Was ist der Digital Operational Resilience Act (DORA)?

DORA legt technische Standards fest, die Finanzinstitute und ihre kritischen Drittanbieter von Technologiedienstleistungen erfüllen müssen. Es trat erstmals am 17. Januar 2025 in Kraft.

DORA verfolgt zwei Hauptziele: die umfassende Behandlung des IKT-Risikomanagements im Finanzdienstleistungssektor und die Harmonisierung der in den einzelnen EU-Mitgliedstaaten bereits bestehenden IKT-Risikomanagementvorschriften.

Vor DORA konzentrierten sich die Risikomanagementvorschriften für Finanzinstitute in der EU in erster Linie darauf, sicherzustellen, dass die Unternehmen über genügend Kapital zur Deckung operationeller Risiken verfügten. Einige EU-Regulierungsbehörden hatten zwar Richtlinien zum IKT- und Sicherheitsrisikomanagement veröffentlicht, doch diese Richtlinien galten nicht für alle Finanzunternehmen gleichermaßen und bezogen sich häufig eher auf allgemeine Grundsätze als auf konkrete technische Standards. In Ermangelung von IKT-Risikomanagementvorschriften auf EU-Ebene haben die EU-Mitgliedstaaten eigene Anforderungen aufgestellt. Für Finanzunternehmen hat es sich als schwierig erwiesen, sich in diesem Flickenteppich an Vorschriften zurechtzufinden.

Mit DORA möchte die EU ein universelles Framework für den Umgang mit und die Minderung von IKT-Risiken im Finanzsektor schaffen. Durch die EU-weite Harmonisierung der Risikomanagementregeln versucht DORA, die Lücken, Überschneidungen und Konflikte zu beseitigen, die zwischen unterschiedlichen Vorschriften in verschiedenen EU-Staaten entstehen konnten. Ein gemeinsames Regelwerk kann Finanzinstituten die Einhaltung der Vorschriften erleichtern und gleichzeitig die Resilienz des gesamten EU-Finanzsystems verbessern, da es sicherstellt, dass alle Institute den gleichen Standards unterliegen.

DORA gilt für alle Finanzinstitute in der EU. Dazu gehören traditionelle Finanzunternehmen wie Banken, Wertpapierfirmen und Kreditinstitute sowie nicht-traditionelle Unternehmen, einschließlich Krypto-Asset-Dienstleistern und Crowdfunding-Plattformen.

Insbesondere gilt DORA auch für einige Unternehmen, die normalerweise von den Finanzvorschriften ausgenommen sind. Zum Beispiel müssen Drittanbieter, die Finanzunternehmen mit IKT-Systemen und -Diensten beliefern – wie Cloud-Service-Anbieter und Rechenzentren– die DORA-Anforderungen erfüllen. DORA gilt auch für Unternehmen, die entscheidende Informationsdienste für Dritte bereitstellen, wie Kreditbewertungsdienste und Datenanalyseanbieter.

Diese Fokussierung auf Drittanbieter bedeutet, dass auch Unternehmen mit Sitz außerhalb Europas für die Einhaltung der regulatorischen Bestimmungen verantwortlich sein können. Zum Beispiel bieten viele Unternehmen in Indien IT- und Geschäftsprozess-Outsourcing-Dienstleistungen für europäische Kunden an; diese indischen Firmen müssen die regulatorischen Anforderungen von DORA beachten, um konform zu bleiben. Unter anderem müssen diese Unternehmen starke Cyberresilienz und Maßnahmen zur Geschäftskontinuität nachweisen.

DORA ist nach jahrelanger Entwicklung seit dem 17. Januar 2025 in Kraft und durchsetzbar. 

