{"id":9293,"date":"2026-08-06T10:03:35","date_gmt":"2026-08-06T10:03:35","guid":{"rendered":"http:\/\/locaterisk.com\/de\/?post_type=wissen&#038;p=9293"},"modified":"2026-08-06T11:22:08","modified_gmt":"2026-08-06T11:22:08","slug":"dora-verordnung-ueberblick","status":"publish","type":"wissen","link":"https:\/\/locaterisk.com\/de\/wissen\/dora-verordnung-ueberblick\/","title":{"rendered":"DORA: Der Digital Operational Resilience Act erkl\u00e4rt"},"content":{"rendered":"\n<h1 class=\"wp-block-heading\">DORA: Der Digital Operational Resilience Act erkl\u00e4rt<\/h1>\n<span class=\"lr-ai-disclosure\" style=\"display:block;max-width:843px;margin:8px auto 28px;font-size:14px;line-height:1.4;color:#8b93a7;font-family:inherit;font-style:italic;\">Dieser Text wurde mit k\u00fcnstlicher Intelligenz (KI) erstellt.<\/span>\n\n\n<p>Der Digital Operational Resilience Act (DORA) verpflichtet den europ\u00e4ischen Finanzsektor zu einem einheitlichen Umgang mit IT-Risiken. Die Verordnung gilt seit dem 17. Januar 2025 und betrifft neben Banken und Versicherern auch deren IKT-Dienstleister. Dieser \u00dcberblick erkl\u00e4rt Anwendungsbereich, die f\u00fcnf S\u00e4ulen, Aufsicht, Sanktionen und die Abgrenzung zur NIS2-Richtlinie (Stand: August 2026).<\/p>\n<p><strong>DORA<\/strong> steht f\u00fcr <strong>Digital Operational Resilience Act<\/strong>. Im Deutschen sind die Bezeichnungen <strong>DORA-Verordnung<\/strong> und <strong>Verordnung \u00fcber die digitale operationale Resilienz im Finanzsektor<\/strong> gebr\u00e4uchlich. Die gelegentlich verwendete Formulierung \u201eDORA-Richtlinie\u201c ist ungenau: DORA ist eine unmittelbar geltende EU-Verordnung.<\/p>\n\n\n<h2 class=\"wp-block-heading\">Das Wichtigste in K\u00fcrze<\/h2>\n\n\n\n<ul class=\"wp-block-list\"><li>DORA (Verordnung (EU) 2022\/2554) gilt seit dem 17. Januar 2025 unmittelbar in allen EU-Mitgliedstaaten, ein nationales Umsetzungsgesetz f\u00fcr die Inhalte ist nicht erforderlich.<\/li><li>Betroffen sind rund 20 Kategorien von Finanzunternehmen sowie IKT-Drittdienstleister, die Leistungen f\u00fcr den Finanzsektor erbringen.<\/li><li>Die Verordnung ruht auf f\u00fcnf S\u00e4ulen: IKT-Risikomanagement, Vorfallsmeldungen, Resilienztests, IKT-Drittparteirisiko und Informationsaustausch.<\/li><li>In Deutschland \u00fcberwacht die BaFin die Einhaltung. Das Finanzmarktdigitalisierungsgesetz (FinmadiG) verankert Befugnisse und Bu\u00dfgelder im nationalen Recht.<\/li><li>F\u00fcr Finanzunternehmen geht DORA der NIS2-Richtlinie als spezielleres Regelwerk vor, allerdings nur bei den sich \u00fcberschneidenden Pflichten.<\/li><\/ul>\n\n\n\n<h2 class=\"wp-block-heading\">Was ist der Digital Operational Resilience Act?<\/h2>\n\n\n\n<p>DORA ist eine EU-Verordnung \u00fcber die digitale operationale Resilienz im Finanzsektor. Sie erschien im Dezember 2022 als Verordnung (EU) 2022\/2554 im Amtsblatt der Europ\u00e4ischen Union. Nach einer rund zweij\u00e4hrigen \u00dcbergangsphase ist sie seit dem 17. Januar 2025 verbindlich anzuwenden. Als Verordnung wirkt DORA unmittelbar in jedem Mitgliedstaat, anders als eine Richtlinie braucht sie kein Umsetzungsgesetz f\u00fcr ihre Inhalte.