DORA EU-Verordnung: wer ist betroffen – Beratung RAK Rechtsanwälte
Die DORA Verordnung (DORA kurz für „Digital Operational Resilience Act“) gilt seit 17. Januar 2025 verbindlich. Viele Institute und Finanzunternehmen – u. a. Banken, Zahlungs- und Geld-Institute, Wertpapierfirmen, Versicherer, Fondsverwalter, Handelsplätze – fallen darunter. Wer betroffen ist (>DORA Quick-Check), muss u. a. ein wirksames IKT-Risikomanagement betreiben, größere IT-Vorfälle fristgerecht melden, regelmäßig testen und Drittanbieter vertraglich/organisatorisch sauber steuern.
Verordnung (EU) 2022/2554 (DORA) im Amtsblatt der EU. Zur DORA Verordnung PDF auf Deutsch.
DORA Verordnung: Warum jetzt prüfen?
Seit 17. Januar 2025 gilt DORA verbindlich. Viele Institute und Finanzunternehmen – u. a. Banken, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Versicherer, Fondsverwalter, Handelsplätze, Verwahrer, Krypto-Dienstleister – fallen darunter. Auch IT-Dienstleister, die Finanzunternehmen unterstützen (z. B. Cloud, Rechenzentrum, Software-Betrieb), sind erfasst – besonders, wenn sie als „kritische“ Drittanbieter beaufsichtigt werden. Wer betroffen ist, muss u. a. ein wirksames IKT-Risikomanagement betreiben, größere IT-Vorfälle fristgerecht melden, regelmäßig testen (bei bestimmten Unternehmen inkl. TLPT) und Drittanbieter vertraglich/organisatorisch sauber steuern.
Wichtig: Die Geschäftsleitung trägt hierbei die volle Verantwortung für die Umsetzung – fehlende Vorbereitung kann zu Aufsichtsmaßnahmen, Bußgeldern und erheblichen Reputations- sowie Vertragsrisiken führen. Unser kurzer DORA-Online Check hilft, die eigene Betroffenheit einzuschätzen; die detaillierte Bewertung erfolgt anhand des Gesetzestexts und der Level-2/3-Standards.
Brauchen Sie Hilfe bei DORA? Unsere Experten beraten Sie gerne.
DORA Online-Check für Unternehmen
Der kurze DORA-Online Check von RAK Rechtsanwälte hilft Ihnen, die eigene Betroffenheit einzuschätzen; die detaillierte Bewertung erfolgt anhand des Gesetzestexts und der Level-2/3-Standards.
Was bedeutet EU DORA für Finanzunternehmen?
Der Digital Operational Resilience Act – kurz DORA (Verordnung (EU) 2022/2554) – verpflichtet Finanzunternehmen, ihre digitale Betriebsstabilität („operational resilience“) gezielt zu stärken. Erfasst sind u. a. Banken, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Versicherer, Fondsverwalter, Handelsplätze, Verwahrer, Datenmeldedienste, Krypto-Dienstleister – sowie bestimmte IKT-Dienstleister als Drittparteien. Kernziele: robuste IKT-Governance, wirksames IKT-Risikomanagement, klare Melde- und Informationspflichten, regelmäßige Tests und belastbare Regeln für das IKT-Drittparteienmanagement. DORA gilt seit 16.01.2023 und ist seit 17.01.2025 verbindlich anzuwenden.
DORA Verordnung (EU) 2022/2554 Anforderungen
Zu den Pflichten gehören u. a. ein umfassendes IKT-Risikomanagement (Strategie, Rollen, Prozesse, Kontrollen), Business-Continuity- und Wiederanlaufplanung, Vorfallmanagement, Meldeprozesse, Schwachstellen- und Patch-Management, sowie eine regelmäßige Überprüfung und das Testen der digitalen Resilienz. Für bestimmte Institute sieht DORA bedarfsgerecht bedingte „Threat-Led Penetration Testing“ (TLPT) vor.
Persönliche Verantwortung nach DORA
Art. 5, 50 und 51 DORA regeln, dass ein Leitungsorgan die tatsächliche Verantwortung für das IKT Risikomanagement trägt. Eine natürliche Person, in der Regel die Geschäftsleitung ist demnach persönlich für die Einrichtung, Etablierung und Kontrolle der Einhaltung der Vorschriften nach DORA verantwortlich und kann dafür ggf. auch persönlich zur Haftung gezogen werden.