DORA wurde erstmals im September 2020 von der Europäischen Kommission – dem für die Gesetzgebung zuständigen Exekutivorgan der EU – vorgeschlagen. Es war Teil eines größeren digitalen Finanzpakets, das auch Initiativen zur Regulierung von Krypto-Assets und zur Verbesserung der EU-Strategie umfasst. Der Rat der Europäischen Union und das Europäische Parlament (die gesetzgebenden Organe, die für die Genehmigung von EU-Rechtsvorschriften zuständig sind) haben die DORA im November 2022 offiziell angenommen.

Die EU hat DORA offiziell verabschiedet, doch es werden noch wichtige Details von den Europäischen Aufsichtsbehörden (ESAs) ausgearbeitet. Die ESAs sind die Regulierungsbehörden, die das EU-Finanzsystem überwachen, darunter die Europäische Bankenaufsichtsbehörde (EBA), die Europäische Wertpapier- und Marktaufsichtsbehörde sowie die Europäische Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung.

Die ESAs waren für die Ausarbeitung der regulatorischen technischen Standards (RTS) und der technische Durchführungsstandards zuständig, die die betroffenen Einrichtungen umsetzen müssen. Viele dieser Standards wurden 2024 finalisiert. So haben Regulierungsbehörden beispielsweise im März 2024 regulatorische technische Standards veröffentlicht, die Werkzeuge, Methoden, Prozesse und Richtlinien für das IKT-Risikomanagement spezifizieren. Sie legten außerdem die Kriterien für die Klassifizierung wichtiger IKT-bezogener Vorfälle und Cyberbedrohungen fest. Ebenfalls 2024 begann die Europäische Kommission mit der Entwicklung eines Frameworks für kritische IKT-Anbieter.

Der DORA-FrameWork gilt ab Juli 2025 als vollständig.

Die Durchsetzung obliegt nun den benannten Aufsichtsbehörden in jedem EU-Mitgliedstaat, den sogenannten „zuständigen Behörden“. Die zuständigen Behörden können von Finanzinstituten verlangen, spezifische Sicherheitsmaßnahmen zu ergreifen und Sicherheitslücken zu beheben. Sie können auch administrative – und in einigen Fällen strafrechtliche – Sanktionen gegen Einrichtungen verhängen, die sich nicht daran halten. Über das Strafmaß entscheidet jeder Mitgliedsstaat selbst.

IKT-Anbieter, die von der Europäischen Kommission als „kritisch“ eingestuft werden, werden direkt von leitenden Aufsichtsbehörden der ESAs überwacht. Im November 2025 nannten Regulierungsbehörden 19 Firmen als „kritisch“, eine Liste, die auch Amazon, Google und IBM umfasst.

Wie die zuständigen Behörden können auch die führenden Aufsichtsstellen Sicherheits- und Abhilfemaßnahmen verlangen und IKT-Anbieter, die die Vorschriften nicht einhalten, bestrafen. DORA erlaubt es führenden Aufsichtsstellen, Bußgelder gegen IKT-Anbieter in Höhe von 1 % des durchschnittlichen weltweiten Tagesumsatzes des Anbieters im vorangegangenen Geschäftsjahr zu erheben. Anbieter können täglich für bis zu sechs Monate mit einer Geldstrafe belegt werden, bis sie die Vorschriften einhalten.

DORA legt technische Anforderungen für Finanzunternehmen und IKT-Anbieter in vier Bereichen fest:

• IKT-Risikomanagement und -Governance
• Reaktion auf Vorfälle und Berichterstellung
• Testen der digitalen operationellen Resilienz
• Risikomanagement anderer Anbieter

Ein Informationsaustausch ist erwünscht, aber nicht Pflicht.

Es wird erwartet, dass die Anforderungen proportional durchgesetzt werden, was bedeutet, dass für kleinere Unternehmen nicht dieselben Standards gelten wie für große Finanzinstitute. Obwohl größere Durchsetzungsmaßnahmen im Jahr 2025 noch nicht für Schlagzeilen sorgten,nennen einige Experten das Jahr 2026 als das Jahr, in dem DORA in eine Reifephase eintritt. „Die Aufsichtsräte sollten sich auf einen neuen Rhythmus der Aufsichtstätigkeit einstellen, der sich auf die operative Resilienz und nicht auf traditionelle Metriken konzentriert“, schreibt Michael Huertas, globaler und europäischer Leiter des Rechtsbereichs Finanzdienstleistungen bei PwC Legal.