<\/p>\n\n\n\n<p>Das Ziel: Finanzunternehmen sollen IT-St\u00f6rungen und Cyberangriffe verkraften k\u00f6nnen, ohne dass kritische Gesch\u00e4ftsprozesse ausfallen. Daf\u00fcr harmonisiert DORA Anforderungen, die zuvor in nationalen Rundschreiben verstreut waren. In Deutschland hat die BaFin ihre IT-Aufsichtsschreiben VAIT, KAIT und ZAIT zum 17. Januar 2025 aufgehoben, weil DORA deren Inhalte abdeckt. Die BAIT gelten laut BaFin nur noch f\u00fcr Aufsichtsobjekte weiter, die das IKT-Risikomanagement nach DORA noch nicht anwenden m\u00fcssen.<\/p>\n\n\n\n<p>Die Verordnung selbst bildet nur die erste Ebene. Technische Regulierungs- und Durchf\u00fchrungsstandards (RTS und ITS) konkretisieren viele Pflichten, etwa die Klassifizierung von Vorf\u00e4llen, die Inhalte der Meldungen oder die vertraglichen Anforderungen an Dienstleister. Wer DORA umsetzt, muss diese Level-2-Rechtsakte mitlesen.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Wer ist von DORA betroffen?<\/h2>\n\n\n\n<p>Artikel 2 der Verordnung listet rund 20 Kategorien von Finanzunternehmen auf. Dazu z\u00e4hlen unter anderem:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li>Kreditinstitute, Zahlungsinstitute und E-Geld-Institute<\/li><li>Wertpapierfirmen, Handelspl\u00e4tze und zentrale Gegenparteien<\/li><li>Kapitalverwaltungsgesellschaften und Verwalter alternativer Investmentfonds<\/li><li>Versicherungs- und R\u00fcckversicherungsunternehmen sowie gr\u00f6\u00dfere Versicherungsvermittler<\/li><li>Ratingagenturen, Anbieter von Krypto-Dienstleistungen und Schwarmfinanzierungsdienstleister<\/li><\/ul>\n\n\n\n<p>Hinzu kommen IKT-Drittdienstleister, also Anbieter von Cloud-Diensten, Rechenzentren, Software oder Datenanalysen f\u00fcr den Finanzsektor. Sie unterliegen den DORA-Anforderungen mittelbar \u00fcber die Vertr\u00e4ge mit ihren Finanzkunden. Werden sie von den europ\u00e4ischen Aufsichtsbeh\u00f6rden als kritisch eingestuft, greift zus\u00e4tzlich ein direkter \u00dcberwachungsrahmen. F\u00fcr Kleinstunternehmen sieht die Verordnung Erleichterungen vor, einzelne Gruppen wie kleine Versicherungsvermittler sind ausgenommen.<\/p>\n\n\n\n<p>In Deutschland hat das im Dezember 2024 verabschiedete FinmadiG den Kreis zus\u00e4tzlich erweitert. Laut BaFin fallen dadurch weitere Institute nach dem Kreditwesengesetz unter DORA, etwa B\u00fcrgschaftsbanken und Finanzdienstleistungsinstitute. F\u00fcr sie gilt eine \u00dcbergangsfrist bis zum 1. Januar 2027, die Meldepflichten bestehen jedoch bereits seit dem 17. Januar 2025.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Die f\u00fcnf S\u00e4ulen von DORA<\/h2>\n\n\n\n<p>DORA gliedert die Anforderungen in f\u00fcnf Themenbl\u00f6cke, die aufeinander aufbauen:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li><strong>IKT-Risikomanagement (Artikel 5 bis 16):<\/strong> Finanzunternehmen ben\u00f6tigen einen dokumentierten Rahmen f\u00fcr Identifikation, Schutz, Erkennung, Reaktion und Wiederherstellung. Das Leitungsorgan tr\u00e4gt die Letztverantwortung und muss die Umsetzung aktiv steuern. Kleinere Unternehmen d\u00fcrfen einen vereinfachten Rahmen anwenden.<\/li><li><strong>Behandlung und Meldung IKT-bezogener Vorf\u00e4lle (Artikel 17 bis 23):<\/strong> Vorf\u00e4lle sind nach einheitlichen Kriterien zu erfassen, zu klassifizieren und bei schwerwiegender Einstufung fristgebunden an die Aufsicht zu melden.<\/li><li><strong>Tests der digitalen operationalen Resilienz (Artikel 24 bis 27):<\/strong> Ein risikobasiertes Testprogramm ist Pflicht. Von der Aufsicht bestimmte Unternehmen m\u00fcssen zus\u00e4tzlich mindestens alle drei Jahre einen bedrohungsorientierten Penetrationstest (TLPT) durchf\u00fchren.