DORA Verordnung: Compliance-Beratung für Finanzunternehmen

DORA, der Digital Operational Resilience Act (EU 2022/2554), verpflichtet Finanzunternehmen und ihre kritischen IKT-Dienstleister zu einem einheitlichen Rahmen für digitale operationelle Resilienz. Betroffen sind unter anderem Banken, Versicherungen, Wertpapierfirmen, Zahlungsdienstleister und Krypto-Dienstleister in der gesamten EU, unabhängig von der Unternehmensgröße, wobei kleinere Unternehmen von Proportionalitätsregeln profitieren. Seit dem 17. Januar 2025 ist DORA unmittelbar anwendbares Recht.

DORA gliedert sich in fünf Kernbereiche: IKT-Risikomanagement, Meldung von IKT-Vorfällen, Testen der digitalen operationellen Resilienz, Management von IKT-Drittanbieterrisiken sowie Informationsaustausch zu Cyberbedrohungen. Jeder Bereich umfasst konkrete Pflichten, etwa ein dokumentiertes Risikomanagement-Framework, definierte Meldefristen bei schwerwiegenden Vorfällen und regelmäßige Resilienztests, deren Umfang von der Größe und Risikorelevanz des Unternehmens abhängt.

Die konkreten Sanktionen liegen im Ermessen der jeweiligen nationalen Aufsichtsbehörde und richten sich nach den bestehenden Bußgeldrahmen des Aufsichtsrechts für Finanzunternehmen. Neben Bußgeldern drohen aufsichtsrechtliche Maßnahmen wie verschärfte Prüfungen oder Auflagen. Kritische IKT-Drittanbieter, die direkt von der EU-Aufsicht überwacht werden, unterliegen eigenen Sanktionsmechanismen, die im Einzelfall geprüft werden sollten.

DORA gilt als sektorspezifisches Recht (lex specialis) vorrangig für den Finanzsektor und deckt dort digitale operationelle Resilienz vollständig ab, während NIS2 branchenübergreifend Cybersicherheitsanforderungen für kritische und wichtige Einrichtungen regelt. Für Finanzunternehmen, die unter DORA fallen, verdrängt DORA die NIS2-Anforderungen weitgehend, sodass keine doppelte Compliance-Pflicht in beiden Regelwerken parallel entsteht, die konkrete Abgrenzung sollte im Einzelfall geprüft werden.

Ja, Cloud-Services lassen sich DORA-konform einsetzen, sofern der Anbieter als IKT-Drittanbieter in die vertraglichen Anforderungen aus Art. 28‑30 DORA eingebunden wird, etwa Audit- und Kündigungsrechte sowie Exit-Strategien. Bei besonders kritischen Cloud-Anbietern greift zusätzlich die direkte EU-Aufsicht über kritische IKT-Drittanbieter. Vor der Anbieterwahl lohnt sich eine Prüfung, ob der Anbieter bereits standardisierte DORA-Vertragsklauseln anbietet.

Die Dauer hängt stark vom Ausgangspunkt ab: Unternehmen mit bereits etabliertem IT-Risikomanagement und ISO‑27001-Zertifizierung können auf bestehenden Strukturen aufbauen und benötigen oft einige Monate für die Lückenschließung, während eine Umsetzung ohne Vorarbeiten deutlich länger dauert. Die aufwändigsten Bausteine sind meist der Aufbau des IKT-Drittanbieter-Registers und die Etablierung der geforderten Testprogramme, nicht die Dokumentation der Grundanforderungen selbst.

Für eine belastbare Aufwandsschätzung werden typischerweise eine Übersicht der bestehenden IKT-Risikomanagement-Dokumentation, eine Liste der IKT-Drittanbieter samt Kritikalitätseinstufung sowie vorhandene Business-Continuity- und Testkonzepte benötigt. Die Kosten hängen maßgeblich davon ab, wie viele Drittanbieterbeziehungen neu bewertet und vertraglich nachgeschärft werden müssen, das ist in der Praxis oft der größere Kostentreiber als die interne Prozessdokumentation.