Ab dem 17. Januar 2025 gibt es den Digital Operational Resilience Act (DORA) – eine EU-Vorschrift, welche für ein durchgängig hohes Niveau an digitaler Resilienz im europäischen Finanzsektor sorgen soll. Was vorerst nach einem Nischenthema für Banken klingt, betrifft inzwischen weit mehr Unternehmen als gedacht. Wer DORA bisher nicht todernst genommen hat, riskiert empfindliche Sanktionen – und einen Imageverlust bei Klienten und Geschäftspartnern…

Sofern Ihr Unternehmen Bankgeschäfte abwickelt, Versicherungsleistungen erbringt oder mit Finanzdienstleistern als Kunde oder auch Partner kooperiert, hat sich Ihre regulatorische Umgebung im Januar 2025 gewandelt. Mit dem Digital Operational Resilience Act, kurz DORA, hat die Europäische Union erstmals einen harmonisierten, verbindlichen Rahmen für die digitale Widerstandsfähigkeit im Finanzsektor erschaffen. Die Verordnung gilt direkt, ohne nationale Implementierung – und sie greift tief in IT-Strukturen, Verträge und Prozesse ein.

Die deutsche Finanzaufsicht BaFin hat 2026 unmissverständlich zur Bewährungsprobe erklärt: Gecheckt wird nicht mehr, ob DORA implementiert wurde, sondern wie konsequent. Welche Pflichten DORA konkret vorschreibt, wer im Anwendungsbereich liegt und welche Sanktionen drohen – wir bringen Ihnen den systematischen Überblick. Eine maßgebliche Themenseite zur Verordnung wie auch zur Aufsichtspraxis stellt die BaFin zur Verfügung (https://www.bafin.de/DE/Aufsicht/DORA/DORA_node.html).

Die DORA-Verordnung verständlich erklärt

Der Digital Operational Resilience Act, formal die Verordnung (EU) 2022/2554, ist seit dem 17. Januar 2025 uneingeschränkt anwendbar. Mit DORA hat die Europäische Union erstmals einen harmonisierten Rahmen für IKT-Sicherheit, Cyberresilienz wie auch IT-Risikomanagement im ganzen Finanzsektor geschaffen. Davor galten in jedem Mitgliedsstaat abweichende Vorgaben – in Deutschland etwa die Bankaufsichtlichen Anforderungen an die IT (BAIT) oder die Versicherungsaufsichtlichen Anforderungen an die IT (VAIT).

Der Grundgedanke ist simpel: Finanzunternehmen sollen digitale Probleme, Cyberangriffe sowie Ausfälle nicht nur abwehren, sondern ebenso dann funktionsfähig bleiben, wenn etwas misslingt. Es geht demzufolge gewiss nicht mehr nur um Prävention, sondern klar und deutlich um Resilienz – die Fähigkeit, Vorfälle zu identifizieren, einzudämmen, zu bewältigen und schnell wieder in den Normalbetrieb zurückzukehren. Diesen Vorgang fasst die englische Begrifflichkeit „operational resilience“ treffend zusammen.

Entscheidend zu wissen: DORA ersetzt in Deutschland weitgehend die bisherigen sektoralen IT-Aufsichtsregeln. Wer als Bank, Versicherer oder Wertpapierfirma bisher nach BAIT oder VAIT vorgegangen ist, muss heute DORA-konform sein. Übergangsfristen für einzelne restliche Institutsgruppen laufen zum Ablauf von 2026 endgültig aus.

DORA-Adressaten: Eine Standortbestimmung

Der Geltungsbereich von DORA ist breit – und das überrascht viele Verantwortliche. Unmittelbar erfasst sind nahezu alle beaufsichtigten Finanzunternehmen im EU-Raum, hierunter:
• Banken und Kreditinstitute jeder Größenordnung
• Versicherungs- und Rückversicherungsunternehmen
• Wertpapierfirmen, Investmentgesellschaften und Kapitalverwalter
• Zahlungsdienstleister sowie E-Geld-Institute
• Krypto-Asset-Dienstleister, Crowdfunding-Plattformen und Handelsplätze
• Zentralverwahrer, Transaktionsregister und Datenbereitstellungsdienste

Damit fallen gleichfalls zahlreiche mittelständische Akteure unter die Verordnung – etwa kleinere Volks- und Raiffeisenbanken, lokale Versicherer oder Fintech-Startups. Erleichterungen gelten lediglich für sogenannte Kleinstunternehmen mit weniger als zehn Beschäftigten und einer Bilanzsumme oder einem Jahresumsatz unter zwei Millionen Euro.

Ebenso gewichtig ist die zweite Konstellation: Diese können auch dann von DORA betroffen sein, wenn Sie selbst kein Finanzunternehmen sind, aber als Businesspartner oder Anbieter einer Dienstleistung für Finanzunternehmen aktiv sind. Im DORA-Sprachgebrauch heißen jene Akteure „IKT-Drittdienstleister“. Erfasst sind alle Anbieter von digitalen Dienstleistungen, die Finanzunternehmen begleiten – vom riesigen Cloud-Anbieter über Rechenzentrumsbetreiber bis hin zu Software-Firmen und IT-Spezialisten. Der Bankenverband bringt es auf den Punkt: DORA betrifft „auch bestimmte IT-Dienstleister, die mit diesen Unternehmen zusammenarbeiten“ (https://bankenverband.de/digitalisierung/3-fragen-3-antworten-dora-digital-operational-resilience-act).

