DORA für Finanzdienstleister
DORA einfach erklärt: wen die EU-Verordnung zur digitalen Resilienz im Finanzsektor erfasst, ihre Themenbereiche und was IT-Dienstleister erwartet.
DORA steht für «Digital Operational Resilience Act», die EU-Verordnung über die digitale operationale Resilienz im Finanzsektor. Sie gilt seit dem 17. Januar 2025 unmittelbar in allen EU-Staaten und verpflichtet Banken, Versicherer, Zahlungsdienstleister, Wertpapierfirmen und weitere Finanzunternehmen, ihre IT-Risiken systematisch zu beherrschen.
Was DORA verlangt
Finanzunternehmen müssen ein Risikomanagement für ihre IT aufbauen, schwerwiegende IT-Vorfälle an die Aufsicht melden, ihre Widerstandsfähigkeit regelmäßig testen, ihre IT-Dienstleister steuern und in einem Register erfassen. In Deutschland ist die BaFin die zentrale Stelle für Meldungen und Aufsicht.
Betrifft das meinen Betrieb?
Direkt betroffen sind nur Finanzunternehmen im Sinne der Verordnung. Für kleine Versicherungsvermittler gibt es Ausnahmen. Indirekt betrifft DORA aber viele IT-Dienstleister: Wer Software, Rechenzentrumsleistungen oder IT-Betreuung an Finanzunternehmen liefert, muss mit strengeren Verträgen, Prüfrechten und Meldepflichten rechnen.
DORA und NIS-2
Für Finanzunternehmen geht DORA den allgemeinen NIS-2-Regeln vor. Das BSI-Gesetz nimmt sie deshalb von zentralen Pflichten aus, damit keine doppelten Melde- und Sicherheitspflichten entstehen.
Der nächste Schritt
Als Finanzunternehmen: Ist-Stand gegen die fünf Themenbereiche von DORA prüfen. Als IT-Dienstleister: Kundenverträge auf DORA-Klauseln prüfen und klären, welche Nachweise und Meldewege Ihre Kunden von Ihnen erwarten.
Rechtsgrundlage
DORA ist die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor. Als Verordnung gilt sie unmittelbar, ohne nationale Umsetzung, und ist seit dem 17. Januar 2025 anzuwenden. Ergänzt wird sie durch technische Regulierungs- und Durchführungsstandards, die die europäischen Aufsichtsbehörden erarbeitet haben, etwa zum Risikomanagementrahmen, zur Klassifizierung von Vorfällen, zu Meldevorlagen und zum Informationsregister. Eine begleitende Richtlinie hat bestehende Finanzmarktrichtlinien angepasst.
Wer unter DORA fällt
Artikel 2 nennt eine lange Liste von Finanzunternehmen, darunter Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Anbieter von Krypto-Dienstleistungen, Zentralverwahrer, zentrale Gegenparteien, Handelsplätze, Verwaltungsgesellschaften und Verwalter alternativer Investmentfonds, Versicherungs- und Rückversicherungsunternehmen, Versicherungsvermittler, Einrichtungen der betrieblichen Altersversorgung, Ratingagenturen und Crowdfunding-Dienstleister. Außerdem erfasst DORA IKT-Drittdienstleister, soweit es um deren Überwachung als kritische Anbieter geht.
Ausgenommen sind unter anderem Versicherungs- und Rückversicherungsvermittler, die Kleinst-, kleine oder mittlere Unternehmen sind. Ob ein Unternehmen im Einzelfall erfasst ist, ergibt sich aus Artikel 2 und den Begriffsbestimmungen; im Zweifel ist die BaFin Ansprechpartner.
Die Themenbereiche von DORA
Die BaFin gliedert DORA in fünf Bereiche, die sich an den Kapiteln der Verordnung orientieren.
IKT-Risikomanagement
Finanzunternehmen brauchen einen dokumentierten Rahmen für das Management von IKT-Risiken. Dazu gehören Identifikation von Funktionen und Informationswerten, Schutz und Prävention, Erkennung anomaler Aktivitäten, Reaktion und Wiederherstellung, Backup-Richtlinien, Lernen aus Vorfällen und Kommunikation. Das Leitungsorgan trägt die Verantwortung für den Rahmen und muss ihn billigen und überwachen. Für bestimmte kleinere und weniger vernetzte Unternehmen sieht Artikel 16 einen vereinfachten Rahmen vor.
IKT-bezogene Vorfälle
Finanzunternehmen müssen Vorfälle erfassen, nach festgelegten Kriterien klassifizieren und schwerwiegende IKT-bezogene Vorfälle an die zuständige Behörde melden: Erstmeldung, Zwischenmeldung, Abschlussbericht. Laut BaFin ist die Erstmeldung innerhalb von vier Stunden nach der Klassifizierung als schwerwiegend fällig, spätestens 24 Stunden nach Erkennen des Vorfalls. Erhebliche Cyberbedrohungen können freiwillig gemeldet werden. In Deutschland nimmt die BaFin die Meldungen über ihre Melde- und Veröffentlichungsplattform entgegen und leitet sie unter anderem an das BSI weiter.