DORA überträgt dem Leitungsorgan eines Unternehmens die Verantwortung für das IKT-Management. Von Vorstandsmitgliedern, Führungskräften und anderen leitenden Angestellten wird erwartet, dass sie angemessene Risikomanagementstrategien festlegen, aktiv an deren Umsetzung mitwirken und ihre Kenntnisse über das IKT-Risikopanorama auf dem neuesten Stand halten. Führungskräfte können auch persönlich für die Nichteinhaltung von Vorschriften durch ein Unternehmen zur Verantwortung gezogen werden.

Von den betroffenen Unternehmen wird erwartet, dass sie umfassende Frameworks für das IKT-Risikomanagement entwickeln. Unternehmen müssen ihre IKT-Systeme zuordnen, kritische Assets und Funktionen identifizieren und klassifizieren sowie Abhängigkeiten zwischen Assets, Systemen, Prozessen und Anbietern dokumentieren. Unternehmen müssen kontinuierliche Risikobewertungen ihrer IKT-Systeme durchführen, Cyberbedrohungen dokumentieren und klassifizieren sowie ihre Maßnahmen zur Minderung identifizierter Risiken dokumentieren.

Im Rahmen des Risikobewertungsprozesses müssen Unternehmen Analysen zum Einfluss auf die Geschäftsabläufe durchführen, um zu beurteilen, wie sich bestimmte Szenarien und schwerwiegende Störungen auf das Geschäft auswirken könnten. Unternehmen nutzen die Ergebnisse dieser Analysen, um Risikotoleranzniveaus festzulegen und die Gestaltung ihrer IKT-Infrastruktur zu informieren. Organisationen sind außerdem verpflichtet, geeignete Cybersicherheitsschutzmaßnahmen umzusetzen, wie Richtlinien für Identitäts- und Zugriffsmanagement (IAM) und Patch-Management, zusammen mit technischen Kontrollen wie erweiterte Erkennungs- und Reaktionssysteme, Software für Sicherheitsinformationen und Ereignismanagement (SIEM) sowie Sicherheitsorchestrierung, Automatisierung und Reaktion (SOAR)-Tools.

Unternehmen müssen zudem Geschäftskontinuitäts- und Notfallwiederherstellungspläne für verschiedene Cyberrisikoszenarien wie Ausfälle von IKT-Services, Naturkatastrophen und Cyberangriffe erstellen. Diese Pläne müssen Maßnahmen zur Daten-Backup und Wiederherstellung, Systemwiederherstellungsprozesse sowie Pläne für die Kommunikation mit betroffenen Kunden, Partnern und Behörden umfassen.

Betroffene Einheiten müssen Systeme zur Überwachung, Verwaltung, Protokollierung, Klassifizierung und Meldung von IKT-bezogenen Vorfällen einrichten. Je nach Schwere des Vorfalls müssen Unternehmen ihn möglicherweise sowohl den Aufsichtsbehörden als auch den betroffenen Kunden und Partnern melden.

Unternehmen müssen drei verschiedene Arten von Berichten für kritische Vorfälle einreichen: einen ersten Bericht zur Benachrichtigung der Behörden, einen Zwischenbericht über den Fortschritt bei der Lösung des Vorfalls und einen Abschlussbericht, in dem die Ursachen des Vorfalls analysiert werden.

Die Vorschriften zum Vorfallsmanagement, zur Klassifizierung von Vorfällen, zu den meldepflichtigen Vorfällen und zu den Meldefristen wurden im März 2024 veröffentlicht.