<\/li><li><strong>Management des IKT-Drittparteirisikos (Artikel 28 bis 44):<\/strong> Vertr\u00e4ge mit IKT-Dienstleistern brauchen definierte Mindestinhalte, alle Auslagerungsbeziehungen geh\u00f6ren in ein Informationsregister. F\u00fcr kritische IKT-Drittdienstleister gilt ein eigener \u00dcberwachungsrahmen. Details erkl\u00e4rt der Beitrag zum <a href=\"\/de\/wissen\/dora-ikt-drittparteirisiko\/\">IKT-Drittparteirisiko unter DORA<\/a>.<\/li><li><strong>Informationsaustausch (Artikel 45):<\/strong> Finanzunternehmen d\u00fcrfen Bedrohungsinformationen und Erkenntnisse zu Cyberangriffen in vertrauensw\u00fcrdigen Kreisen freiwillig teilen.<\/li><\/ul>\n\n\n\n<p>In der Praxis bindet die vierte S\u00e4ule die meisten Ressourcen. Viele Finanzunternehmen kennen zwar ihre Vertr\u00e4ge, aber nicht die tats\u00e4chliche Sicherheitslage ihrer Dienstleister. Genau hier setzen kontinuierliche Bewertungsverfahren an.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Meldepflichten: Fristen f\u00fcr schwerwiegende IKT-Vorf\u00e4lle<\/h2>\n\n\n\n<p>Die Meldefristen legt die Delegierte Verordnung (EU) 2025\/301 fest. Sie sieht ein dreistufiges Verfahren vor:<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Meldung<\/th><th>Frist<\/th><th>Inhalt<\/th><\/tr><\/thead><tbody><tr><td>Erstmeldung<\/td><td>Innerhalb von 4 Stunden nach Einstufung als schwerwiegend, sp\u00e4testens 24 Stunden nach Kenntnis vom Vorfall<\/td><td>Erste Einordnung, betroffene Dienste, vorl\u00e4ufige Bewertung<\/td><\/tr><tr><td>Zwischenmeldung<\/td><td>Sp\u00e4testens 72 Stunden nach \u00dcbermittlung der Erstmeldung<\/td><td>Statusaktualisierung, Auswirkungen, ergriffene Ma\u00dfnahmen<\/td><\/tr><tr><td>Abschlussmeldung<\/td><td>Sp\u00e4testens einen Monat nach der letzten (aktualisierten) Zwischenmeldung<\/td><td>Ursachenanalyse, tats\u00e4chliche Auswirkungen, Abhilfema\u00dfnahmen<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p>In Deutschland nimmt die BaFin die Meldungen als zentrale Stelle entgegen. F\u00e4llt eine Frist auf ein Wochenende oder einen Feiertag, d\u00fcrfen Finanzunternehmen bis 12 Uhr des n\u00e4chsten Arbeitstages melden. F\u00fcr Erst- und Zwischenmeldungen von Kreditinstituten, zentralen Gegenparteien, Handelsplatzbetreibern und als wesentlich oder wichtig eingestuften NIS2-Einrichtungen gilt diese Erleichterung nicht. Zus\u00e4tzlich k\u00f6nnen Finanzunternehmen erhebliche Cyberbedrohungen freiwillig melden. Wer diese Fristen einhalten will, braucht eingespielte Erkennungs- und Klassifizierungsprozesse, eine reine Ad-hoc-Reaktion reicht nicht aus.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Aufsicht: BaFin und der europ\u00e4ische \u00dcberwachungsrahmen<\/h2>\n\n\n\n<p>F\u00fcr deutsche Finanzunternehmen ist die BaFin die zust\u00e4ndige Aufsichtsbeh\u00f6rde, sie arbeitet dabei eng mit der Deutschen Bundesbank zusammen. Die BaFin fungiert als nationale Meldestelle f\u00fcr IKT-Vorf\u00e4lle, nimmt die Informationsregister zum Drittparteirisiko entgegen und wertet die Daten mit Blick auf Risiken f\u00fcr den Finanzsektor aus. Sie entscheidet au\u00dferdem, welche Unternehmen bedrohungsorientierte Penetrationstests durchf\u00fchren m\u00fcssen.