Ab dem 17. Januar 2025 gibt es den Digital Operational Resilience Act (DORA) – eine EU-Vorschrift, welche für ein durchgängig hohes Level an digitaler Widerstandsfähigkeit im europäischen Finanzsektor sorgen soll. Was vorerst nach einem Spezialthema für Banken klingt, betrifft mittlerweile weit mehr Firmen als gedacht. Wer DORA bislang nicht todernst genommen hat, riskiert spürbare Sanktionen – und einen Vertrauensverlust bei Kunden und Geschäftspartnern.

Sofern Ihr Unternehmen Bankgeschäfte durchführt, Versicherungsleistungen anbietet oder mit Finanzdienstleistern als Kunde oder auch Partner zusammenarbeitet, hat sich Ihre regulatorische Welt im Januar 2025 verändert. Mit dem Digital Operational Resilience Act, kurz DORA, hat die Europäische Union erstmals einen einheitlichen, verpflichtenden Rahmen für die digitale Widerstandsfähigkeit im Finanzsektor geschaffen. Die Verordnung gilt sofort, ohne nationale Umsetzung – und sie greift tief in IT-Strukturen, Policen und Verfahren ein.

Die deutsche Finanzaufsicht BaFin hat 2026 eindeutig zur Nagelprobe erklärt: Geprüft wird nicht mehr, ob DORA implementiert wurde, sondern wie stringent. Welche Pflichten DORA konkret festlegt, wer im Anwendungsgebiet liegt und welche Sanktionen folgen – wir liefern Ihnen den systematischen Überblick. Eine zentrale Themenseite zur Verordnung und zur Aufsichtspraxis stellt die BaFin bereit (https://www.bafin.de/DE/Aufsicht/DORA/DORA_node.html).

Worum es bei DORA wirklich geht

Der Digital Operational Resilience Act, bzw. die Verordnung (EU) 2022/2554, ist seit dem 17. Januar 2025 vollumfänglich anwendbar. Mit DORA hat die EU erstmals einen einheitlichen Rahmen für IKT-Sicherheit, Cyberresilienz wie auch IT-Risk Management im ganzen Finanzsektor geschaffen. Davor galten in jedem Mitgliedsstaat unterschiedliche Anforderungen – in Deutschland zum Beispiel die Bankaufsichtlichen Bedingungen an die IT (BAIT) oder die Versicherungsaufsichtlichen Bedingungen an die IT (VAIT).

Der Kerngedanke ist einfach: Finanzunternehmen sollen digitale Störungen, Cyberangriffe und Ausfälle nicht nur verhindern, sondern ebenso dann handlungsfähig bleiben, wenn etwas misslingt. Es geht demzufolge nicht mehr bloß um Prävention, sondern explizit um Resilienz – die Fertigkeit, Vorfälle zu erkennen, einzudämmen, zu bewältigen und flott wieder in den Regelbetrieb zurückzukehren. Diesen Ansatz fasst die englische Begrifflichkeit „operational resilience“ treffend zusammen.

Entscheidend zu wissen: DORA ersetzt in Deutschland weitgehend die bisherigen branchenspezifischen IT-Aufsichtsregeln. Wer als Bank, Versicherer oder Wertpapierfirma bisher nach BAIT oder VAIT vorgegangen ist, muss jetzt DORA-konform sein. Übergangsfristen für einzelne restliche Institutsgruppen laufen Ende 2026 endgültig aus.

Wer unter DORA fällt – und wer indirekt betroffen ist

Der Anwendungsbereich von DORA ist breit – und das überrascht viele Verantwortliche. Direkt erfasst sind nahezu alle regulierten Finanzunternehmen im EU-Raum, hierunter:

• Banken und Kreditinstitute jeder Größenordnung
• Versicherungs- und Rückversicherungsunternehmen
• Wertpapierfirmen, Investmentgesellschaften und Kapitalverwalter
• Zahlungsdienstleister sowie E-Geld-Institute
• Krypto-Asset-Dienstleister, Crowdfunding-Plattformen wie auch Handelsplätze
• Zentralverwahrer, Transaktionsregister und Datenbereitstellungsdienste

Damit fallen gleichfalls zahlreiche mittelständische Unternehmen unter die Verordnung – etwa kleinere Volks- und Raiffeisenbanken, lokale Versicherer oder Fintech-Startups. Erleichterungen gelten lediglich für sogenannte Kleinstunternehmen mit weniger als zehn Mitarbeitern und einer Bilanzsumme oder einem Jahresumsatz unterhalb zwei Millionen Euro.

Ebenso wichtig ist die zweite Konstellation: Diese können ebenso dann von DORA betroffen sein, wenn Sie selbst kein Finanzunternehmen sind, jedoch als Businesspartner oder Dienstleister für Finanzunternehmen aktiv sind. Im DORA-Sprachgebrauch heißen jene Akteure „IKT-Drittdienstleister“. Gemeint sind alle Anbieter von digitalen Services, die Finanzunternehmen begleiten – vom großen Cloud-Dienstleister über Rechenzentrumsbetreiber bis hin zu Software-Häusern sowie IT-Experten. Der Bankenverband trifft es auf den Punkt: DORA betrifft „auch bestimmte IT-Dienstleister, die mit diesen Unternehmen zusammenarbeiten“ (https://bankenverband.de/digitalisierung/3-fragen-3-antworten-dora-digital-operational-resilience-act).

