DORA: Was der Digital Operational Resilience Act fordert
Seit Januar 2025 gilt für den Finanzsektor eine einheitliche EU-Regelung zur digitalen Widerstandsfähigkeit. DORA betrifft nicht nur Banken und Versicherer, sondern indirekt auch deren IT-Dienstleister. Dieser Überblick zeigt die fünf Kernbereiche und die nächsten Schritte.
Das Wichtigste in Kürze
- DORA gilt EU-weit unmittelbar seit dem 17. Januar 2025.
- Betroffen ist nahezu der gesamte Finanzsektor – und indirekt dessen IT-Dienstleister.
- Fünf Kernbereiche von IKT-Risikomanagement bis zur Steuerung von Drittdienstleistern.
Was ist DORA?
DORA (Digital Operational Resilience Act) ist eine EU-Verordnung und gilt damit unmittelbar in allen Mitgliedstaaten. Sie bündelt die Anforderungen an die digitale operationale Resilienz des Finanzsektors. Für Institute, die DORA direkt anwenden, sind die bisherigen nationalen Vorgaben wie VAIT und KAIT entfallen; die BAIT gelten für sie ebenfalls nicht mehr.
Wen betrifft DORA?
Der Anwendungsbereich ist breit: Banken, Versicherer, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Kapitalverwaltungsgesellschaften und viele weitere Finanzunternehmen. Für kleinere Einrichtungen gilt das Prinzip der Proportionalität – die Anforderungen werden an Größe und Risikoprofil angepasst.
Wichtig für die IT-Branche: Auch IKT-Drittdienstleister sind betroffen, wenn auch indirekt. Finanzunternehmen müssen ihre Anforderungen vertraglich an Dienstleister weitergeben.
Die fünf Kernbereiche
- IKT-Risikomanagement: ein umfassendes Rahmenwerk zur Steuerung von IT-Risiken.
- Behandlung und Meldung von IKT-Vorfällen: einheitliche Klassifizierung und Meldung schwerwiegender Vorfälle.
- Testen der digitalen operationalen Resilienz: regelmäßige Tests, für bedeutende Institute auch bedrohungsgeleitete Penetrationstests (TLPT).
- Management des IKT-Drittparteienrisikos: ein Informationsregister über alle IKT-Dienstleister und verpflichtende Vertragsinhalte zu Sicherheit, Prüfrechten und Ausstiegsstrategien.
- Informationsaustausch: der freiwillige Austausch über Cyberbedrohungen.
Was heißt das für IT-Dienstleister?
Finanzunternehmen geben ihre DORA-Pflichten vertraglich weiter – etwa zu Sicherheitsniveau, Prüf- und Auditrechten, Meldewegen und Ausstiegsszenarien. Wer als Dienstleister diese Anforderungen erfüllt und nachweisen kann, hat einen klaren Wettbewerbsvorteil gegenüber Anbietern, die hier noch nicht aufgestellt sind.
Was Sie jetzt tun sollten
- Gap-Analyse gegen die DORA-Anforderungen. Einen Einstieg bietet unsere DSGVO- & ISO-Gap-Analyse.
- Informationsregister der IKT-Dienstleister aufbauen und pflegen.
- Verträge prüfen und um die geforderten Inhalte ergänzen.
- Resilienztests planen und dokumentieren.
Mehr zu meiner Unterstützung finden Sie auf der Seite IT-Compliance.
Dieser Beitrag dient der allgemeinen Information und ersetzt keine Steuer-, Rechts- oder individuelle Fachberatung. Stand: Oktober 2026. Maßgeblich sind die jeweils geltenden gesetzlichen Regelungen.