Was ist DORA?
Der Digital Operational Resilience Act, kurz DORA, ist die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor. Sie gilt seit dem 17. Januar 2025. Als EU-Verordnung gilt DORA unmittelbar. Ihr Ziel ist, dass Finanzunternehmen einen schwerwiegenden IKT-Vorfall nicht nur verhindern, sondern erkennen, bewältigen, überstehen und geordnet nachbereiten können.
Der Begriff IKT umfasst Informations- und Kommunikationstechnologie: Systeme, Netze, Anwendungen, Daten und die dafür eingesetzten Dienste. DORA betrachtet diese Technik nicht isoliert. Entscheidend ist, ob kritische oder wichtige Geschäftsfunktionen trotz Störung fortgeführt und rechtzeitig wiederhergestellt werden können. Damit verbindet die Verordnung Informationssicherheit, Auslagerungssteuerung, Notfallmanagement und Verantwortung der Leitung.
DORA harmonisiert Vorgaben, die zuvor auf verschiedene europäische und nationale Regelwerke verteilt waren. Für die erfassten Unternehmen bildet die Verordnung den spezialgesetzlichen Rahmen für IKT-Risiken. Bestehende Anforderungen an Governance, Datenschutz, Geldwäscheprävention oder allgemeines Risikomanagement bleiben daneben relevant.
Die fünf Kernbereiche
1. IKT-Risikomanagement
Unternehmen benötigen einen dokumentierten, umfassenden und aktuellen Rahmen für IKT-Risiken. Dazu gehören Governance, Rollen und Verantwortlichkeiten, Inventare von Informationen und IKT-Assets, Schutz- und Präventionsmaßnahmen, Erkennung ungewöhnlicher Aktivitäten, Reaktion, Wiederherstellung, Kommunikation und kontinuierliche Verbesserung. Strategien für Backups, Wiederanlauf und Krisenkommunikation müssen zu den kritischen Geschäftsfunktionen passen.
2. Behandlung und Meldung IKT-bezogener Vorfälle
IKT-Vorfälle müssen erkannt, intern erfasst, nach einheitlichen Kriterien klassifiziert und bearbeitet werden. Schwerwiegende IKT-bezogene Vorfälle sind über die vorgesehenen Aufsichtswege zu melden. Dafür braucht es eine belastbare Entscheidungskette: Wer bewertet das Ereignis, wer stellt Informationen zusammen, wer meldet und wer informiert Kunden oder Partner? Die konkrete Meldung folgt den geltenden regulatorischen Vorgaben und Formularen.
3. Testen der digitalen operationalen Resilienz
DORA verlangt ein risikobasiertes Testprogramm. Schwachstellenanalysen, Szenariotests, Wiederherstellungsübungen und weitere geeignete Verfahren sollen zeigen, ob Kontrollen praktisch funktionieren. Für bestimmte Unternehmen kommen fortgeschrittene Tests auf Basis von Threat-Led Penetration Testing (TLPT) hinzu. TLPT ist kein gewöhnlicher Schwachstellenscan, sondern simuliert mit bedrohungsbezogenen Szenarien realistische Angriffe auf produktionsnahe kritische Funktionen.
4. Management des IKT-Drittparteienrisikos
Cloud-, Software-, Daten- und Infrastrukturdienste können kritische Abhängigkeiten schaffen. DORA verlangt, diese Risiken als Bestandteil des eigenen IKT-Risikos zu steuern. Unternehmen müssen Verträge, Leistungsüberwachung, Konzentrationsrisiken, Unterbeauftragungen, Vorfallkommunikation und Ausstiegsmöglichkeiten betrachten. Ein Informationsregister schafft Transparenz über vertragliche Beziehungen zu IKT-Drittdienstleistern. Kritische IKT-Drittdienstleister können zudem einer europäischen Überwachung unterliegen.
5. Informationsaustausch
Finanzunternehmen können sich in vertrauenswürdigen Gemeinschaften über Cyberbedrohungen, Angriffsmethoden und Schutzmaßnahmen austauschen. Der Austausch soll die gemeinsame Lagekenntnis verbessern. Vertraulichkeit, Datenschutz, Geschäftsgeheimnisse und klare Teilnahmebedingungen bleiben dabei zu beachten.