DORA Compliance Beratung für Banken – Leistungen RAK Rechtsanwälte
RAK Rechtsanwälte unterstützen betroffene Unternehmen (ggf. mit geeigneten Partnern) bei:
- • IKT-Risiko Finanzdienstleister: Gap-Analyse, Zielbild, Policy-Set
- • Cyber-Resilienz Finanzmarkt: BCM, Krisen-/Incident-Strukturen, Übungen
- • Melde- und Informationspflichten DORA: Schwellenwerte, Prozesse, Reporting
- • Stresstests digitale Resilienz: Testprogramm, TLPT-Readiness
- • IKT-Drittparteienmanagement: Register, Risiko-/Konzentrationssteuerung, Vertrags-Reviews
- • Aufsicht Digital Operational Resilience Act: Kommunikation, Prüfungsbegleitung, Remediation
- • Umsetzung von DORA in Deutschland (FinmadiG) und Verzahnung mit MiCA/NIS2/GDPR
Umsetzung von DORA in Deutschland
Deutschland hat mit dem Finanzmarktdigitalisierungsgesetz (FinmadiG) die maßgeblichen nationalen Anpassungen geschaffen und die Aufsichtspraxis konkretisiert. BaFin informiert fortlaufend zu Anwendungsumfang, Schnittstellen und Aufsicht.
DORA Meldepflicht IKT-Vorfall
Schwerwiegende IKT-Vorfälle müssen nach vorgegebenen Schwellenwerten in strukturierten Stufen teils extrem schnell gemeldet werden, in der Regel innerhalb von 4(!) Stunden nach Entdecken des Vorfalls, nicht später als 24 Stunden. Nach spätestens 72 Stunden muss ein Zwischenbericht abgegeben werden. (Inhalt, Fristen, Adressaten werden durch RTS/ITS präzisiert).
Parallel bestehen Informationspflichten zu erheblichen Cyberbedrohungen. Die europäischen Aufsichtsbehörden (ESAs) haben hierzu technische Standards und Leitlinien erarbeitet.
DORA Testen der Resilienz (TLPT)
DORA verankert risikobasierte Testprogramme. Für besonders relevante Unternehmen kann die Aufsicht TLPT anordnen; Durchführung, Frequenz und Scope richten sich nach den technischen Standards. Ziel sind realitätsnahe Stresstests der digitalen Resilienz.
DORA vs NIS2 Unterschiede
NIS2 Richtlinie ist horizontal für viele Sektoren; DORA ist sektorspezifisch für den Finanzmarkt. Fällt ein Unternehmen unter DORA, sind dessen Anforderungen grundsätzlich vorrangig und spezifischer; Überschneidungen (z. B. Lieferkette, Meldewesen) bleiben. Für Institute mit NIS2-Bezug ist eine abgestimmte Compliance-Architektur sinnvoll.
FAQs DORA Verordnung
Was ist „IKT-Dienstleister Finanzsektor unter DORA“?
DORA bindet IKT-Drittdienstleister über Vertrags- und Aufsichtsvorgaben ein; „kritische“ Anbieter werden direkt auf EU-Ebene überwacht.
Wie läuft die DORA-Vorfallmeldung ab?
Nach festgelegten Kriterien werden Vorfälle gestuft gemeldet; Inhalte, Formate und Fristen definieren RTS/ITS der ESAs.
Welche Rolle spielt das Finanzmarktdigitalisierungsgesetz (FinmadiG)?
Es schafft den deutschen Rechtsrahmen für DORA-Anwendung und Aufsichtspraxis.
Unser Mehrwert für Ihr DORA-Projekt
Unsere Anwältinnen und Anwälte bei RAK sind doppelt qualifiziert – im Bank- und Kapitalmarktrecht sowie im IT-Recht – und verbinden juristische Tiefenschärfe mit echtem technischem Verständnis. Dadurch können wir Finanzunternehmen und IKT-Dienstleister praxisnah beraten: von der IKT-Governance und den Melde- und Informationspflichten über TLPT-Readiness und Stresstests bis hin zu Vertragswerken mit Drittanbietern (Outsourcing, Cloud, Exit/Portabilität, Auditrechte). Ergänzend greifen wir auf ein starkes Netzwerk aus spezialisierten Partnern in IT-Sicherheit und Compliance zurück. So erhalten Sie eine End-to-End-Begleitung aus einer Hand – rechtssicher, prüfbar und umsetzungsorientiert.
Wenn Sie eine praxisnahe DORA-Roadmap oder Vertrags-Checklisten wünschen, erstellen wir diese gemeinsam mit unseren Partnern passgenau für Ihr Haus – von der ersten Gap-Analyse bis zur prüfsicheren Umsetzung.