Die DORA-Verordnung ist das europäische Regelwerk dafür, dass der Finanzsektor weiterarbeitet, wenn die Technik ausfällt. Sie gilt seit dem 17. Januar 2025 in Deutschland; zuständig ist die jeweilige Aufsichtsbehörde, bei BaFin-beaufsichtigten Unternehmen die BaFin. Unmittelbar erfasst sind die in DORA genannten Finanzunternehmen. IKT-Drittdienstleister sind vor allem über vertragliche Anforderungen einbezogen; nur als kritisch eingestufte Anbieter unterliegen der direkten europäischen Überwachung.
Eine praktische Folge übersehen viele Unternehmen: Das meldende Finanzunternehmen wird im Informationsregister über seine LEI identifiziert. Juristische IKT-Drittdienstleister werden je nach Sitz über eine gültige und aktive LEI, eine EUID oder, sofern beide vorhanden sind, über beide Kennungen identifiziert; für juristische Personen außerhalb der EU ist eine LEI erforderlich. Deutsche Unternehmen können eine LEI über LEI24 als Registrierungsagent beantragen.
Was ist die DORA-Verordnung?
DORA steht für Digital Operational Resilience Act; die amtliche Bezeichnung lautet Verordnung (EU) 2022/2554. Sie trat am 16. Januar 2023 in Kraft und ist seit dem 17. Januar 2025 anzuwenden. Als Verordnung gilt sie in jedem Mitgliedstaat direkt, eine Umsetzung durch den deutschen Gesetzgeber war dafür nicht nötig. Der verbreitete Begriff DORA-Richtlinie ist deshalb falsch: Eine Richtlinie müssten die Mitgliedstaaten erst in nationales Recht überführen, eine Verordnung gilt sofort.
Ziel ist ein einheitlicher europäischer Rahmen für die digitale operationale Resilienz im Finanzsektor. Vorher verteilten sich die Vorgaben zu IKT-Risiken auf Aufsichtsmitteilungen, Rundschreiben und sektorspezifische Regelungen. DORA bündelt sie zu einem verbindlichen Regelwerk und wird durch technische Regulierungs- und Durchführungsstandards konkretisiert, etwa zu Schwellenwerten für Vorfälle, zum Format des Informationsregisters und zu den Kriterien für kritische Dienstleister. Zur DORA-Aufsicht veröffentlicht die BaFin laufend Auslegungshinweise und Fragenkataloge.
Für wen gilt DORA?
Der Anwendungsbereich ist breit. DORA nennt rund zwanzig Kategorien beaufsichtigter Finanzunternehmen und reicht darüber hinaus in die Dienstleisterkette hinein. In Deutschland kommt das Finanzmarktdigitalisierungsgesetz hinzu, das den Kreis der betroffenen Institute noch einmal erweitert.
Betroffene Finanzunternehmen
Dazu gehören, vorbehaltlich der Ausnahmen in Artikel 2 Absatz 3 DORA:
- Kreditinstitute, Zahlungsinstitute und E-Geld-Institute
- Wertpapierfirmen und Kontoinformationsdienstleister
- Kapitalverwaltungsgesellschaften und Verwalter alternativer Investmentfonds
- Versicherungs- und Rückversicherungsunternehmen sowie deren Vermittler
- Zentralverwahrer, zentrale Gegenparteien, Handelsplätze und Transaktionsregister
- Anbieter von Krypto-Dienstleistungen nach MiCAR und Schwarmfinanzierungsdienstleister
- Ratingagenturen, Verbriefungsregister und Einrichtungen der betrieblichen Altersversorgung
Die Anforderungen gelten proportional zur Größe des Unternehmens.
IKT-Drittdienstleister
Ein IKT-Drittdienstleister erbringt digitale Dienste und Datendienste dauerhaft für ein Finanzunternehmen: Cloud-Plattformen, Softwareanbieter, Rechenzentren, Managed-Service-Provider, Datenanalyse und Hardwaresupport. Auch konzerninterne Gesellschaften zählen dazu.