In der Praxis bedeutet das: Ihre Bestandsverträge mit Finanzkunden werden angepasst, Audit-Rechte des Kunden werden ausgebaut, Service Level Agreements strenger gefasst, Berichtspflichten präzisiert. Wer bisher mit schlanken Standardverträgen gewerkelt hat, wird Anpassungen vornehmen müssen.

Kernanforderungen der DORA-Verordnung

DORA gliedert sich in fünf zentrale Pflichtenbereiche, die zusammen das Rückgrat der Verordnung darstellen:

• IKT-Risikomanagement: Finanzunternehmen müssen einen umfassenden Governance- sowie Kontrollrahmen etablieren, der IT-Risiken systematisch identifiziert, bewertet und steuert. Die Geschäftsleitung trägt explizit die Gesamtverantwortung – eine Delegation an den IT-Leiter genügt nicht mehr aus.
• IKT-Vorfallsmanagement und Meldepflichten: Schwerwiegende Vorfälle müssen binnen 24 Stunden nach Feststellung an die Leitung gemeldet werden, eine Erstklassifizierung sogar innerhalb von vier Stunden. Innerhalb von 72 Stunden folgt eine Zwischenmeldung, nach einem Monat der Abschlussbericht.
• Resilienz-Tests: Wiederkehrende technische Prüfungen sind Pflicht. Penetrationstests an Live-Systemen sind mindestens alle drei Jahre eingeplant, für systemrelevante Institute zusätzlich sogenannte Threat-Led Penetration Tests (TLPT).
• Drittparteienrisikomanagement: Jeder Vertrag mit einem IKT-Dienstleister muss dokumentiert, bewertet sowie in einem Informationsregister hinterlegt werden. Dieser Index ist jedes Jahr an die BaFin zu melden – 2026 erfolgte die Einreichung zwischen dem 9. und 30. März.
• Informationsaustausch: Finanzunternehmen sollen Erkenntnisse zu Cyberbedrohungen aktiv mit anderen Marktteilnehmern teilen, um die kollektive Abwehrfähigkeit zu stärken.

Besonders das Informationsregister entwickelt sich zu einer Herausforderung in der Praxis. Es muss die vollständige Subunternehmer-Kette abbilden, Datenstandorte aufzeigen und Exit-Strategien protokollieren – ein Detaillierungsgrad, der vielen Unternehmen im ersten Anlauf erhebliche Mühe bereitet hat. Zusätzliche FAQ zum Drittparteienrisikomanagement stellt die BaFin fortlaufend aktualisiert bereit (https://www.bafin.de/DE/Aufsicht/DORA/Management_IKT_Drittparteienrisikos/FAQ/FAQ_node.html).

DORA: Konsequenzen einer mangelhaften Umsetzung

Die Strafmaßnahmen unter DORA sind kein abstraktes Konstrukt. Bei Zuwiderhandlungen drohen Finanzunternehmen Bußgelder von bis zu 10 Millionen Euro oder fünf Prozent des jährlichen Gesamtnettoumsatzes (Artikel 50 DORA). Hinzu kommen Strafen von bis zu 2,5 Millionen Euro nach dem deutschen Finanzmarktdigitalisierungsgesetz und – besonders kritisch – die persönliche Haftung der Leitungsebene. Vorstände können folglich direkt belangt werden.

Für kritische IKT-Drittdienstleister gelten eigene Schwellen, aber nicht weniger bedeutende: Hier können Bußgelder bis zu einem Prozent des durchschnittlichen täglichen weltweiten Umsatzes verhängt werden. Eine zweite Sanktionsebene ist der Reputationsschaden: Die BaFin macht Verstöße auf ihrer Webseite öffentlich – ein Risiko, welches gerade für Unternehmen mit hoher Marktnähe gewaltig ins Gewicht fällt.

Wir sehen in unserer Routine als IT-Dienstleister immer wieder, dass DORA mehr ist als eine weitere Compliance-Pflicht. Die Verordnung ist ein Realitätstest für die Professionalität einer IT-Sicherheitsorganisation. Wer DORA pragmatisch umsetzt, gewinnt nicht nur Rechtssicherheit, sondern auch eine stärker organisierte und dokumentierte IT-Landschaft – ein Gewinn, der weit über die regulatorische Anforderung hinausgeht.

Fazit zur DORA-Verordnung

DORA ist seit über einem Jahr präsent, aber die eigentliche Bewährungsprobe beginnt gerade jetzt. Die BaFin hat 2026 zum Zeitpunkt der intensivierten Prüfungen erklärt – mit klaren Schwerpunkten beim Informationsregister, beim Vorfalls-Reporting und bei den Resilienz-Tests. Die Zeit der Übergangstoleranz ist vorbei.

Unsere Empfehlungshaltung: Erfassen Sie DORA nicht als reine Pflichtübung, sondern als Gelegenheit, Ihre IT-Sicherheits- und Vertragsarchitektur einmal grundlegend zu überprüfen. Wer eine Analyse jetzt systematisch angeht, vermeidet überstürzte Aktionen unter Aufsichtsdruck – und gewinnt operative Klarheit, welche sich auch in vielen anderen Bereichen auszahlt.

Sie sind unsicher, ob und wie DORA Ihr Unternehmen betrifft, oder möchten den Einstieg in die Umsetzung nicht alleine angehen? Kontaktieren Sie uns gerne – als Ihr IT-Dienstleister stehen wir Ihnen mit unserer Expertise bei Erfassung, Konzeption und Implementierung zur Seite.