<\/p>\n\n\n\n<p>Neu ist die europ\u00e4ische Ebene: Die drei EU-Aufsichtsbeh\u00f6rden EBA, EIOPA und ESMA stufen einzelne IKT-Drittdienstleister als kritisch f\u00fcr den Finanzsektor ein. F\u00fcr jeden kritischen Anbieter \u00fcbernimmt eine federf\u00fchrende \u00dcberwachungsbeh\u00f6rde die direkte Aufsicht, mit Auskunfts-, Untersuchungs- und Inspektionsrechten bis hin zu Vor-Ort-Pr\u00fcfungen. Damit unterliegen gro\u00dfe Cloud- und IT-Anbieter erstmals einer eigenen Finanzaufsicht auf EU-Ebene, obwohl sie selbst keine Finanzunternehmen sind.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Sanktionen bei Verst\u00f6\u00dfen<\/h2>\n\n\n\n<p>DORA schreibt keine EU-weit einheitlichen Bu\u00dfgeldh\u00f6hen f\u00fcr Finanzunternehmen vor. Artikel 50 verpflichtet die Mitgliedstaaten, Sanktionen und Abhilfema\u00dfnahmen festzulegen, die \u201ewirksam, verh\u00e4ltnism\u00e4\u00dfig und abschreckend\u201c sind. In Deutschland hat das FinmadiG die Sanktionsnormen unter anderem im Kreditwesengesetz verankert. \u00a7 56 KWG erfasst seither auch DORA-Verst\u00f6\u00dfe; f\u00fcr juristische Personen sieht er bei bestimmten Verst\u00f6\u00dfen Bu\u00dfgelder bis zu 20 Millionen Euro oder zehn Prozent des j\u00e4hrlichen Gesamtumsatzes vor, je nachdem, welcher Betrag h\u00f6her ist.<\/p>\n\n\n\n<p>F\u00fcr kritische IKT-Drittdienstleister enth\u00e4lt die Verordnung selbst ein scharfes Instrument: Die federf\u00fchrende \u00dcberwachungsbeh\u00f6rde kann nach Artikel 35 DORA Zwangsgelder von bis zu einem Prozent des durchschnittlichen weltweiten Tagesumsatzes im vorangegangenen Gesch\u00e4ftsjahr verh\u00e4ngen, und zwar t\u00e4glich \u00fcber einen Zeitraum von bis zu sechs Monaten.<\/p>\n\n\n\n<p>Hinzu kommt die pers\u00f6nliche Dimension: Das Leitungsorgan tr\u00e4gt nach Artikel 5 DORA die Letztverantwortung f\u00fcr das IKT-Risikomanagement. Gesch\u00e4ftsleitungen, die Umsetzung und Kontrolle vernachl\u00e4ssigen, setzen sich damit auch pers\u00f6nlichen Haftungsrisiken aus.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">DORA und NIS2: Gemeinsamkeiten und Unterschiede<\/h2>\n\n\n\n<p>DORA und die <a href=\"\/de\/wissen\/nis2-richtlinie-ueberblick\/\">NIS2-Richtlinie<\/a> stammen beide aus dem EU-Gesetzgebungspaket vom Dezember 2022, verfolgen aber unterschiedliche Ans\u00e4tze. Artikel 4 der NIS2-Richtlinie regelt das Verh\u00e4ltnis: Sektorspezifische Rechtsakte mit mindestens gleichwertiger Wirkung gehen vor. F\u00fcr Finanzunternehmen gilt DORA deshalb als lex specialis, allerdings nur f\u00fcr das IKT-Risikomanagement und die Vorfallsmeldungen. Ein \u00dcberblick \u00fcber die <a href=\"\/de\/wissen\/nis2-anforderungen-pflichtmassnahmen\/\">NIS2-Anforderungen und Pflichtma\u00dfnahmen<\/a> zeigt, welche Themen die Richtlinie dar\u00fcber hinaus abdeckt.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Kriterium<\/th><th>DORA<\/th><th>NIS2<\/th><\/tr><\/thead><tbody><tr><td>Rechtscharakter<\/td><td>EU-Verordnung, unmittelbar anwendbar<\/td><td>EU-Richtlinie, nationale Umsetzung erforderlich<\/td><\/tr><tr><td>Geltung<\/td><td>Verbindlich seit 17. Januar 2025<\/td><td>Umsetzungsfrist 17. Oktober 2024, Stand der Umsetzung je Mitgliedstaat unterschiedlich<\/td><\/tr><tr><td>Adressaten<\/td><td>Finanzunternehmen und IKT-Drittdienstleister<\/td><td>18 Sektoren, u. a. Energie, Transport, Gesundheit, digitale Infrastruktur<\/td><\/tr><tr><td>Schwerpunkt<\/td><td>Digitale operationale Resilienz der IKT-Systeme im Finanzsektor<\/td><td>Cybersicherheits-Risikomanagement