Die meisten dieser Anbieter stehen nicht unter direkter Aufsicht. Sie werden über den Vertrag gebunden, weil das Finanzunternehmen bestimmte Klauseln und Angaben von ihnen einholen muss. Für eine kleine Gruppe gilt etwas anderes: Die Europäischen Aufsichtsbehörden haben im November 2025 die ersten 19 kritischen IKT-Drittdienstleister eingestuft, überwiegend große Cloud-Anbieter, Datenanbieter und Nachhandelsinfrastruktur. Sie unterliegen einer direkten europäischen Überwachung mit einem federführenden Überwacher und gemeinsamen Prüfungsteams.
Das FinmadiG: welche Institute ab 2027 hinzukommen
Das Finanzmarktdigitalisierungsgesetz hat DORA in Deutschland auf Institute ausgeweitet, die von Artikel 2 der Verordnung nicht erfasst werden. Über § 1a Absatz 2a in Verbindung mit § 65a Absatz 3 KWG betrifft das vor allem Finanzierungsleasing- und Factoringinstitute, Kryptowertpapierregisterführer und Zweigstellen nach § 53 KWG. Versicherungsholdinggesellschaften werden gesondert über § 293 Absatz 5 VAG einbezogen.
Für die genannten KWG-Institute gilt ein zweistufiger Zeitplan. Das Meldewesen für schwerwiegende IKT-Vorfälle nach Kapitel III ist bereits seit dem 17. Januar 2025 anzuwenden. Die übrigen Vorgaben folgen zum 1. Januar 2027. Für die über § 293 Absatz 5 VAG einbezogenen Versicherungsholdinggesellschaften gelten die dort genannten DORA-Vorgaben bereits seit dem 17. Januar 2025. Dabei gelten Erleichterungen: Es genügt der vereinfachte Rahmen für das IKT-Risikomanagement, und bedrohungsgeleitete Penetrationstests entfallen. Bei Kleinstunternehmen finden die Artikel 28 bis 30 zum IKT-Drittparteienrisikomanagement keine Anwendung. Die Einzelheiten erläutert die BaFin in ihren Fragen und Antworten zu KWG-Instituten.
Die fünf Säulen von DORA
DORA ordnet die Pflichten in fünf Bereiche: IKT-Risikomanagement, Meldung schwerwiegender Vorfälle, Testen der digitalen operationalen Resilienz, IKT-Drittparteienrisikomanagement und Informationsaustausch. Die ersten vier sind verbindlich und beschreiben den Zuschnitt eines DORA-Programms: eigene Systeme, eigene Vorfälle, eigene Tests und alles, was ausgelagert ist. Die fünfte Säule ist freiwillig, und die meisten Unternehmen lassen sie aus.
IKT-Risikomanagement
Säule eins verlangt einen dokumentierten Rahmen für das IKT-Risikomanagement mit Strategien, Leitlinien, Verfahren und Werkzeugen. Dazu gehört ein Bestandsverzeichnis, das die IKT-Assets den unterstützten Geschäftsfunktionen zuordnet. Der Rahmen deckt Schutz und Prävention ab, die Erkennung auffälliger Aktivitäten, Notfallkonzepte, Sicherung und Wiederherstellung sowie einen Lernprozess, der Erkenntnisse aus Vorfällen zurück in die Kontrollen führt. Die Verantwortung liegt beim Leitungsorgan. Die technische Arbeit lässt sich delegieren, die Letztverantwortung bleibt, wo sie ist.
Meldung schwerwiegender IKT-Vorfälle
Vorfälle werden anhand einheitlicher Kriterien eingestuft:
- Betroffene Kunden, Finanzgegenparteien und Transaktionen
- Reputationsauswirkungen
- Dauer und geografische Ausbreitung
- Datenverluste
- Kritikalität der betroffenen Dienste
- Wirtschaftliche Auswirkungen
Überschreitet ein Vorfall die Schwellenwerte, gilt er als schwerwiegend; die Meldefristen knüpfen je nach Meldung an Einstufung, Kenntnisnahme oder die vorherige Meldung an.
| Meldung | Frist |
| Erstmeldung | Innerhalb von 4 Stunden nach Einstufung; grundsätzlich spätestens 24 Stunden nach Kenntnisnahme |
| Zwischenmeldung | Innerhalb von 72 Stunden nach der Erstmeldung |
| Abschlussmeldung | Innerhalb eines Monats nach der letzten Zwischenmeldung |
Erhebliche Cyberbedrohungen können Finanzunternehmen zusätzlich freiwillig melden. In der Praxis bereitet die Vier-Stunden-Frist die größten Schwierigkeiten, weil sie eine Einstufungsentscheidung von Mitarbeitenden verlangt, die gerade einen laufenden Vorfall bearbeiten.
