DORA.

DORA steht für Digital Operational Resilience Act und bezeichnet die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor. Die Verordnung gilt seit dem 17. Januar 2025. Ihr Ziel ist, Finanzdienstleistungen auch bei erheblichen IKT-Störungen aufrechterhalten und wiederherstellen zu können. Die Europäische Kommission ordnet Prävention, begrenzte Auswirkungen und Wiederherstellung gemeinsam als Resilienzaufgabe ein.

DORA reicht über die Abwehr von Cyberangriffen hinaus. Auch technische Ausfälle, unbrauchbare Wiederherstellungsverfahren und Abhängigkeiten von externen Diensten können die Finanzdienstleistung beeinträchtigen. Entscheidend ist deshalb, wie Geschäftsverantwortung, Technologie und Dienstleister zusammenarbeiten. Eine Sammlung von Sicherheitsrichtlinien allein zeigt noch nicht, ob ein Zahlungsprozess nach einer Störung tatsächlich wieder funktioniert.

Ergänzende technische Regulierungsstandards und Durchführungsstandards konkretisieren die Verordnung. Das offizielle Register der Kommission führt etwa Rechtsakte zu Vorfallmeldungen und Unterauftragsvergaben. Die Umsetzung braucht deshalb die jeweils anwendbaren endgültigen Regeln und die Vorgaben der zuständigen Aufsicht. Eine alte Checkliste oder ein allgemeiner Meldekalender ersetzt diese Prüfung nicht.

DORA erfasst bestimmte Rechtsträger des Finanzsektors nach Art. 2 Verordnung (EU) 2022/2554. Dazu zählen beispielsweise Kreditinstitute, Zahlungsinstitute, Wertpapierfirmen und Versicherungsunternehmen, jeweils unter Beachtung der gesetzlichen Ausnahmen. Die Bezeichnung FinTech, Start-up oder KMU entscheidet die Frage nicht. EIOPA erläutert in ihrer finalen Antwort DORA 136–3193, dass die Einordnung am Rechtsträgertyp ansetzt und gemeinsam genutzte IKT nicht allein anhand einzelner Tätigkeiten ausgeklammert werden kann.

Ein gewöhnlicher IKT-Drittdienstleister hat eine andere Rolle als ein erfasstes Finanzunternehmen. Finanzkunden können vertragliche Zusagen, Unterstützung bei Vorfällen und belastbare Nachweise verlangen. Davon zu trennen ist die ausdrückliche Benennung als kritischer IKT-Drittdienstleister durch die europäischen Aufsichtsbehörden nach Art. 31 DORA. Die Unterstützung einer kritischen Kundenfunktion allein bewirkt diese Benennung nicht, wie die ESMA-Informationen zum Überwachungsrahmen erläutern.

Verhältnismäßigkeit bedeutet eine begründete Ausgestaltung der Pflichten anhand des Unternehmens und seiner Risiken. Sie ist keine allgemeine Befreiung kleiner Unternehmen. Der vereinfachte IKT-Risikomanagementrahmen nach Art. 16 DORA ist gesondert zu prüfen. Halten Sie Rolle, mögliche Ausnahmen, zuständige Behörde und die Gründe Ihrer Einordnung zusammen fest, bevor Sie den Umsetzungsumfang bestimmen.

DORA wird durch nachvollziehbare Entscheidungen und überprüfbare Umsetzung belegt. Dazu gehören je nach anwendbarer Pflicht Risikobeurteilungen, Regelungen zur Fortführung, Vorfallaufzeichnungen, Testergebnisse und Unterlagen zu IKT-Vereinbarungen. Ein Nachweis sollte erkennen lassen, welchen Rechtsträger und welche Funktion er betrifft und was tatsächlich geprüft wurde. Ein Testprotokoll mit offenen Problemen ist keine Bestätigung, dass diese Probleme bereits behoben sind.

Die zuständigen Behörden beaufsichtigen Finanzunternehmen im gesetzlichen Rahmen, unter anderem nach Art. 46 ff. DORA. Davon unterscheidet sich die europäische Überwachung ausdrücklich benannter kritischer IKT-Drittdienstleister nach Art. 31 bis 44. ESMA beschreibt diese Überwachung als Ergänzung der eigenen Verantwortung und bestehenden Aufsicht über Finanzunternehmen. Ein allgemeines DORA-Zertifikat mit einer einheitlichen Laufzeit ersetzt diese Beziehungen und Pflichten nicht.

DORA ist für erfasste Finanzunternehmen in den relevanten Bereichen ein sektorspezifischer Unionsrechtsakt im Verhältnis zu NIS2; daraus folgt keine pauschale Befreiung jeder Finanzgruppe oder ihrer Lieferkette von sämtlichen BSIG-Pflichten. ISO 27001 kann ein ISMS organisatorisch strukturieren, ersetzt aber die DORA-Anforderungen und ihre Nachweise nicht. Datenschutzpflichten nach der DSGVO sind gesondert zu beurteilen, insbesondere wenn eine Störung zugleich personenbezogene Daten betrifft.

Secani enthält einen redaktionellen DORA-Katalog auf Basis der Verordnung (EU) 2022/2554 mit ausgewählten ergänzenden Rechtsakten. Profilangaben unterscheiden unter anderem bestätigte Finanzunternehmen sowie den vollen und vereinfachten Rahmen. Diese Angaben unterstützen eine dokumentierte Bearbeitung; sie treffen keine automatische rechtliche Einstufung. Der Katalog ist weder eine amtliche Übersetzung noch eine Bestätigung der DORA-Konformität.

Wählen Sie zunächst eine relevante Rechtseinheit und eine konkrete Finanzfunktion. Stellen Sie deren Einordnung, Verantwortlichkeiten, Systemabhängigkeiten, Dienstleistungsvereinbarungen und letzte Testergebnisse zusammen. Prüfen Sie anschließend mit den zuständigen Personen, welche Aussagen bereits belegt sind und welche Entscheidung als Nächstes erforderlich ist. Der ausführliche Blogleitfaden führt diesen Einstieg weiter aus.