Bin ich von DORA betroffen?
DORA erfasst zahlreiche Finanzunternehmen, darunter Banken, Versicherer, Wertpapierfirmen, Zahlungsdienstleister und Krypto-Dienstleister sowie weitere in der Verordnung definierte Akteure. Die genaue Einordnung hängt von Erlaubnisstatus, Tätigkeit, Unternehmensart und möglichen Ausnahmen oder Erleichterungen ab. Nicht jedes Unternehmen mit Finanzkunden wird dadurch selbst zum Finanzunternehmen.
Auch kritische IKT-Drittdienstleister stehen im Fokus. Die europäische Einstufung als kritisch führt zu einem eigenen Überwachungsrahmen. Unabhängig davon wirken DORA-Anforderungen vertraglich auf viele Technologieanbieter: Finanzkunden werden Nachweise, Auditrechte, Meldewege, Unterauftragnehmer-Transparenz und Exit-Unterstützung verlangen. Ein Dienstleister kann also erheblich betroffen sein, ohne selbst Finanzunternehmen zu sein.
Praktischer Betroffenheitscheck
- Rechtsstatus klären: Welche regulierte Tätigkeit übt die Gesellschaft aus und unter welcher Erlaubnis?
- Gesellschaften einzeln betrachten: Welche Konzerneinheiten sind erfasst, welche erbringen nur interne Dienste?
- IKT-Rolle bestimmen: Erbringt das Unternehmen selbst kritische IKT-Leistungen für Finanzunternehmen?
- Verhältnismäßigkeit prüfen: Welche besonderen Regeln, Vereinfachungen oder sektoralen Aufsichtsvorgaben gelten?
- Ergebnis dokumentieren: Rechtsgrundlage, Annahmen, Verantwortliche und Aktualisierungsanlass festhalten.
Pflichten und Zeitachse
Seit dem 17. Januar 2025 ist DORA anzuwenden. Die Umsetzung ist daher kein zukünftiges Projekt. Unternehmen müssen ihren Rahmen betreiben, Nachweise aktuell halten und Schwachstellen aus Tests oder Vorfällen nachverfolgen. Neue Systeme, Auslagerungen und wesentliche Veränderungen gehören in den laufenden Kontrollprozess.
Die Leitung trägt die Gesamtverantwortung für den IKT-Risikomanagementrahmen. Sie muss ihn festlegen, genehmigen und überwachen, Verantwortlichkeiten definieren, angemessene Ressourcen bereitstellen und ausreichendes Wissen über IKT-Risiken aufrechterhalten. Delegation an IT oder einen Provider beseitigt diese Steuerungsverantwortung nicht.
Zu den zentralen Nachweisen zählen ein aktuelles Asset- und Abhängigkeitsbild, die Zuordnung kritischer Funktionen, Risikoanalysen, Schutz- und Wiederherstellungsmaßnahmen, Vorfallregister, Testpläne und Testergebnisse, Maßnahmenverfolgung, Dienstleisterverträge sowie das Informationsregister. Papier allein genügt nicht: DORA zielt auf nachweisbar wirksame Resilienz.
Vom Regulierungsrisiko zum versicherbaren Risiko
DORA verlangt angemessene Prävention und Widerstandsfähigkeit, kann aber Ausfälle und Haftungsfälle nicht vollständig verhindern. Der sinnvolle Übergang lautet deshalb: regulatorische Pflicht verstehen, operative Kontrollen umsetzen, verbleibenden finanziellen Schaden bewerten und erst dann prüfen, welche Versicherungslinien reagieren können. Versicherung ist kein DORA-Nachweis.
Cyber- und IKT-Resilienz
Ein Angriff oder technischer Fehler kann Forensik, Datenwiederherstellung, Krisenkommunikation und Rechtsberatung erforderlich machen. Eine Cyberversicherung kann je nach Bedingungen bestimmte Eigen- und Drittschäden sowie Krisendienstleistungen abbilden. Voraussetzungen, Ausschlüsse und Sicherheitsangaben müssen zum tatsächlich betriebenen DORA-Rahmen passen.