Testen der digitalen operationalen Resilienz
Finanzunternehmen müssen ihre IKT-Systeme und -Werkzeuge risikobasiert testen. Mit Ausnahme von Kleinstunternehmen sind Systeme und Anwendungen, die kritische oder wichtige Funktionen unterstützen, mindestens jährlich angemessen zu testen. Es reicht von Schwachstellenscans und Netzwerksicherheitsbewertungen über Quellcodeprüfungen bis zu Ende-zu-Ende-Tests.
Bedeutende Finanzunternehmen, die die Aufsicht dafür benennt, führen zusätzlich bedrohungsgeleitete Penetrationstests durch, mindestens alle drei Jahre. Die Methodik lehnt sich an TIBER-EU an, die Tests laufen gegen produktive Systeme, und die Prüfer müssen Eignung und Unabhängigkeit nachweisen.
IKT-Drittparteienrisikomanagement (Verträge und Überwachung)
Finanzunternehmen bewerten das Konzentrationsrisiko vor Vertragsschluss, prüfen Anbieter im Vorfeld und erfassen jede vertragliche Vereinbarung über IKT-Dienstleistungen.
Artikel 30 legt fest, was in jedem Vertrag stehen muss: Beschreibung der Leistungen, Orte der Leistungserbringung und Datenverarbeitung, Dienstgütevereinbarungen, Kündigungsfristen, Mitwirkung gegenüber der Aufsicht und Kündigungsrechte. Verträge, die eine kritische oder wichtige Funktion stützen, verlangen mehr: konkrete Leistungsziele, uneingeschränkte Zugangs-, Prüfungs- und Zutrittsrechte, Einbindung in Test- und Schulungsprogramme sowie dokumentierte Ausstiegsstrategien.
Informationsaustausch
Finanzunternehmen dürfen Informationen über Cyberbedrohungen untereinander austauschen. Die Vereinbarung muss innerhalb vertrauenswürdiger Gemeinschaften laufen, die Vertraulichkeit wahren, Wettbewerbs- und Datenschutzrecht beachten und der Aufsicht angezeigt werden, sobald ein Unternehmen beitritt oder ausscheidet.
DORA und die BAIT: Was sich für deutsche Institute geändert hat
Um Doppelregulierung zu vermeiden, hat die BaFin die aufsichtlichen Anforderungen an die IT neu geordnet. KAIT, VAIT und ZAIT wurden mit Ablauf des 16. Januar 2025 aufgehoben. Die BAIT gelten seither nur noch für Aufsichtsobjekte, die kein IKT-Risikomanagement nach DORA betreiben müssen; Kapitel 11 zu Kundenbeziehungen mit Zahlungsdienstnutzern ist ganz entfallen. Mit Ablauf des 31. Dezember 2026 treten die BAIT vollständig außer Kraft.
Wer bisher nach den xAIT gearbeitet hat, beginnt nicht bei null. Vieles lässt sich übernehmen:
- Der Informationsverbund und das Asset-Inventar bilden die Grundlage für das Bestandsverzeichnis nach DORA
- Vorhandene Auslagerungsregister liefern den Kern der Vertragsdaten für das Informationsregister
- Notfallmanagement, Wiederanlaufpläne und Testkonzepte lassen sich weiterverwenden
- Berechtigungs- und Identitätsmanagement bleiben inhaltlich weitgehend bestehen
Das Informationsregister: Was Unternehmen erfassen und bei der BaFin einreichen müssen
Das Informationsregister nach Artikel 28 Absatz 3 DORA erfasst sämtliche vertraglichen Vereinbarungen über IKT-Dienstleistungen. BaFin-beaufsichtigte Finanzunternehmen reichen es jährlich bei der BaFin ein, ausschließlich über das Fachverfahren im MVP-Portal und nur als xBRL-Datei nach der Taxonomie der ESAs oder über die Excel-Vorlage der Aufsicht. Stichtag der Daten ist der 31. Dezember des Vorjahres; die Einreichung erfolgt im Frühjahr, damit die Aufsicht die Register bis zum 31. März an die ESAs weiterleiten kann.
