Seit dem 17. Januar 2025 gibt es den Digital Operational Resilience Act (DORA) – eine EU-Vorschrift, die für ein einheitlich hohes Niveau an digitaler Resilienz im europäischen Finanzsektor sorgen soll. Was zunächst nach einem Nischenthema für Banken klingt, betrifft mittlerweile weit mehr Firmen als vermutet. Wer DORA bisher nicht todernst genommen hat, riskiert empfindliche Sanktionen – und einen Vertrauensverlust bei Klienten und Geschäftspartnern…

Sofern Ihr Unternehmen Bankgeschäfte durchführt, Versicherungsleistungen anbietet oder mit Finanzdienstleistern als Kunde oder auch Partner kooperiert, hat sich Ihre regulatorische Welt im Januar 2025 verändert. Mit dem Digital Operational Resilience Act, kurzum DORA, hat die Europäische Union erstmals einen einheitlichen, verbindlichen Rahmen für die digitale Resilienz im Finanzsektor geschaffen. Die Verordnung gilt sofort, ohne nationale Umsetzung – und sie greift tief in IT-Strukturen, Verträge und Verfahren ein.

Die deutsche Finanzaufsicht BaFin hat 2026 unmissverständlich zur Nagelprobe erklärt: Gecheckt wird nicht mehr, ob DORA umgesetzt wurde, sondern wie konsequent. Welche Pflichten DORA konkret festlegt, wer im Anwendungsbereich liegt wie auch welche Sanktionen folgen – wir bringen Ihnen den strukturierten Überblick. Eine zentrale Themenseite zur Verordnung und zur Aufsichtspraxis stellt die BaFin bereit (https://www.bafin.de/DE/Aufsicht/DORA/DORA_node.html).

Begriffsdefinition und Zielsetzung von DORA

Der Digital Operational Resilience Act, bzw. die Verordnung (EU) 2022/2554, ist seit dem 17. Januar 2025 uneingeschränkt anwendbar. Mit DORA hat die Europäische Union erstmals einen einheitlichen Rahmen für IKT-Sicherheit, Cyberresilienz und IT-Risk Management im ganzen Finanzsektor geschaffen. Davor galten in jedem Mitgliedsstaat unterschiedliche Vorgaben – in Deutschland zum Beispiel die Bankaufsichtlichen Bedingungen an die IT (BAIT) oder die Versicherungsaufsichtlichen Anforderungen an die IT (VAIT).

Der Grundgedanke ist simpel: Finanzunternehmen sollen digitale Störungen, Cyberangriffe und Ausfälle nicht bloß abwehren, sondern auch dann handlungsfähig bleiben, wenn etwas misslingt. Es geht demzufolge nicht mehr nur um Prävention, sondern explizit um Resilienz – die Fähigkeit, Vorfälle zu identifizieren, einzudämmen, abzuwickeln und flott wieder in den Regelbetrieb zurückzukehren. Diesen Ansatz fasst die englische Begrifflichkeit „operational resilience“ treffend zusammen.

Entscheidend zu wissen: DORA ersetzt in Deutschland weitgehend die bisherigen sektoralen IT-Aufsichtsregeln. Wer als Bank, Versicherer oder Wertpapierfirma bisher nach BAIT oder VAIT gearbeitet hat, muss jetzt DORA-standardisiert sein. Übergangsfristen für einzelne restliche Institutsgruppen laufen zum Ablauf von 2026 endgültig aus.

Wer unter DORA fällt – und wer indirekt betroffen ist

Der Geltungsbereich von DORA ist breit – und das überrascht viele Entscheidungsträger. Unmittelbar betroffen sind nahezu alle beaufsichtigten Finanzunternehmen im EU-Raum, hierunter:
• Banken und Kreditinstitute jeder Größenordnung
• Versicherungs- und Rückversicherungsunternehmen
• Wertpapierfirmen, Investmentgesellschaften sowie Kapitalverwalter
• Zahlungsdienstleister und E-Geld-Institute
• Krypto-Asset-Dienstleister, Crowdfunding-Portale wie auch Handelsplätze
• Zentralverwahrer, Transaktionsregister sowie Datenbereitstellungsdienste

Dadurch fallen auch zahlreiche mittelgroße Unternehmen unter die Verordnung – etwa kleinere Volks- und Raiffeisenbanken, lokale Versicherer oder Fintech-Startups. Erleichterungen gelten lediglich für sogenannte Kleinstunternehmen mit weniger als zehn Beschäftigten und einer Bilanzsumme oder einem Jahresumsatz unter zwei Millionen Euro.

Ebenso wichtig ist die zweite Konstellation: Diese können ebenso dann von DORA betroffen sein, wenn Sie selber kein Finanzunternehmen sind, jedoch als Businesspartner oder Dienstleister für Finanzunternehmen tätig sind. Im DORA-Sprachgebrauch heißen diese Unternehmen „IKT-Drittdienstleister“. Erfasst sind sämtliche Anbieter von digitalen Dienstleistungen, die Finanzunternehmen unterstützen – vom großen Cloud-Anbieter über Rechenzentrumsbetreiber bis hin zu Software-Häusern und IT-Spezialisten. Der Bankenverband bringt es auf den Punkt: DORA betrifft „auch bestimmte IT-Dienstleister, die mit diesen Unternehmen zusammenarbeiten“ (https://bankenverband.de/digitalisierung/3-fragen-3-antworten-dora-digital-operational-resilience-act).