ESAs haben außerdem Wege erforscht, die Berichterstattung zu optimieren, indem sie einen zentralen, EU-weiten Berichtshub und gemeinsame Berichtsvorlagen einrichten. Im Januar 2025 veröffentlichten die ESAs den „Bericht über die Machbarkeit einer weiteren Zentralisierung der Meldung schwerwiegender IKT-bezogener Vorfälle“. Der Bericht kommt zu dem Schluss, dass ein „einheitliches EU-Hub-Szenario machbar ist und gewisse Vorteile mit sich bringt“, allerdings würde die Umsetzung eines solchen Hubs mindestens fünf Jahre dauern. Bislang existieren Meldelösungen nur auf nationaler Ebene. 

Unternehmen müssen ihre IKT-Systeme regelmäßig testen, um die Stärke ihrer Schutzmaßnahmen zu bewerten und ‌Sicherheitslücken zu identifizieren. Die Ergebnisse dieser Tests und Pläne zur Behebung etwaiger festgestellter Schwachstellen werden den zuständigen Behörden gemeldet und von diesen validiert.

Unternehmen müssen einmal im Jahr grundlegende Tests wie Schwachstellenbewertung und szenariobasierte Tests durchführen. Finanzunternehmen, bei denen davon ausgegangen wird, dass sie eine entscheidende Rolle im Finanzsystem spielen, müssen sich zudem alle drei Jahre Threat-Led Penetration Tests (TLPT) unterziehen. Auch die kritischen IKT-Anbieter des Unternehmens müssen an diesen Penetrationstests teilnehmen. Technische Standards zur Durchführung von TLPTs erschienen am 18. Juni 2025 im Amtsblatt der EU und traten 20 Tage später in Kraft.

Ein einzigartiger Aspekt von DORA besteht darin, dass es nicht nur für Finanzunternehmen gilt, sondern auch für IKT-Anbieter mit Kunden im Finanzsektor.

Von Finanzunternehmen wird erwartet, dass sie eine aktive Rolle bei der Bewertung und dem Management von ICT-Drittanbieterrisiken übernehmen. Wenn Finanzinstitute kritische und wichtige Funktionen auslagern, müssen sie spezielle vertragliche Vereinbarungen aushandeln, die unter anderem Ausstiegsstrategien, Prüfungen und Leistungsziele für Zugänglichkeit, Integrität und Sicherheit betreffen. Unternehmen dürfen keine Verträge mit IKT-Anbietern, die diese Anforderungen nicht erfüllen können, abschließen. Die zuständigen Behörden sind befugt, Verträge, die nicht den Vorschriften entsprechen, auszusetzen oder zu kündigen. 

Finanzinstitute müssen auch ihre IKT-Abhängigkeiten von Drittanbietern abbilden und sicherstellen, dass ihre kritischen und wichtigen Funktionen nicht zu stark auf einen einzelnen Anbieter oder eine kleine Gruppe von Anbietern konzentriert sind.

Kritische IKT-Drittanbieter unterliegen der direkten Aufsicht der zuständigen ESAs. Wie bereits erwähnt, erfüllen derzeit 19 Unternehmen diese Standards und eine der ESAs wird als Hauptaufseher beauftragt werden. Neben der Durchsetzung der DORA-Anforderungen für kritische Anbieter können führende Aufsichtsstellen Anbietern verbieten, Verträge mit Finanzunternehmen oder anderen IKT-Anbieter, die nicht DORA-konform sind, abzuschließen.

Finanzunternehmen müssen Prozesse einrichten, um aus internen und externen IKT-bezogenen Vorfällen zu lernen. Zu diesem Zweck ermutigt die DORA Unternehmen, an freiwilligen Vereinbarungen zum Austausch von Threat-Intelligence teilzunehmen. Alle Informationen, die auf diese Weise weitergegeben werden, müssen nach wie vor den einschlägigen Richtlinien entsprechend geschützt werden – personenbezogene Daten zum Beispiel unterliegen weiterhin den Bestimmungen der Datenschutz-Grundverordnung.