Erfasst werden unter anderem:
- Das meldende Unternehmen und einbezogene Zweigniederlassungen
- Jeder direkte IKT-Drittdienstleister mit Name, Land, Art des Anbieters und Einstufung
- Vertragsreferenz, Laufzeiten, Kündigungsfristen und anwendbares Recht
- Die gestützten Funktionen und ihre Einordnung als kritisch oder wichtig
- Orte der Datenspeicherung und Datenverarbeitung
- Unterauftragnehmer, die kritische oder wichtige Funktionen stützen
Nach der Einreichung erhalten Unternehmen ein Fehlerprotokoll. Erst wenn das Register die Validierungsregeln der ESAs einhält, gilt die Meldepflicht als erfüllt. Unabhängig davon besteht eine Anzeigepflicht für geplante Vereinbarungen über kritische oder wichtige Funktionen. Die aktuellen Fristen und Formate veröffentlicht die BaFin auf ihrer Seite zu Informationsregister und Anzeigepflichten.
Welche Kennung DORA verlangt: LEI und EUID
Die DORA-Grundverordnung enthält keine allgemeine LEI-Pflicht für sämtliche IKT-Drittdienstleister. Die konkreten Identifikationsanforderungen ergeben sich aus der Durchführungsverordnung (EU) 2024/2956 und dem BaFin-Meldeverfahren. Finanzunternehmen müssen sich dabei über ihre LEI identifizieren.
Die Anforderung kommt über das Register. Das Informationsregister identifiziert das meldende Finanzunternehmen über seine LEI. Juristische IKT-Drittdienstleister mit Sitz in der EU werden über eine gültige und aktive LEI, eine EUID oder, sofern beide vorhanden sind, über beide Kennungen identifiziert; für juristische Personen außerhalb der EU ist eine LEI erforderlich. Fehlt der vorgeschriebene Identifikator, kann die Einreichung die Validierung nicht bestehen.
In Deutschland kommt ein zweiter Punkt hinzu. Für die Freischaltung zum DORA-Fachverfahren im MVP-Portal muss der meldende Nutzer die LEI seines Unternehmens hinterlegen. Die BaFin nennt den LEI-Code ausdrücklich als Voraussetzung für den Zugang. Ohne gültige Kennung beginnt der Meldeprozess gar nicht erst.
Für Dienstleister heißt das: Ihre Kunden fragen den erforderlichen Identifikator häufig schon im Onboarding ab, lange bevor der Vertrag steht. Die Referenzdaten hinter einer LEI-Nummer sind geprüft und müssen jährlich bestätigt werden. Eine neue LEI ist schnell beantragt: Die LEI-Beantragung für deutsche Unternehmen dauert wenige Minuten, die Ausstellung in der Regel keine 24 Stunden.
Sanktionen bei Verstößen
Die Sanktionsfolgen regelt DORA nicht abschließend selbst, sondern überlässt sie den Mitgliedstaaten. In Deutschland hat das Finanzmarktdigitalisierungsgesetz die Befugnisse der BaFin entsprechend erweitert. Die Aufsicht kann Auskünfte und Unterlagen verlangen, Prüfungen vor Ort durchführen, ein Verhalten untersagen, Abhilfemaßnahmen anordnen, den Verstoß öffentlich bekannt machen und Bußgelder wegen Ordnungswidrigkeiten festsetzen.
Für kritische IKT-Drittdienstleister gilt zusätzlich ein europäisches Instrument: Zwangsgelder von bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes, täglich und über einen Zeitraum von bis zu sechs Monaten, bis der Anbieter die Anforderungen des federführenden Überwachers erfüllt.
Aus einem aufsichtlichen Verfahren kann zudem eine persönliche Haftungsfrage für die Geschäftsleitung werden. Für Dienstleister liegt das eigentliche Risiko ohnehin woanders: Finanzunternehmen müssen sich aus Verträgen lösen können, die ihre eigene Compliance gefährden.