In der Realität bedeutet das: Ihre Bestandsverträge mit Finanzkunden werden überarbeitet, Audit-Rechte des Kunden werden ausgebaut, Service Level Agreements strenger gefasst, Berichtspflichten konkretisiert. Wer bisher mit einfachen Standardverträgen gearbeitet hat, wird Anpassungen vornehmen müssen.

Welche Pflichten DORA konkret vorschreibt

DORA gliedert sich in fünf wesentliche Pflichtenbereiche, die zusammen das Fundament der Verordnung bilden:

• IKT-Risikomanagement: Finanzunternehmen müssen einen vollständigen Governance- sowie Kontrollrahmen etablieren, der IT-Risiken systematisch identifiziert, bewertet wie auch steuert. Die Geschäftsleitung trägt ausdrücklich die Gesamtverantwortung – eine Delegation an den IT-Leiter reicht nicht mehr aus.

• IKT-Vorfallsmanagement und Meldepflichten: Schwerwiegende Vorfälle müssen binnen 24 Stunden nach Feststellung an die Aufsicht gemeldet werden, eine Erstklassifizierung sogar innerhalb von vier Stunden. Innert 72 Stunden folgt eine Zwischenmeldung, nach einem Monat ein Abschlussbericht.

• Resilienz-Tests: Regelmäßige technische Prüfungen sind obligatorisch. Penetrationstests an Live-Systemen sind mindestens alle drei Jahre vorgesehen, für systemrelevante Institute zusätzlich sogenannte Threat-Led Penetration Tests (TLPT).

• Drittparteienrisikomanagement: Jeder Vertrag mit einem IKT-Dienstleister muss dokumentiert, bewertet sowie in einem Informationsregister hinterlegt werden. Dieses Register ist jährlich an die BaFin zu melden – 2026 erfolgte die Einsendung zwischen dem 9. und 30. März.

• Informationsaustausch: Finanzunternehmen sollen Informationen zu Cyberbedrohungen aktiv mit anderen Marktteilnehmern teilen, um die gemeinsame Abwehrfähigkeit zu verbessern.

Vor allem das Informationsregister erweist sich zu einer Herausforderung in der Praxis. Es muss die vollständige Subunternehmer-Kette darstellen, Datenstandorte ausweisen und Exit-Strategien protokollieren – ein Detaillierungsgrad, der vielen Firmen im ersten Anlauf erhebliche Mühe bereitet hat. Ergänzende FAQ zum Drittparteienrisikomanagement stellt die BaFin fortlaufend aktualisiert bereit (https://www.bafin.de/DE/Aufsicht/DORA/Management_IKT_Drittparteienrisikos/FAQ/FAQ_node.html).

Die Sanktionsmechanismen unter DORA

Die Strafmaßnahmen unter DORA sind kein abstraktes Konstrukt. Bei Verstößen drohen Finanzunternehmen Bußgelder von bis zu 10 Millionen Euro oder fünf Prozent des jährlichen Gesamtnettoumsatzes (Artikel 50 DORA). Hinzu kommen Zwangsgelder von bis zu 2,5 Millionen Euro nach dem deutschen Finanzmarktdigitalisierungsgesetz und – besonders unangenehm – die persönliche Haftung der Leitungsebene. Vorstände können also direkt belangt werden.

Für kritische IKT-Drittdienstleister bestehen eigene Schwellen, aber nicht weniger relevante: Hier können Zwangsgelder bis zu einem Prozent des durchschnittlichen täglichen internationalen Umsatzes verhängt werden. Eine zweite Sanktionsebene ist der Imageschaden: Die BaFin macht Verstöße auf ihrer Website öffentlich – ein Risiko, welches gerade für Unternehmen mit hoher Marktnähe gewaltig ins Gewicht fällt.

Wir sehen in unserer Praxis als IT-Dienstleister immer wieder, dass DORA mehr ist als eine zusätzliche Compliance-Pflicht. Die Richtlinie ist ein Praxistest für die Professionalität einer IT-Sicherheitsorganisation. Wer DORA pragmatisch umsetzt, gewinnt nicht nur Rechtssicherheit, sondern auch eine stärker organisierte und dokumentierte IT-Landschaft – ein Vorteil, der deutlich über die regulatorische Voraussetzung hinausgeht.

Fazit zur DORA-Verordnung

DORA ist seit mehr als einem Jahr in Kraft, aber die wirkliche Bewährungsprobe beginnt gerade jetzt. Die BaFin hat 2026 zum Zeitpunkt der vertieften Prüfungen erklärt – mit klaren Fokusthemen beim Informationsregister, beim Vorfalls-Reporting sowie bei den Resilienz-Analysen. Die Zeit der Schonfrist ist passé.

Unsere Empfehlungshaltung: Verstehen Sie DORA nicht als reine Pflichtübung, sondern als Anlass, Ihre IT-Sicherheits- und Vertragsarchitektur einmal umfassend zu überprüfen. Wer eine Bestandsaufnahme jetzt systematisch angeht, vermeidet überstürzte Aktionen unter Aufsichtsdruck – und gewinnt operative Transparenz, welche sich auch in vielen anderen Gebieten auszahlt.

Sie sind ungewiss, ob und wie DORA Ihr Unternehmen tangiert, oder wollen den Einstieg in die Umsetzung nicht alleine angehen? Sprechen Sie uns gerne an – als Ihr IT-Dienstleister stehen wir Ihnen mit unserer Expertise bei Bestandsaufnahme, Konzeption sowie Implementierung zur Seite.