und Meldepflichten branchen\u00fcbergreifend<\/td><\/tr><tr><td>Aufsicht in Deutschland<\/td><td>BaFin, in Zusammenarbeit mit der Bundesbank<\/td><td>BSI, nach Ma\u00dfgabe der nationalen Umsetzung<\/td><\/tr><tr><td>Sanktionsrahmen<\/td><td>National geregelt, in Deutschland u. a. \u00fcber das KWG; Zwangsgelder f\u00fcr kritische IKT-Drittdienstleister bis 1 % des weltweiten Tagesumsatzes<\/td><td>F\u00fcr wesentliche Einrichtungen mindestens 10 Mio. Euro oder 2 % des weltweiten Umsatzes, f\u00fcr wichtige Einrichtungen 7 Mio. Euro oder 1,4 %<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p>Wichtig f\u00fcr die Praxis: Die Vorrangregel befreit Finanzunternehmen nicht pauschal von NIS2. Sie ersetzt nur die Pflichten, die DORA gleichwertig oder strenger regelt. Konzerne mit Gesellschaften innerhalb und au\u00dferhalb des Finanzsektors m\u00fcssen beide Regelwerke parallel im Blick behalten.<\/p>\n\n\n\n<div class=\"wp-block-lr-faq-module\"><div class=\"content\"><h3>H\u00e4ufige Fragen<\/h3><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\">Seit wann ist DORA verpflichtend anzuwenden?<\/a><img class=\"collapse-toggle\" srcset=\"http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">Die Verordnung trat im Januar 2023 in Kraft und ist seit dem 17. Januar 2025 verbindlich anzuwenden. F\u00fcr Institute, die erst durch das deutsche FinmadiG unter DORA fallen, gilt laut BaFin eine \u00dcbergangsfrist bis zum 1. Januar 2027, die Meldepflichten bestehen f\u00fcr sie aber bereits.<\/p><\/div><\/div><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\">Gilt DORA auch f\u00fcr IT-Dienstleister au\u00dferhalb des Finanzsektors?<\/a><img class=\"collapse-toggle\" srcset=\"http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">Ja, in zwei Stufen. Alle IKT-Drittdienstleister von Finanzunternehmen treffen die Anforderungen mittelbar \u00fcber die vertraglichen Mindestinhalte, die ihre Kunden durchsetzen m\u00fcssen. Als kritisch eingestufte Anbieter unterliegen zus\u00e4tzlich der direkten \u00dcberwachung durch die europ\u00e4ischen Aufsichtsbeh\u00f6rden, inklusive Pr\u00fcfungen und Zwangsgeldern.<\/p><\/div><\/div><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\">Was ist ein TLPT und wer muss ihn durchf\u00fchren?<\/a><img class=\"collapse-toggle\" srcset=\"http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">Ein Threat-Led Penetration Test simuliert reale Angriffe auf die produktiven Systeme eines Finanzunternehmens, ausgerichtet an aktuellen Bedrohungsszenarien. Nach Artikel 26 DORA ist er mindestens alle drei Jahre f\u00e4llig. Welche Unternehmen betroffen sind, entscheidet die zust\u00e4ndige Aufsichtsbeh\u00f6rde anhand der Kriterien der Verordnung.<\/p><\/div><\/div><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\">Ersetzt DORA die NIS2-Richtlinie?<\/a><img class=\"collapse-toggle\" srcset=\"http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">Nein. DORA geht NIS2 f\u00fcr Finanzunternehmen nur dort vor, wo sich die Pflichten \u00fcberschneiden, also beim IKT-Risikomanagement und bei den Vorfallsmeldungen. F\u00fcr Unternehmen au\u00dferhalb des Finanzsektors bleibt NIS2 der ma\u00dfgebliche Rahmen.<\/p><\/div><\/div><div class=\"faq-topic\"><hr\/><div class=\"collapsible-title\"><a class=\"pr-4\">Wie unterst\u00fctzt ein Security Rating bei der DORA-Umsetzung?