DORA: Digitale Betriebsresilienz für den Finanzsektor
Der Digital Operational Resilience Act verpflichtet Banken, Versicherer und ihre IT-Dienstleister zu nachweisbarer Widerstandsfähigkeit gegen Cyber- und IT-Störungen. Wer ist betroffen – und wann greift DORA auch für Industrie-Zulieferer?
Relevanz für Industrie & Technik: Wenn Ihr Unternehmen IT- oder IoT-Dienste, Software oder Rechenleistung für Banken, Versicherer oder andere Finanzunternehmen bereitstellt, kann DORA über die Drittparteien-Regeln greifen – auch wenn Sie selbst kein Finanzunternehmen sind. Prüfen Sie bestehende Verträge auf DORA-Klauseln zu Prüf-, Audit- und Kündigungsrechten.
| Kriterium | DORA | NIS2 |
|---|---|---|
| Rechtsform | EU-Verordnung (direkt) | EU-Richtlinie → NIS2UmsuCG |
| Zielgruppe | Finanzsektor + IKT-Drittdienstleister | 18 Sektoren (Energie, Verkehr, Produktion u.a.) |
| Ansatz | Sektorspezifisch (lex specialis) | Sektorübergreifend |
| Vollständig ab | 17. Januar 2025 | 6. Dezember 2025 (DE: NIS2UmsuCG) |
| Besonderheit | TLPT, EU-Aufsicht über kritische IKT-Anbieter | Registrierungspflicht beim BSI |
Quellen: Verordnung (EU) 2022/2554 (DORA); NIS-2-Richtlinie (EU) 2022/2555 & NIS2UmsuCG (BGBl. 2024 I Nr. 307); Europäische Aufsichtsbehörden (EBA, EIOPA, ESMA). Keine Rechtsberatung.
Ja – indirekt. DORA gilt direkt für rund 20 Arten von Finanzunternehmen (Banken, Versicherungen, Wertpapierfirmen, Zahlungsdienstleister u.a.). Darüber hinaus erfasst DORA aber auch IKT-Drittdienstleister, die diese Finanzunternehmen beliefern – etwa Cloud-Anbieter, Softwarehäuser und Rechenzentrumsbetreiber. Ein Industrie- oder Technologieunternehmen, das kritische IT-Dienste für Banken erbringt, kann daher über die Drittparteien-Regeln in den Anwendungsbereich fallen.
DORA ruht auf fünf Säulen: (1) IKT-Risikomanagement – ein strukturierter Rahmen zur Identifikation und Steuerung von IT-Risiken; (2) Behandlung und Meldung IKT-bezogener Vorfälle; (3) Testen der digitalen Betriebsresilienz, inklusive bedrohungsorientierter Penetrationstests (TLPT) für kritische Systeme; (4) Management des Risikos durch IKT-Drittdienstleister; (5) Informationsaustausch über Cyberbedrohungen. Die ersten vier Säulen sind verpflichtend, der Informationsaustausch (Säule 5) ist freiwillig.
Die DORA-Verordnung (EU) 2022/2554 trat am 16. Januar 2023 in Kraft und gilt seit dem 17. Januar 2025 unmittelbar in allen EU-Mitgliedstaaten. Als EU-Verordnung ist kein nationales Umsetzungsgesetz erforderlich. Ergänzt wird DORA durch technische Regulierungsstandards (RTS) und Durchführungsstandards (ITS) der Europäischen Aufsichtsbehörden.
DORA sieht ein mehrstufiges Meldeverfahren für schwerwiegende IKT-Vorfälle vor: eine erste Meldung (initial notification) innerhalb von 24 Stunden nach Einstufung des Vorfalls, ein Zwischenbericht (intermediate report) sowie ein Abschlussbericht (final report) innerhalb eines Monats. Die genauen Fristen und Schwellenwerte sind in den technischen Standards zur Vorfallsklassifizierung konkretisiert.
Ein kritischer IKT-Drittdienstleister (Critical ICT Third-Party Provider, CTPP) ist ein Anbieter, dessen Ausfall die Stabilität des EU-Finanzsystems gefährden könnte – typischerweise große Cloud- und Infrastrukturplattformen. CTPPs unterliegen einer direkten EU-Aufsicht: Eine der Europäischen Aufsichtsbehörden (ESAs) wird als federführender Überwacher (Lead Overseer) bestimmt und koordiniert Prüfungen über gemeinsame Untersuchungsteams.
DORA und NIS2 überschneiden sich thematisch, gelten aber für unterschiedliche Adressaten. DORA ist eine sektorspezifische EU-Verordnung ausschließlich für den Finanzsektor und dessen IKT-Dienstleister und geht als lex specialis den allgemeineren NIS2-Regeln vor. NIS2 deckt dagegen 18 Sektoren ab, darunter Energie, Verkehr und produzierendes Gewerbe. Für Finanzunternehmen ist DORA maßgeblich; Produktionsunternehmen fallen in der Regel unter NIS2.