DORA Compliance

DORA gilt für nahezu den gesamten regulierten Finanzsektor der EU: Kreditinstitute, Versicherungen, Rückversicherer, Wertpapierfirmen, Zahlungsdienstleister, E-Geld-Institute, Kryptowerte-Dienstleister (MiCAR), Zentralverwahrer und zentrale Gegenparteien — insgesamt

21 Kategorien von Finanzunternehmen. Auch kritische IKT-Drittdienstleister (z.B. Cloud-Provider, Rechenzentren), die Dienstleistungen für diese Unternehmen erbringen, fallen unter das EU-weite Oversight-Framework. Mit dem Finanzmarktdigitalisierungsgesetz (FinmadiG) hat Deutschland den Anwendungsbereich national noch erweitert — auch Unternehmen, die bisher nicht unter KRITIS fielen, können jetzt betroffen sein. Kleinstunternehmen unterliegen einem vereinfachten Rahmen (Art. 16), sind aber nicht ausgenommen.

DORA ist seit dem 17. Januar

2025 verbindlich anzuwenden — und die BaFin prüft bereits aktiv. Im Dezember

2025 informierte die BaFin über 4.500 Teilnehmer in einem virtuellen Event über ihre Erwartungshaltung. Erste §44-Sonderprüfungen mit DORA-Schwerpunkt haben bereits stattgefunden, und im Q

3 2025 wurde das erste DORA-bezogene Bußgeldverfahren eingeleitet. Das Institut der Wirtschaftsprüfer (IDW) finalisiert den Prüfungsstandard EPS 528, der festlegt, wie Abschlussprüfer die DORA-Compliance bewerten. Für das Prüfungsjahr

2025 gibt es Erleichterungen für Mängel, die bis Jahresende behoben wurden — ab

2026 gilt diese Kulanz nicht mehr.

Das Informationsregister (Art. 28(3)) ist eine zentrale DORA-Anforderung: Finanzunternehmen müssen ein vollständiges Verzeichnis aller vertraglichen Vereinbarungen mit IKT-Drittdienstleistern führen und der BaFin zur Verfügung stellen. Die nächste Einreichungsfrist ist der 30. März 2026. Die BaFin hat im Februar

2026 eigene Workshops zur Einreichung veranstaltet und die technischen Anforderungen über die MVP-Plattform konkretisiert. Das Register muss unter anderem Angaben zur Art der Dienstleistung, zur Kritikalität, zu Subunternehmen, zu Datenspeicherorten und zu vertraglichen Ausstiegsmöglichkeiten enthalten. KPMG empfiehlt Low-Code-basierte Lösungen für die laufende Pflege.

DORA ist sektorspezifisch für den Finanzsektor und geht in mehreren Bereichen deutlich über NIS 2 hinaus: strengere Anforderungen an das ICT-Risikomanagement, verpflichtende Threat-Led Penetration Tests (TLPT), ein detailliertes Drittparteien-Regulierungsregime mit Informationsregister und ein EU-weites Oversight-Framework für kritische IKT-Provider. NIS 2 gilt branchenübergreifend. Für Finanzunternehmen hat DORA Vorrang (lex specialis gemäß Art.

4 NIS2-Richtlinie) — die NIS2-Anforderungen gelten nur ergänzend, soweit DORA sie nicht bereits abdeckt. In der Praxis bedeutet das: Finanzunternehmen müssen DORA vollständig umsetzen, bei NIS 2 reicht eine Gap-Analyse auf die verbleibenden Anforderungen.

DORA und das deutsche FinmadiG sehen ein mehrstufiges Sanktionsregime vor. Für IKT-Drittanbieter, die unter das EU-Oversight fallen, können Zwangsgelder bis zu

1 % des durchschnittlichen weltweiten Tagesumsatzes verhängt werden — täglich, bis die Compliance hergestellt ist. Das FinmadiG definiert für Finanzunternehmen Ordnungswidrigkeitstatbestände mit Bußgeldern bis zu

5 Mio. EUR. Im Q

3 2025 hat die BaFin ihr erstes DORA-bezogenes Verfahren eingeleitet — wegen unzureichender IKT-Drittpartei-Risikodokumentation. Zusätzlich drohen aufsichtsrechtliche Maßnahmen: Anordnungen, öffentliche Bekanntmachungen und im Extremfall der Entzug der Geschäftserlaubnis.

