DORA – Digital Operational Resilience Act: Was kommt auf Unternehmen zu?
Seit dem 17. Januar 2025 gibt es den Digital Operational Resilience Act (DORA) – eine EU-Vorschrift, welche für ein einheitlich hohes Niveau an digitaler Widerstandsfähigkeit im europäischen Finanzsektor sorgen soll. Was zunächst nach einem Spezialthema für Banken klingt, betrifft mittlerweile weit mehr Firmen als gedacht. Wer DORA bislang nicht todernst genommen hat, riskiert empfindliche Sanktionen – und einen Vertrauensverlust bei Kunden und Geschäftspartnern…
Wenn Ihr Unternehmen Bankgeschäfte abwickelt, Versicherungsleistungen erbringt oder mit Finanzdienstleistern als Kunde oder Partner zusammenarbeitet, hat sich Ihre regulatorische Welt im Januar 2025 gewandelt. Mit dem Digital Operational Resilience Act, kurz DORA, hat die EU erstmals einen harmonisierten, verbindlichen Rahmen für die digitale Widerstandsfähigkeit im Finanzsektor erschaffen. Die Verordnung gilt direkt, ohne nationale Implementierung – und diese greift tief in IT-Strukturen, Policen und Verfahren ein.
Die deutsche Finanzaufsicht BaFin hat 2026 unmissverständlich zur Bewährungsprobe erklärt: Geprüft wird nicht mehr, ob DORA implementiert wurde, sondern wie stringent. Welche Pflichten DORA konkret vorschreibt, wer im Anwendungsgebiet liegt und welche Sanktionen drohen – wir liefern Ihnen den strukturierten Überblick. Eine maßgebliche Themenseite zur Verordnung wie auch zur Aufsichtspraxis stellt die BaFin bereit .
Inhaltsverzeichnis
Die DORA-Verordnung verständlich erklärt
Der Digital Operational Resilience Act, bzw. die Verordnung (EU) 2022/2554, ist schon seit dem 17. Januar 2025 vollumfänglich anwendbar. Mit DORA hat die EU erstmals einen harmonisierten Rahmen für IKT-Sicherheit, Cyberresilienz und IT-Risikomanagement im gesamten Finanzsektor geschaffen. Davor galten in jedem Mitgliedsstaat unterschiedliche Vorgaben – in Deutschland etwa die Bankaufsichtlichen Anforderungen an die IT (BAIT) oder die Versicherungsaufsichtlichen Bedingungen an die IT (VAIT).
Der Grundgedanke ist einfach: Finanzunternehmen sollen digitale Probleme, Cyberangriffe und Ausfälle nicht nur verhindern, sondern auch dann handlungsfähig bleiben, wenn etwas misslingt. Es geht also nicht mehr bloß um Prävention, sondern klar und deutlich um Resilienz – die Fähigkeit, Vorfälle zu erkennen, einzudämmen, abzuwickeln und schnell wieder in den Normalbetrieb zurückzukehren. Diesen Ansatz fasst die englische Begrifflichkeit „operational resilience“ treffend zusammen.
Wichtig zu wissen: DORA erneuert in Deutschland größtenteils die bisherigen sektoralen IT-Aufsichtsregeln. Wer als Bank, Versicherer oder Wertpapierfirma bisher nach BAIT oder VAIT vorgegangen ist, muss heute DORA-standardisiert sein. Übergangsfristen für einzelne verbleibende Institutsgruppen laufen zum Ablauf von 2026 endgültig aus.
