DORA gilt: Digitale Resilienz für Finanzunternehmen und ihre IKT-Dienstleister
Cybersicherheit · DORA, VO (EU) 2022/2554 · 17. Januar 2025
Seit dem 17. Januar 2025 ist der Digital Operational Resilience Act (DORA) in der gesamten EU anwendbar. Die Verordnung vereinheitlicht die Anforderungen an das IKT-Risikomanagement im Finanzsektor und unterwirft erstmals auch bestimmte IKT-Drittdienstleister einer direkten europäischen Aufsicht. Mittelbar betrifft sie damit jeden Anbieter, der Software oder Cloud-Leistungen an Finanzunternehmen liefert.
- Erfasst sind rund 20 Arten von Finanzunternehmen, von Banken und Versicherern bis zu Kryptodienstleistern.
- Verträge mit IKT-Dienstleistern müssen die Mindestinhalte des Art. 30 DORA enthalten.
- Am 18. November 2025 haben die Europäischen Aufsichtsbehörden 19 IKT-Drittdienstleister als kritisch eingestuft.
Die Kernpflichten
DORA ruht auf mehreren Säulen: einem dokumentierten IKT-Risikomanagement, für das das Leitungsorgan die Gesamtverantwortung trägt; der Klassifizierung und Meldung schwerwiegender IKT-bezogener Vorfälle an die Aufsicht; regelmäßigen Tests der digitalen Resilienz, bei bedeutenden Instituten auch bedrohungsorientierten Penetrationstests; dem Management des IKT-Drittparteienrisikos sowie dem freiwilligen Austausch von Informationen über Cyberbedrohungen. In Deutschland wurde das nationale Recht mit dem Finanzmarktdigitalisierungsgesetz angepasst; frühere BaFin-Rundschreiben zur IT-Sicherheit wurden für DORA-pflichtige Unternehmen weitgehend abgelöst.
IKT-Dienstleister im Fokus
Finanzunternehmen müssen ein Informationsregister über sämtliche vertraglichen Vereinbarungen mit IKT-Drittdienstleistern führen und den Aufsichtsbehörden übermitteln. Verträge müssen unter anderem Leistungsbeschreibungen, Standorte der Datenverarbeitung, Prüfungs- und Zugangsrechte, Mitwirkung bei Vorfällen sowie Kündigungsrechte und Ausstiegsstrategien regeln; für kritische oder wichtige Funktionen gelten erweiterte Anforderungen.
Auf Grundlage dieser Register haben EBA, EIOPA und ESMA im November 2025 die erste Liste kritischer IKT-Drittdienstleister veröffentlicht. Es handelt sich vor allem um große Cloud-, Rechenzentrums- und Infrastrukturanbieter. Sie unterliegen nun der direkten Überwachung durch eine federführende Aufsichtsbehörde, die im äußersten Fall verlangen kann, dass Finanzunternehmen Leistungen aussetzen oder Verträge beenden.
DORA ist Finanzaufsichtsrecht – wirkt in der Praxis aber vor allem über die IT-Verträge.
- IKT-Verträge gegen die Mindestinhalte des Art. 30 DORA abgleichen und nachverhandeln
- Informationsregister vollständig und aktuell halten
- Als Dienstleister DORA-Klauseln standardisieren und Prüfrechte organisatorisch vorbereiten
Quelle: Verordnung (EU) 2022/2554 (DORA), EUR-Lex ↗
Fragen zu diesem Thema?
Wir prüfen und gestalten IKT- und Cloud-Verträge im Finanzsektor und unterstützen Dienstleister bei der Umsetzung der DORA-Anforderungen.
Beratung anfragen ↗Redaktionsstand: 9. November 2026. Der Beitrag gibt einen allgemeinen Überblick und ersetzt keine Beratung im Einzelfall.
Mehr zum Rechtsgebiet