Die Kosten hängen stark vom Reifegrad Ihrer bestehenden IKT-Governance ab. Unternehmen mit einem etablierten ISMS (z.B. ISO 27001) und funktionierenden BAIT/MaRisk-Prozessen haben erfahrungsgemäß bereits 40–60 % der DORA-Anforderungen abgedeckt. Der zusätzliche Aufwand konzentriert sich dann auf das Informationsregister, das formalisierte Incident Reporting nach den neuen RTS-Meldefristen und das erweiterte Resilience Testing. Für eine belastbare Aufwandsschätzung empfehlen wir ein initiales Readiness Assessment — daraus ergibt sich ein konkreter, priorisierter Maßnahmenplan mit realistischer Budgetplanung. Bei Unternehmen ohne BAIT/MaRisk-Basis ist der Aufwand entsprechend höher.

Eine Branchenumfrage des IT-Finanzmagazins zeigt: Das Management von IKT-Drittparteien liegt mit deutlichem Abstand auf Platz

1 der DORA-Herausforderungen. Der Grund ist die extreme Heterogenität der Abhängigkeiten:

75 % der kritischen Auslagerungsdienstleister stammen aus Drittstaaten. Finanzunternehmen müssen begründen können, warum sie bestimmte Anbieter für kritische Funktionen einsetzen, die Substituierbarkeit bewerten und tragfähige Exit-Szenarien vorhalten. Die europäische Benennung kritischer IKT-Drittanbieter durch die ESAs wird erwartet und könnte zusätzliche Anforderungen auslösen. Das erste BaFin-Bußgeld betraf genau diesen Bereich.

Die europäischen Aufsichtsbehörden (EBA, ESMA, EIOPA) haben

13 technische Regulierungsstandards (RTS) und

2 technische Durchführungsstandards (ITS) erlassen, die DORA auf Level

2 konkretisieren. Diese Standards definieren im Detail, wie z.B. das IKT-Risikomanagement-Framework aufzubauen ist, welche Informationen das Drittparteien-Register enthalten muss, wie IKT-Vorfälle zu klassifizieren und zu melden sind und welche Anforderungen an TLPT gelten. Die RTS/ITS sind unmittelbar anwendbar und verbindlich — sie sind keine Leitlinien, sondern geltendes EU-Recht. Unternehmen, die nur die DORA-Verordnung selbst lesen, übersehen wesentliche operative Anforderungen.

Threat-Led Penetration Testing (TLPT) nach Art. 26–27 DORA ist die anspruchsvollste Testanforderung: Systemrelevante Finanzunternehmen müssen mindestens alle

3 Jahre bedrohungsgeleitete Penetrationstests nach dem TIBER-EU-Framework durchführen lassen. TLPT geht weit über klassische Pentests hinaus — es simuliert reale Angriffsszenarien auf Basis aktueller Threat Intelligence und testet People, Processes und Technology. Die Tests müssen von qualifizierten externen Red-Team-Providern durchgeführt und von der BaFin genehmigt werden. Für die erste TLPT-Welle ab

2025 gelten Übergangsregelungen; ab

2026 ist mit einer Ausweitung des Adressatenkreises zu rechnen.

Das Finanzmarktdigitalisierungsgesetz (FinmadiG) ist das deutsche Umsetzungsgesetz, das DORA national flankiert. Es benennt die BaFin als zuständige Aufsichtsbehörde, definiert nationale Bußgeldtatbestände (bis zu

5 Mio. EUR für Ordnungswidrigkeiten), erweitert den Anwendungsbereich über die EU-Verordnung hinaus und passt bestehende Gesetze (KWG, VAG, ZAG, WpIG) an die DORA-Anforderungen an. FinmadiG harmonisiert außerdem das Zusammenspiel von DORA mit den bestehenden deutschen Aufsichtsrahmenwerken BAIT, KAIT, VAIT und ZAIT, die perspektivisch in DORA aufgehen werden.