Tests der digitalen operationalen Resilienz
Finanzunternehmen müssen ein Testprogramm betreiben, etwa Schwachstellenscans, Netzwerksicherheitsbewertungen, szenariobasierte Tests oder Penetrationstests. Ausgewählte Unternehmen müssen zusätzlich bedrohungsorientierte Penetrationstests (TLPT) durchführen, in der Regel mindestens alle drei Jahre.
IKT-Drittparteienrisiko und Informationsregister
Finanzunternehmen müssen Risiken aus der Nutzung von IKT-Dienstleistern steuern. Verträge müssen Mindestinhalte haben, etwa Beschreibung der Leistungen, Standorte der Datenverarbeitung, Zugangs- und Prüfrechte, Unterstützung bei Vorfällen, Kündigungsrechte und Ausstiegsstrategien. Alle vertraglichen Vereinbarungen über IKT-Dienstleistungen sind in einem Informationsregister zu erfassen, das der Aufsicht vorzulegen ist.
Überwachung kritischer IKT-Drittdienstleister
Die europäischen Aufsichtsbehörden können IKT-Dienstleister als kritisch einstufen, etwa große Cloud-Anbieter, und beaufsichtigen sie direkt. Das ist neu: Erstmals unterliegen solche Anbieter einer eigenen europäischen Überwachung.
Informationsaustausch
Finanzunternehmen können untereinander Informationen über Cyberbedrohungen austauschen, etwa in vertrauenswürdigen Gemeinschaften.
Verhältnis zu NIS-2
DORA ist für den Finanzsektor die speziellere Regelung. § 28 BSIG nimmt Finanzunternehmen im Anwendungsbereich von DORA von zentralen Pflichten des BSIG aus. Wer als Finanzunternehmen DORA erfüllt, muss die BSIG-Pflichten zu Risikomanagement und Meldungen insoweit nicht zusätzlich erfüllen. Welche Pflichten im Einzelnen entfallen, sollten Betroffene anhand von § 28 BSIG prüfen.
Bedeutung für IT-Dienstleister
Viele kleine und mittlere IT-Unternehmen sind nicht selbst Finanzunternehmen, arbeiten aber für Banken, Sparkassen, Versicherungen, Vermögensverwalter oder Fintechs. Für sie bedeutet DORA:
- Vertragsanpassungen: Kunden verlangen DORA-konforme Verträge mit Prüf- und Zugangsrechten, Mitwirkung bei Tests, Meldung von Vorfällen und geregelten Ausstiegsszenarien.
- Informationsanforderungen: Für das Informationsregister brauchen Kunden Angaben zu Ihren Leistungen, Standorten und Unterauftragnehmern.
- Nachweise: Zertifikate wie ISO 27001 oder Prüfberichte erleichtern die Due Diligence Ihrer Kunden.
- Vorfallkommunikation: Kunden müssen schwerwiegende Vorfälle schnell melden und sind deshalb darauf angewiesen, dass Sie Störungen unverzüglich mitteilen.
Verantwortung des Leitungsorgans
Wie NIS-2 legt auch DORA die Verantwortung ausdrücklich in die Hände der Leitung. Das Leitungsorgan trägt die letzte Verantwortung für das Management der IKT-Risiken, legt Rollen und Zuständigkeiten fest, genehmigt Strategie, Notfallpläne und Budget und muss über ausreichende Kenntnisse verfügen. DORA sieht dafür vor, dass die Mitglieder ihr Wissen regelmäßig, etwa durch Schulungen, auf dem aktuellen Stand halten.
Einstieg für Finanzunternehmen
- Anwendbarkeit und gegebenenfalls Anspruch auf den vereinfachten Rahmen prüfen.
- Ist-Stand gegen die Themenbereiche erheben, vorhandene Regelwerke nutzen.
- Vorfallklassifizierung und Meldeprozess mit den Fristen der BaFin einrichten.
- Informationsregister aufbauen und Verträge mit IKT-Dienstleistern prüfen.
- Testprogramm planen und Leitungsorgan einbinden.
Aktuelle Fristen, Meldevorlagen und Hinweise veröffentlicht die BaFin auf ihren DORA-Seiten.
Häufige Fragen
Seit wann gilt DORA?
Die Verordnung (EU) 2022/2554 ist seit dem 17. Januar 2025 in allen EU-Staaten unmittelbar anzuwenden.
Gilt DORA auch für IT-Dienstleister?
Nicht unmittelbar, außer für IKT-Drittdienstleister, die als kritisch eingestuft und europäisch überwacht werden. Indirekt sind viele IT-Dienstleister betroffen, weil Finanzunternehmen DORA-Anforderungen in Verträge übernehmen müssen.
Was ist der Unterschied zwischen DORA und NIS-2?
DORA ist eine Verordnung speziell für den Finanzsektor und gilt unmittelbar. NIS-2 ist eine sektorübergreifende Richtlinie, in Deutschland über das BSIG umgesetzt. Für Finanzunternehmen im Anwendungsbereich von DORA geht DORA vor.