In der Realität bedeutet das: Ihre Bestandsverträge mit Finanzkunden werden angepasst, Audit-Rechte des Kunden werden ausgebaut, Service Level Agreements strenger gefasst, Berichtspflichten präzisiert. Wer bisher mit schlanken Standardverträgen gewerkelt hat, wird umstellen müssen.

Die fünf Säulen von DORA

DORA strukturiert sich in fünf zentrale Pflichtenbereiche, welche zusammen das Rückgrat der Verordnung bilden:

• IKT-Risikomanagement: Finanzunternehmen müssen einen vollständigen Governance- sowie Kontrollrahmen aufbauen, der IT-Risiken systematisch identifiziert, bewertet und steuert. Die Geschäftsleitung trägt explizit die Gesamtverantwortung – eine Übertragung an den IT-Leiter reicht nicht mehr aus.

• IKT-Vorfallsmanagement und Meldepflichten: Erhebliche Vorfälle müssen binnen 24 Stunden nach Feststellung an die Leitung gemeldet werden, eine Erstklassifizierung sogar innerhalb von vier Stunden. Innerhalb von 72 Stunden folgt eine Zwischenmeldung, nach einem Monat der Abschlussbericht.

• Resilienz-Tests: Regelmäßige technische Prüfungen sind obligatorisch. Penetrationstests an Live-Systemen sind mindestens alle drei Jahre eingeplant, für systemrelevante Institute obendrein sogenannte Threat-Led Penetration Tests (TLPT).

• Drittparteienrisikomanagement: Jeder Vertrag mit einem IKT-Dienstleister muss dokumentiert, bewertet sowie in einem Informationsregister hinterlegt werden. Dieser Index ist jedes Jahr an die BaFin zu melden – 2026 erfolgte die Einreichung zwischen dem 9. und 30. März.

• Informationsaustausch: Finanzunternehmen sollen Erkenntnisse zu Cyberbedrohungen aktiv mit anderen Marktteilnehmern teilen, um die kollektive Abwehrfähigkeit zu stärken.

Besonders das Informationsregister entwickelt sich zu einer Knackstelle in der Praxis. Es muss die vollständige Subunternehmer-Kette darstellen, Datenstandorte ausweisen und Exit-Strategien dokumentieren – ein Detailgrad, der vielen Firmen im ersten Anlauf erhebliche Mühe bereitet hat. Ergänzende FAQ zum Drittparteienrisikomanagement stellt die BaFin fortlaufend aktualisiert bereit (https://www.bafin.de/DE/Aufsicht/DORA/Management_IKT_Drittparteienrisikos/FAQ/FAQ_node.html).

Sanktionen, Aufsichtspraxis und die Bewährungsprobe 2026

Die Strafmaßnahmen unter DORA sind kein theoretisches Konstrukt. Bei Verstößen drohen Finanzunternehmen Geldbußen von bis zu 10 Mio Euro oder fünf Prozent des jährlichen Gesamtnettoumsatzes (Artikel 50 DORA). Dazu kommen Zwangsgelder von bis zu 2,5 Millionen Euro nach dem deutschen Finanzmarktdigitalisierungsgesetz und – insbesondere unangenehm – die persönliche Haftung der Leitungsebene. Vorstände können folglich direkt haftbar gemacht werden.

Für kritische IKT-Drittdienstleister gelten eigene Grenzwerte, aber nicht weniger relevante: Hier können Bußgelder bis zu einem Prozent des durchschnittlichen täglichen internationalen Umsatzes verhängt werden. Eine zweite Sanktionsebene ist der Reputationsschaden: Die BaFin macht Verstöße auf ihrer Webseite öffentlich – ein Risiko, das gerade für Unternehmen mit hoher Marktnähe enorm ins Gewicht fällt.

Wir sehen in unserer Praxis als IT-Dienstleister immer wieder, dass DORA mehr ist als eine weitere Compliance-Pflicht. Die Verordnung ist ein Praxistest für die Professionalität einer IT-Sicherheitsorganisation. Wer DORA pragmatisch umsetzt, gewinnt nicht nur Rechtssicherheit, sondern auch eine stärker organisierte und dokumentierte IT-Landschaft – ein Vorteil, der deutlich über die regulatorische Voraussetzung hinausgeht.

Was bleibt aus über einem Jahr DORA-Praxis

DORA ist seit über einem Jahr in Kraft, aber die eigentliche Bewährungsprobe beginnt gerade jetzt. Die BaFin hat 2026 zum Jahr der vertieften Prüfungen erklärt – mit klaren Schwerpunkten beim Informationsregister, beim Vorfalls-Reporting sowie bei den Resilienz-Tests. Die Zeit der Schonfrist ist vorbei.

Unsere Empfehlung: Erfassen Sie DORA nicht als reine Pflichtübung, sondern als Anlass, Ihre IT-Sicherheits- und Vertragsarchitektur einmal grundlegend zu überprüfen. Wer eine Bestandsaufnahme jetzt systematisch angeht, vermeidet überstürzte Aktionen unter Aufsichtsdruck – und gewinnt operative Klarheit, welche sich auch in vielen anderen Gebieten auszahlt.

Sie sind ungewiss, ob und wie DORA Ihr Unternehmen tangiert, oder möchten den Einstieg in die Umsetzung nicht alleine angehen? Sprechen Sie uns gerne an – als Ihr IT-Dienstleister stehen wir Ihnen mit unserer Erfahrung bei Bestandsaufnahme, Konzeption und Umsetzung zur Seite.