<\/a><img class=\"collapse-toggle\" srcset=\"http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@3x.png 3x,http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus@2x.png 2x,http:\/\/locaterisk.com\/wp-content\/plugins\/locate-risk-prod\/lr-blocks\/faq-module\/img\/ic-plus.png 1x\"\/><\/div><div class=\"collapsible-content\"><p class=\"font-normal\">Ein <a href=\"\/de\/wissen\/was-ist-ein-security-rating\/\">Security Rating<\/a> bewertet die von au\u00dfen sichtbare Angriffsfl\u00e4che eines Unternehmens anhand messbarer Kriterien. Damit l\u00e4sst sich die Sicherheitslage der eigenen Systeme und der IKT-Dienstleister kontinuierlich beobachten, etwa als Baustein der laufenden \u00dcberwachung nach S\u00e4ule vier. Die vertragliche und organisatorische Umsetzung von DORA ersetzt ein Rating nicht, es liefert aber belastbare Daten f\u00fcr Risikoentscheidungen.<\/p><\/div><\/div><\/div><\/div>\n\n\n\n<h2 class=\"wp-block-heading\">Fazit: Drittparteirisiko als Daueraufgabe angehen<\/h2>\n\n\n\n<p>DORA macht das Management von IKT-Dienstleistern zur laufenden Pflicht: Informationsregister pflegen, Vertr\u00e4ge nachsch\u00e4rfen, Dienstleister fortlaufend bewerten. LocateRisk unterst\u00fctzt Sie dabei mit einem Vendor-Risk-Management, das Frageb\u00f6gen und KPI-basierte Security Ratings kombiniert. Die Analyse betrachtet die extern sichtbare Angriffsfl\u00e4che Ihrer Dienstleister, ohne Agenten-Installation, DSGVO-konform und mit Hosting in zertifizierten deutschen Rechenzentren. <a href=\"\/de\/landing\/vendor-risk-management-leicht-gemacht\/\">Erfahren Sie, wie Sie Ihr Vendor-Risk-Management f\u00fcr DORA aufbauen<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Was der Digital Operational Resilience Act regelt: Anwendungsbereich, f\u00fcnf S\u00e4ulen, BaFin-Aufsicht, Sanktionen und der Unterschied zur NIS2-Richtlinie.<\/p>\n","protected":false},"author":0,"featured_media":0,"template":"","wissen_thema":[819],"class_list":["post-9293","wissen","type-wissen","status-publish","hentry","wissen_thema-regulatorik-compliance"],"yoast_head":"<!-- This site is optimized with the Yoast SEO plugin v28.2 - https:\/\/yoast.com\/product\/yoast-seo-wordpress\/ -->\n<title>DORA-Verordnung: \u00dcberblick und Pflichten \u2013 LocateRisk<\/title>\n<meta name=\"description\" content=\"DORA im \u00dcberblick: Betroffene, die f\u00fcnf S\u00e4ulen, BaFin-Aufsicht, Sanktionen und Abgrenzung zu NIS2. Kompakt f\u00fcr Finanzunternehmen und IKT-Dienstleister.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"http:\/\/locaterisk.com\/de\/wissen\/dora-verordnung-ueberblick\/\" \/>\n<meta property=\"og:locale\" content=\"de_DE\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"DORA-Verordnung: \u00dcberblick und Pflichten \u2013 LocateRisk\" \/>\n<meta property=\"og:description\" content=\"DORA im \u00dcberblick: Betroffene, die f\u00fcnf S\u00e4ulen, BaFin-Aufsicht, Sanktionen und Abgrenzung zu NIS2. Kompakt f\u00fcr Finanzunternehmen und IKT-Dienstleister.