Wer unter DORA fällt – und wer indirekt betroffen ist
Der Anwendungsbereich von DORA ist breit – und das verwundert viele Entscheidungsträger. Direkt erfasst sind nahezu alle beaufsichtigten Finanzunternehmen im EU-Raum, darunter:
Banken und Kreditinstitute jeder Dimension
Wertpapierfirmen, Investmentgesellschaften sowie Kapitalverwalter
Zahlungsdienstleister sowie E-Geld-Institute
Zentralverwahrer, Transaktionsregister und Datenbereitstellungsdienste
Krypto-Asset-Dienstleister, Crowdfunding-Portale und Handelsplätze
Versicherungs- und Rückversicherungsunternehmen
Dadurch fallen auch zahlreiche mittelgroße Akteure unter die Verordnung – zum Beispiel kleinere Volks- und Raiffeisenbanken, regionale Versicherer oder Fintech-Startups. Ausnahmen gelten nur für sogenannte Kleinstunternehmen mit weniger als zehn Mitarbeitern und einer Bilanzsumme oder einem Jahresumsatz unterhalb zwei Millionen Euro.
Ebenso wichtig ist die zweite Konstellation: Sie können auch dann von DORA betroffen sein, wenn Sie selber kein Finanzunternehmen sind, aber als Geschäftspartner oder Dienstleister für Finanzunternehmen aktiv sind. Im DORA-Sprachgebrauch heißen jene Unternehmen „IKT-Drittdienstleister“. Erfasst sind sämtliche Anbieter von digitalen Services, die Finanzunternehmen unterstützen – vom riesigen Cloud-Dienstleister über Rechenzentrumsbetreiber bis hin zu Software-Häusern sowie IT-Spezialisten. Der Bankenverband bringt es auf den Punkt: DORA betrifft „auch bestimmte IT-Dienstleister, die mit diesen Unternehmen zusammenarbeiten“.
In der Praxis heißt das: Ihre Bestandsverträge mit Finanzkunden werden überarbeitet, Audit-Rechte des Klienten werden ausgebaut, Service Level Agreements verschärft, Berichtspflichten konkretisiert. Wer bisher mit schlanken Standardverträgen gearbeitet hat, wird Anpassungen vornehmen müssen.
Was DORA von betroffenen Unternehmen verlangt
DORA strukturiert sich in fünf zentrale Pflichtenbereiche, welche zusammen das Rückgrat der Verordnung darstellen:
IKT-Risikomanagement: Finanzunternehmen müssen einen umfassenden Governance- und Kontrollrahmen aufbauen, der IT-Gefahren systematisch identifiziert, bewertet wie auch steuert. Die Geschäftsleitung trägt explizit die Gesamtverantwortung – eine Delegation an den IT-Leiter reicht nicht mehr aus.
IKT-Vorfallsmanagement und Meldepflichten: Erhebliche Vorfälle müssen innerhalb von 24 Stunden nach Entdeckung an die Aufsicht gemeldet werden, eine Erstklassifizierung sogar binnen vier Stunden. Innerhalb von 72 Stunden folgt eine Zwischenmeldung, nach einem Monat ein Abschlussbericht.
Resilienz-Tests: Wiederkehrende technische Prüfungen sind obligatorisch. Penetrationstests an Live-Systemen sind mindestens alle drei Jahre eingeplant, für systemrelevante Institute zusätzlich sogenannte Threat-Led Penetration Tests (TLPT).
Drittparteienrisikomanagement: Jeder Vertrag mit einem IKT-Dienstleister muss erfasst, bewertet und in einem Informationsregister hinterlegt werden. Dieser Index ist jedes Jahr an die BaFin zu melden – 2026 erfolgte die Einsendung zwischen dem 9. und 30. März.
Informationsaustausch: Finanzunternehmen sollen Erkenntnisse zu Cyberbedrohungen aktiv mit anderen Marktteilnehmern teilen, um die kollektive Abwehrfähigkeit zu stärken.
Vor allem das Informationsregister erweist sich zu einer Herausforderung in der Praxis. Es muss die gesamte Subunternehmer-Kette darstellen, Datenstandorte aufzeigen und Exit-Strategien protokollieren – ein Detailgrad, der vielen Firmen im ersten Anlauf erhebliche Mühe bereitet hat. Zusätzliche FAQ zum Drittparteienrisikomanagement stellt die BaFin fortlaufend aktualisiert bereit.