Betriebsunterbrechung
Fällt eine kritische Anwendung aus, entstehen fortlaufende Kosten, entgangener Deckungsbeitrag und zusätzliche Aufwendungen. Cyberbedingte Unterbrechungen können in einer Cyberdeckung adressiert sein; andere technische oder physische Ursachen gehören gegebenenfalls in andere Sach- und Unterbrechungskonzepte. Besonders wichtig sind abhängige Unterbrechungen durch Cloud- oder IKT-Dienstleister, Wartezeiten, Haftdauer und Sublimits.
D&O und Leitungsverantwortung
Wenn Leitungspersonen erkennbare IKT-Risiken ignorieren, Ressourcen nicht bereitstellen oder Überwachungspflichten verletzen, können Vermögensschadenansprüche entstehen. Eine D&O-Versicherung kann die Abwehr unberechtigter und – im versicherten Rahmen – die Befriedigung berechtigter Ansprüche unterstützen. Vorsatz, Geldbußen und reine Vertragserfüllung sind davon zu unterscheiden.
IKT-Drittparteienrisiko
Der Ausfall eines Dienstleisters kann mehrere Unternehmen gleichzeitig treffen. Eigene Cyber- oder Betriebsunterbrechungsdeckungen, Haftpflichtschutz des Dienstleisters und vertragliche Haftung greifen nicht automatisch lückenlos ineinander. Konzentrationsrisiken und Rückgriffsgrenzen sollten deshalb nicht nur technisch, sondern auch finanziell analysiert werden.
IKT-Dienstleister richtig steuern
Die Verantwortung beginnt vor Vertragsabschluss. Der Fachbereich sollte bestimmen, welche Funktion der Dienst unterstützt, welche Daten verarbeitet werden, wie schnell ein Ausfall kritisch wird und ob realistische Alternativen existieren. Darauf baut die Due Diligence auf: Leistungsfähigkeit, Sicherheitsniveau, Standorte, Unterauftragnehmer, Wiederanlauf und Kooperationsfähigkeit bei Vorfällen müssen zum Risiko passen. Ein gleich langer Fragebogen für jeden Anbieter ist dabei weniger hilfreich als eine nachvollziehbare Kritikalitätsstufe.
Verträge müssen die für DORA relevanten Rechte und Informationen tragfähig abbilden. Dazu gehören Leistungsbeschreibung, Verfügbarkeit, Datenzugang und -rückgabe, Schutzanforderungen, Unterstützung im Vorfall, Prüf- und Zugangsrechte, Kündigung sowie Ausstieg. Entscheidend ist die Umsetzbarkeit. Ein vertragliches Auditrecht hat wenig Wert, wenn niemand Ergebnisse auswertet; ein Exit-Plan hilft erst, wenn Datenformate, Ressourcen, Abhängigkeiten und Übergangszeiten realistisch erprobt sind.
Während der Laufzeit gehören Leistungsabweichungen, Sicherheitsfeststellungen, wesentliche Änderungen und Konzentrationsrisiken in eine regelmäßige Bewertung. Das Informationsregister ist dabei nicht bloß eine Aufsichtsliste. Richtig gepflegt zeigt es, welche kritischen Funktionen von denselben Plattformen, Regionen oder Unterauftragnehmern abhängen. Diese Sicht ist auch für Betriebsunterbrechungs- und Kumulrisiken wichtig.
Ein DORA-taugliches Vorfallszenario
Ein wirksamer Test beginnt mit einer geschäftlichen Auswirkung, nicht nur mit einem technischen Alarm. Beispiel: Ein zentraler IKT-Dienst ist nicht erreichbar, Transaktionen können nicht verarbeitet werden und der Anbieter liefert zunächst keine belastbare Prognose. Das Übungsteam muss technische Eindämmung, Klassifikation, Aufsichtsmeldung, Kundenkommunikation, Ausweichverfahren, Managemententscheidung und Versicherungsanzeige koordiniert bearbeiten.
Nach der Übung werden nicht nur Reaktionszeiten bewertet. Wichtig sind Informationslücken, unklare Vollmachten, nicht erreichbare Stellvertretungen, widersprüchliche Vertragswege und unrealistische Wiederanlaufannahmen. Jede Feststellung braucht Eigentümer, Termin und Wirksamkeitskontrolle. So verbindet DORA den Test mit tatsächlicher Verbesserung statt mit einem einmaligen Prüfprotokoll.
