrachtet die extern sichtbare Angriffsfläche Ihrer Dienstleister, ohne Agenten-Installation, DSGVO-konform und mit Hosting in zertifizierten deutschen Rechenzentren. Erfahren Sie, wie Sie Ihr Vendor-Risk-Management für DORA aufbauen.