Wenn DORA nicht eingehalten wird
Die Strafmaßnahmen unter DORA sind kein theoretisches Konstrukt. Bei Verstößen drohen Finanzunternehmen Bußgelder von bis zu 10 Millionen Euro oder fünf Prozent des jährlichen Gesamtnettoumsatzes (Artikel 50 DORA). Dazu kommen Zwangsgelder von bis zu 2,5 Mio Euro nach dem deutschen Finanzmarktdigitalisierungsgesetz und – besonders unangenehm – die persönliche Haftung der Leitungsebene. Vorstände können also direkt belangt werden.
Für kritische IKT-Drittdienstleister bestehen eigene Schwellen, aber nicht weniger bedeutende: Hier können Zwangsgelder bis zu einem Prozent des durchschnittlichen tagtäglichen weltweiten Umsatzes verhängt werden. Eine zweite Sanktionsebene ist der Reputationsschaden: Die BaFin macht Verstöße auf ihrer Website öffentlich – ein Risiko, welches gerade für Unternehmen mit hoher Marktnähe gewaltig ins Gewicht fällt.
Wir sehen in unserer Praxis als IT-Dienstleister immer wieder, dass DORA mehr ist als eine weitere Compliance-Pflicht. Die Verordnung ist ein Realitätstest für die Professionalität einer IT-Sicherheitsorganisation. Wer DORA praxisnah umsetzt, gewinnt nicht nur Rechtssicherheit, sondern auch eine besser organisierte und dokumentierte IT-Landschaft – ein Vorteil, der weit über die regulatorische Anforderung hinausgeht.
Wenn DORA nicht eingehalten wird
DORA ist seit mehr als einem Jahr präsent, aber die wirkliche Bewährungsprobe beginnt gerade jetzt. Die BaFin hat 2026 zum Zeitpunkt der intensivierten Prüfungen erklärt – mit klaren Schwerpunkten beim Informationsregister, beim Vorfalls-Reporting und bei den Resilienz-Tests. Die Zeit der Schonfrist ist vorbei.
Unsere Empfehlungshaltung: Erfassen Sie DORA nicht als reine Pflichtübung, sondern als Anlass, Ihre IT-Sicherheits- und Vertragsarchitektur einmal umfassend zu überprüfen. Wer eine Analyse jetzt systematisch angeht, vermeidet hektische Aktionen unter Aufsichtsdruck – und gewinnt operative Transparenz, die sich auch in vielen anderen Gebieten auszahlt.
Sie sind unsicher, ob und wie DORA Ihr Unternehmen betrifft, oder wollen den Einstieg in die Umsetzung nicht alleine angehen? Sprechen Sie uns gerne an – als Ihr IT-Dienstleister stehen wir Ihnen mit unserer Erfahrung bei Erfassung, Konzeption und Implementierung zur Seite.
FAQ zur DORA-Verordnung
Was unterscheidet DORA von den bisherigen BAIT- und VAIT-Vorgaben?
Während BAIT und VAIT nationale, sektorspezifische Regelwerke für Banken beziehungsweise Versicherer waren, gilt DORA EU-weit einheitlich und unmittelbar, ohne nationale Umsetzung. Zudem verschiebt sich der inhaltliche Fokus von reiner Prävention hin zu operativer Resilienz – also der Fähigkeit, Vorfälle zu erkennen, einzudämmen und den Normalbetrieb schnell wiederherzustellen. Institute, die bereits BAIT- oder VAIT-konform arbeiteten, mussten ihre Prozesse an die DORA-Struktur anpassen, die letzten Übergangsfristen laufen Ende 2026 aus.
Ab wann gilt ein Unternehmen als IKT-Drittdienstleister im Sinne von DORA?