Auch die Leitung sollte an ausgewählten Szenarien teilnehmen. Nur so zeigt sich, ob Risikoakzeptanz, externe Kommunikation und Priorisierung kritischer Funktionen unter Zeitdruck tatsächlich entscheidungsfähig sind.
Was jetzt zu tun ist: 10-Punkte-Checkliste
- Betroffenheit je Rechtseinheit dokumentieren und durch geeignete Fachleute validieren.
- Kritische und wichtige Funktionen samt unterstützender Systeme, Daten und Dienstleister kartieren.
- Verantwortung der Leitung, Kontrollfunktionen und Eskalationswege eindeutig festlegen.
- IKT-Risikomanagementrahmen gegen alle fünf DORA-Bereiche prüfen.
- Vorfallklassifikation, interne Eskalation und aufsichtsrechtliche Meldung praktisch üben.
- Backups, Wiederanlaufziele und Krisenkommunikation mit realistischen Szenarien testen.
- Resilienz-Testprogramm risikobasiert planen und Feststellungen bis zur Schließung verfolgen.
- IKT-Verträge, Informationsregister, Konzentrationsrisiken und Exit-Pläne aktualisieren.
- Leitungsberichte auf wenige entscheidungsfähige Risiko- und Resilienzkennzahlen ausrichten.
- Restrisiken quantifizieren und vorhandene Versicherungen auf Schnittstellen und Lücken prüfen lassen.
Häufige Fragen zu DORA
Gilt DORA nur für Banken?
Nein. DORA erfasst viele Arten von Finanzunternehmen, unter anderem Banken, Versicherer, Wertpapierfirmen, Zahlungsdienstleister und Krypto-Dienstleister. Entscheidend ist die konkrete Definition in der Verordnung.
Gilt DORA auch für Cloud-Anbieter?
IKT-Drittdienstleister können vertraglich stark betroffen sein. Als kritisch eingestufte IKT-Drittdienstleister unterliegen zusätzlich dem europäischen Überwachungsrahmen.
Ist ISO 27001 ein DORA-Nachweis?
Ein ISMS nach ISO/IEC 27001 kann eine wertvolle Grundlage sein. Es ersetzt aber weder die Prüfung der DORA-spezifischen Governance, Vorfallmeldungen und Testanforderungen noch die besonderen Vorgaben zum IKT-Drittparteienrisiko.
Muss jedes Unternehmen TLPT durchführen?
Nein. Fortgeschrittene bedrohungsbezogene Tests betreffen bestimmte, nach den geltenden Kriterien ausgewählte Finanzunternehmen. Alle erfassten Unternehmen benötigen jedoch ein angemessenes Resilienz-Testprogramm.
Erfüllt eine Cyberversicherung DORA?
Nein. Versicherung kann bestimmte finanzielle Folgen verbleibender Risiken adressieren. Sie ersetzt keine technischen, organisatorischen oder aufsichtsrechtlichen Pflichten.
Wer hilft bei der Versicherungsprüfung?
Schreder Global gibt allgemeine Orientierung und empfiehlt keine konkreten Produkte oder Versicherer. Auf Wunsch stellen wir den Kontakt zu einem spezialisierten, nach § 34d GewO zugelassenen Partnermakler her.
DORA als laufendes Steuerungssystem
Eine einmalige Gap-Analyse reicht nicht. Neue Cloud-Dienste, Systemmigrationen, Bedrohungen und Geschäftsfunktionen verändern das Risikobild. Gute DORA-Governance verbindet deshalb Architekturentscheidungen, Beschaffung, Vertragsmanagement, Informationssicherheit, Business Continuity, Datenschutz, Recht und Versicherung in einem wiederkehrenden Zyklus.
Der wirksamste Nachweis ist eine klare Kette vom Geschäftsprozess über Risiko und Kontrolle bis zum Test und zur Entscheidung der Leitung. Wo Restrisiken die Ausfalltoleranz oder Bilanzkraft übersteigen, kann ein spezialisierter Partnermakler vorhandene Deckungen und mögliche Versicherungslinien individuell einordnen.