\" \/>\n<meta property=\"og:url\" content=\"http:\/\/locaterisk.com\/de\/wissen\/dora-verordnung-ueberblick\/\" \/>\n<meta property=\"og:site_name\" content=\"LocateRisk\" \/>\n<meta property=\"article:modified_time\" content=\"2026-08-06T11:22:08+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/11\/Kettenglieder_Generisch_03-1.jpg\" \/>\n\t<meta property=\"og:image:width\" content=\"1080\" \/>\n\t<meta property=\"og:image:height\" content=\"1080\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/jpeg\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Gesch\u00e4tzte Lesezeit\" \/>\n\t<meta name=\"twitter:data1\" content=\"9\u00a0Minuten\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\\\/\\\/schema.org\",\"@graph\":[{\"@type\":\"WebPage\",\"@id\":\"http:\\\/\\\/locaterisk.com\\\/de\\\/wissen\\\/dora-verordnung-ueberblick\\\/\",\"url\":\"http:\\\/\\\/locaterisk.com\\\/de\\\/wissen\\\/dora-verordnung-ueberblick\\\/\",\"name\":\"DORA-Verordnung: \u00dcberblick und Pflichten \u2013 LocateRisk\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#website\"},\"datePublished\":\"2026-08-06T10:03:35+00:00\",\"dateModified\":\"2026-08-06T11:22:08+00:00\",\"description\":\"DORA im \u00dcberblick: Betroffene, die f\u00fcnf S\u00e4ulen, BaFin-Aufsicht, Sanktionen und Abgrenzung zu NIS2. Kompakt f\u00fcr Finanzunternehmen und IKT-Dienstleister.\",\"breadcrumb\":{\"@id\":\"http:\\\/\\\/locaterisk.com\\\/de\\\/wissen\\\/dora-verordnung-ueberblick\\\/#breadcrumb\"},\"inLanguage\":\"de\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"http:\\\/\\\/locaterisk.com\\\/de\\\/wissen\\\/dora-verordnung-ueberblick\\\/\"]}]},{\"@type\":\"BreadcrumbList\",\"@id\":\"http:\\\/\\\/locaterisk.com\\\/de\\\/wissen\\\/dora-verordnung-ueberblick\\\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Home\",\"item\":\"http:\\\/\\\/locaterisk.com\\\/de\\\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Wissen\",\"item\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/wissen\\\/\"},{\"@type\":\"ListItem\",\"position\":3,\"name\":\"DORA: Der Digital Operational Resilience Act erkl\u00e4rt\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#website\",\"url\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/\",\"name\":\"LocateRisk\",\"description\":\"IT-Sicherheit messen und vergleichen\",\"publisher\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"de\"},{\"@type\":\"Organization\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#organization\",\"name\":\"LocateRisk\",\"url\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"de\",\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#\\\/schema\\\/logo\\\/image\\\/\",\"url\":\"https:\\\/\\\/locaterisk.com\\\/wp-content\\\/uploads\\\/2020\\\/11\\\/Kettenglieder_V0216-9.jpg\",\"contentUrl\":\"https:\\\/\\\/locaterisk.com\\\/wp-content\\\/uploads\\\/2020\\\/11\\\/Kettenglieder_V0216-9.jpg\",\"width\":1920,\"height\":1080,\"caption\":\"LocateRisk\"},\"image\":{\"@id\":\"https:\\\/\\\/locaterisk.com\\\/de\\\/#\\\/schema\\\/logo\\\/image\\\/\"},\"sameAs\":[\"https:\\\/\\\/www.linkedin.com\\\/company\\\/locaterisk\\\/\"]}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"DORA-Verordnung: \u00dcberblick und Pflichten \u2013 LocateRisk","description":"DORA im \u00dcberblick: Betroffene, die f\u00fcnf S\u00e4ulen, BaFin-Aufsicht, Sanktionen und Abgrenzung zu NIS2. Kompakt f\u00fcr Finanzunternehmen und IKT-Dienstleister.