Als IKT-Drittdienstleister gilt jedes Unternehmen, das digitale Dienstleistungen für beaufsichtigte Finanzunternehmen erbringt – von Cloud-Anbietern über Rechenzentrumsbetreiber bis zu Software-Häusern und IT-Dienstleistern. Entscheidend ist nicht die eigene Finanzmarktzugehörigkeit, sondern die Geschäftsbeziehung zu einem DORA-pflichtigen Institut. Diese Einstufung wirkt sich direkt auf bestehende Verträge aus, da Audit-Rechte, Service Level Agreements und Berichtspflichten entsprechend nachgeschärft werden.
Welche Fristen gelten bei der Meldung eines IKT-Vorfalls?
Ein erheblicher IKT-Vorfall muss binnen vier Stunden nach Entdeckung erstklassifiziert und innerhalb von 24 Stunden an die Aufsicht gemeldet werden. Eine ausführlichere Zwischenmeldung folgt nach 72 Stunden, der Abschlussbericht ist spätestens nach einem Monat fällig. Dieses gestaffelte Meldesystem verlangt von Unternehmen intern etablierte Prozesse, um Vorfälle überhaupt so schnell erkennen und einordnen zu können.
Warum gilt das Informationsregister als besonders anspruchsvoll umzusetzen?
Das Register muss nicht nur den direkten IKT-Dienstleister erfassen, sondern die gesamte Subunternehmer-Kette samt Datenstandorten und dokumentierten Exit-Strategien abbilden. Dieser Detailgrad übersteigt die Anforderungen klassischer Lieferantenverzeichnisse deutlich und macht die vollständige Nachverfolgung von Unterauftragsverhältnissen notwendig. Da das Register jährlich an die BaFin gemeldet werden muss, wird dieser Aufwand zu einer wiederkehrenden organisatorischen Aufgabe.
Wer ist von den Ausnahmeregelungen bei DORA betroffen?
Ausgenommen sind ausschließlich Kleinstunternehmen mit weniger als zehn Mitarbeitern und einer Bilanzsumme oder einem Jahresumsatz unter zwei Millionen Euro. Alle übrigen beaufsichtigten Finanzunternehmen, unabhängig von ihrer Größe, fallen unter die Verordnung – darunter auch kleinere Regionalbanken oder Fintech-Startups. Diese enge Ausnahmeregelung führt dazu, dass deutlich mehr mittelgroße Akteure betroffen sind, als vielfach angenommen wird.
Welche Konsequenzen hat ein DORA-Verstoß über das Bußgeld hinaus?
Neben Bußgeldern von bis zu 10 Millionen Euro oder fünf Prozent des Jahresnettoumsatzes drohen Zwangsgelder nach dem Finanzmarktdigitalisierungsgesetz sowie die persönliche Haftung der Geschäftsleitung. Zusätzlich veröffentlicht die BaFin Verstöße auf ihrer Website, was insbesondere für Unternehmen mit hoher Marktsichtbarkeit einen erheblichen Reputationsschaden bedeuten kann. Diese Kombination aus finanzieller und öffentlicher Sanktion macht DORA-Verstöße zu einem geschäftlichen, nicht nur juristischen Risiko.
Wie unterscheiden sich reguläre Penetrationstests von Threat-Led Penetration Tests?
Reguläre Penetrationstests an Live-Systemen sind für alle DORA-pflichtigen Unternehmen mindestens alle drei Jahre vorgeschrieben und prüfen allgemein die technische Widerstandsfähigkeit. Threat-Led Penetration Tests (TLPT) sind zusätzlich für systemrelevante Institute verpflichtend und simulieren realistische, bedrohungsbasierte Angriffsszenarien gezielter. Diese zusätzliche Testebene richtet sich an Unternehmen, deren Ausfall besonders weitreichende Folgen für den Finanzmarkt hätte.
Jetzt handeln – digitale Widerstandsfähigkeit nachweisbar machen
Cristie Data unterstützt Sie mit langjähriger Expertise in Backup, Recovery und Cyber-Resilienz dabei, die technische Wiederherstellbarkeit Ihrer Systeme nachweisbar zu testen und DORA-konform abzusichern. Sprechen Sie uns an – ein Telefonkontakt oder eine Mail genügt.