So bereiten Sie sich auf die DORA-Compliance vor
Wo Sie im Vertragsverhältnis stehen, bestimmt den Aufwand. Für Finanzunternehmen ist die DORA-Compliance ein Programm:
- Gap-Analyse gegen die bestehenden Prozesse. Prüfen Sie, welche xAIT-Dokumentation die DORA-Anforderungen bereits trägt und wo echte Lücken bleiben.
- Kritische und wichtige Funktionen festlegen. Vertragsinhalte, Testumfang und Registerinhalt hängen an dieser Einstufung.
- Informationsregister aus den Quelldaten aufbauen. Beschaffung, Vertragsablage und Dienstleisterlisten stimmen selten überein, und die Abstimmung dauert länger als geplant.
- Verträge gegen Artikel 30 abgleichen. Altverträge enthalten den vollständigen Klauselsatz fast nie, deshalb zuerst Verlängerungen und kritische Vereinbarungen angehen.
- Meldeprozess proben. Spielen Sie eine Einstufung durch und messen Sie, wie lange die Entscheidung tatsächlich dauert.
- Kennungen der Dienstleister zusammentragen. Fehlende oder ungültige Identifikatoren fallen sonst erst bei der Validierung auf.
Dienstleister bereiten sich anders vor. Auf sie kommen Sicherheitsfragebögen, Prüf- und Zutrittsklauseln, Anzeigen bei Weiterverlagerung, Fragen zur Ausstiegsunterstützung und Anfragen zu Registerdaten zu. Vorbereitete Antworten verkürzen jede dieser Runden.
DORA und die Zukunft der operationalen Resilienz
DORA hat die IT-Aufsicht im Finanzsektor von Rundschreiben auf europäisches Verordnungsrecht umgestellt. Aus Erwartungen der Aufsicht sind prüfbare Nachweise geworden: ein strukturiertes Register, eingestufte Vorfälle mit festen Fristen, dokumentierte Tests.
Ausgewertet werden diese Nachweise inzwischen europaweit. Die Aufsicht erkennt daraus, wo sich der Finanzsektor auf einzelne Anbieter stützt, und richtet ihre Prüfungen danach aus. Über den Eindruck entscheidet damit weniger die Leitlinie im Ordner als die Datenqualität der eingereichten Meldungen.
Wer seine Vertrags- und Dienstleisterdaten laufend pflegt statt vor jedem Stichtag zusammenzusuchen, hat den größten Teil der Arbeit für das nächste Informationsregister bereits erledigt.
Häufig gestellte Fragen (FAQ)
Wann trat DORA in Kraft?
DORA trat am 16. Januar 2023 in Kraft und ist seit dem 17. Januar 2025 anzuwenden. Betroffene Finanzunternehmen mussten die Anforderungen ab diesem Stichtag vollständig erfüllen.
Was ist ein kritischer IKT-Drittdienstleister?
Ein Dienstleister, den die Europäischen Aufsichtsbehörden als systemrelevant für den EU-Finanzsektor einstufen. Er steht unter direkter europäischer Überwachung statt nur unter der Aufsicht über seine Kunden.
Wie schnell müssen IKT-Vorfälle gemeldet werden?
Die Erstmeldung ist innerhalb von vier Stunden nach der Einstufung und spätestens 24 Stunden nach Kenntnisnahme fällig. Die Zwischenmeldung folgt binnen 72 Stunden.
Ist DORA dasselbe wie NIS2?
Nein. NIS2 erfasst wesentliche und wichtige Einrichtungen vieler Branchen. Für erfasste Finanzunternehmen gelten beim IKT-Risikomanagement und bei Vorfallmeldungen die sektorspezifischen DORA-Regeln.
Was ist Threat-Led Penetration Testing (TLPT)?
Bedrohungsgeleitete Tests, die reales Angreiferverhalten gegen produktive Systeme nachbilden. Bedeutende Finanzunternehmen führen sie mindestens alle drei Jahre mit qualifizierten und unabhängigen Prüfern durch.
Brauchen IKT-Dienstleister eine LEI für DORA?
DORA verpflichtet IKT-Dienstleister nicht in jedem Fall zu einer LEI. Für juristische Dienstleister in der EU gilt: LEI oder EUID, bei Vorliegen beider Kennungen beide. Außerhalb der EU ist eine gültige und aktive LEI erforderlich.