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"http:\/\/locaterisk.com\/de\/wissen\/dora-verordnung-ueberblick\/","og_locale":"de_DE","og_type":"article","og_title":"DORA-Verordnung: \u00dcberblick und Pflichten \u2013 LocateRisk","og_description":"DORA im \u00dcberblick: Betroffene, die f\u00fcnf S\u00e4ulen, BaFin-Aufsicht, Sanktionen und Abgrenzung zu NIS2. Kompakt f\u00fcr Finanzunternehmen und IKT-Dienstleister.","og_url":"http:\/\/locaterisk.com\/de\/wissen\/dora-verordnung-ueberblick\/","og_site_name":"LocateRisk","article_modified_time":"2026-08-06T11:22:08+00:00","og_image":[{"width":1080,"height":1080,"url":"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/11\/Kettenglieder_Generisch_03-1.jpg","type":"image\/jpeg"}],"twitter_card":"summary_large_image","twitter_misc":{"Gesch\u00e4tzte Lesezeit":"9\u00a0Minuten"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"WebPage","@id":"http:\/\/locaterisk.com\/de\/wissen\/dora-verordnung-ueberblick\/","url":"http:\/\/locaterisk.com\/de\/wissen\/dora-verordnung-ueberblick\/","name":"DORA-Verordnung: \u00dcberblick und Pflichten \u2013 LocateRisk","isPartOf":{"@id":"https:\/\/locaterisk.com\/de\/#website"},"datePublished":"2026-08-06T10:03:35+00:00","dateModified":"2026-08-06T11:22:08+00:00","description":"DORA im \u00dcberblick: Betroffene, die f\u00fcnf S\u00e4ulen, BaFin-Aufsicht, Sanktionen und Abgrenzung zu NIS2. Kompakt f\u00fcr Finanzunternehmen und IKT-Dienstleister.","breadcrumb":{"@id":"http:\/\/locaterisk.com\/de\/wissen\/dora-verordnung-ueberblick\/#breadcrumb"},"inLanguage":"de","potentialAction":[{"@type":"ReadAction","target":["http:\/\/locaterisk.com\/de\/wissen\/dora-verordnung-ueberblick\/"]}]},{"@type":"BreadcrumbList","@id":"http:\/\/locaterisk.com\/de\/wissen\/dora-verordnung-ueberblick\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"http:\/\/locaterisk.com\/de\/"},{"@type":"ListItem","position":2,"name":"Wissen","item":"https:\/\/locaterisk.com\/de\/wissen\/"},{"@type":"ListItem","position":3,"name":"DORA: Der Digital Operational Resilience Act erkl\u00e4rt"}]},{"@type":"WebSite","@id":"https:\/\/locaterisk.com\/de\/#website","url":"https:\/\/locaterisk.com\/de\/","name":"LocateRisk","description":"IT-Sicherheit messen und vergleichen","publisher":{"@id":"https:\/\/locaterisk.com\/de\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/locaterisk.com\/de\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"de"},{"@type":"Organization","@id":"https:\/\/locaterisk.com\/de\/#organization","name":"LocateRisk","url":"https:\/\/locaterisk.com\/de\/","logo":{"@type":"ImageObject","inLanguage":"de","@id":"https:\/\/locaterisk.com\/de\/#\/schema\/logo\/image\/","url":"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/11\/Kettenglieder_V0216-9.jpg","contentUrl":"https:\/\/locaterisk.com\/wp-content\/uploads\/2020\/11\/Kettenglieder_V0216-9.jpg","width":1920,"height":1080,"caption":"LocateRisk"},"image":{"@id":"https:\/\/locaterisk.com\/de\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.linkedin.com\/company\/locaterisk\/"]}]}},"_links":{"self":[{"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/wissen\/9293","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/wissen"}],"about":[{"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/types\/wissen"}],"version-history":[{"count":5,"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/wissen\/9293\/revisions"}],"predecessor-version":[{"id":9337,"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/wissen\/9293\/revisions\/9337"}],"wp:attachment":[{"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/media?parent=9293"}],"wp:term":[{"taxonomy":"wissen_thema","embeddable":true,"href":"https:\/\/locaterisk.com\/de\/wp-json\/wp\/v2\/wissen_thema?post=9293"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}