DORA: Was kleine Finanzdienstleister jetzt wissen müssen

Von Joe Martin · 22. Juli 2026 · Regulierung

Was ist DORA?

Die Verordnung (EU) 2022/2554 — bekannt als Digital Operational Resilience Act oder kurz DORA — ist am 16. Januar 2023 in Kraft getreten und gilt unmittelbar seit dem 17. Januar 2025 in allen 27 EU-Mitgliedstaaten. Kein nationales Umsetzungsgesetz ist nötig.

DORA schreibt dem gesamten europäischen Finanzsektor einheitliche Anforderungen an IT-Sicherheit und digitale Betriebsstabilität vor. Das Ziel: sicherstellen, dass Finanzunternehmen auch bei schweren IT-Störungen oder Cyberangriffen funktionsfähig bleiben.

Wer ist betroffen?

Rund 22.000 Finanzunternehmen EU-weit fallen unter DORA — darunter ausdrücklich auch kleine:

• Zahlungsinstitute und E-Geld-Institute
• Kleine Wertpapierfirmen (auch wenn nicht systemrelevant)
• Krypto-Dienstleister nach der MiCAR-Verordnung
• Versicherungsunternehmen (auch kleinere, sofern BaFin-beaufsichtigt)
• Verwalter alternativer Investmentfonds (AIFM)

Indirekt betroffen sind IT-Dienstleister, Cloud-Anbieter und Softwarehäuser, die für Banken oder Versicherungen arbeiten. Finanzunternehmen sind verpflichtet, Audit-Rechte, Service-Level-Agreements, Kündigungsklauseln und Vorfallsmeldepflichten vertraglich zu verankern — und geben diesen Druck direkt an ihre IT-Zulieferer weiter.

Ausgenommen: Versicherungsvermittler, Rückversicherungsvermittler und Nebentätigkeits-Vermittler, wenn sie als Kleinstunternehmen oder KMU eingestuft sind (Art. 2 Abs. 3 lit. e).

Die fünf Pflichtbereiche

1. IKT-Risikomanagement

Finanzunternehmen müssen eine schriftliche IT-Risikostrategien erstellen, alle IKT-Systeme erfassen und die Verantwortung auf Managementebene verankern. Dazu gehören Business-Continuity-Pläne für den Fall schwerer IT-Ausfälle. Kleine Institute dürfen ein vereinfachtes Rahmenwerk nach Artikel 16 nutzen — die Dokumentationspflicht entfällt dabei nicht.

2. Vorfallsmanagement und Meldung

Schwere IKT-Vorfälle müssen klassifiziert und an die zuständige Behörde — in Deutschland die BaFin — gemeldet werden. Diese Meldepflicht ist seit dem 17. Januar 2025 aktiv. Kriterien für „schwere" Vorfälle (Anzahl betroffener Kunden, Systemausfallzeit, finanzieller Schaden) sind in delegierten Rechtsakten der ESAs präzisiert.

3. Resilienz-Tests

Finanzunternehmen müssen die digitale Widerstandsfähigkeit ihrer Systeme regelmäßig testen. Für systemrelevante Institute schreibt DORA Threat-Led Penetration Tests (TLPT) vor — simulierte Angriffe durch externe Experten. Kleinere Institute führen vereinfachte digitale Belastbarkeitstests durch.

4. IT-Drittanbieter-Management

Jedes Finanzunternehmen muss ein Register seiner IKT-Drittanbieter führen und der BaFin auf Anfrage vorlegen. Für Dienstleister, die kritische oder wichtige Funktionen erbringen, gelten erweiterte Vertragsanforderungen: Audit-Rechte, Subauftragsvergabe-Kontrolle, Exit-Strategien und Datensicherheitsklauseln müssen vertraglich festgelegt sein.

5. Informationsaustausch

Finanzunternehmen können freiwillig an sektoralen Netzwerken zum Austausch von Bedrohungsinformationen teilnehmen (Art. 45). Dies ist der einzige wirklich freiwillige Bereich von DORA — alle anderen vier Bereiche sind verpflichtend.

Vereinfachtes Regime für kleine Unternehmen

Kleine, nicht verbundene Wertpapierfirmen, Zahlungsinstitute mit weniger als 50 Mitarbeitern und kleine Pensionseinrichtungen mit weniger als 100 Mitgliedern dürfen ein vereinfachtes IKT-Risikomanagement-Rahmenwerk nach Artikel 16 anwenden. Das bedeutet:

• Weniger formale Dokumentationspflichten
• Vereinfachte Governance-Anforderungen
• Keine Pflicht zu Threat-Led Penetration Tests

Die Kernpflichten — IKT-Risikomanagement dokumentieren, Vorfälle melden, Drittanbieter registrieren — gelten aber auch für diese Unternehmen.

Sanktionen und Zeitplan

Die BaFin kann täglich bis zu 1 % des weltweiten durchschnittlichen Tagesumsatzes als Verwaltungssanktion verhängen. Da DORA seit Januar 2025 gilt, besteht für nicht compliant aufgestellte Unternehmen seit eineinhalb Jahren ein offenes Sanktionsrisiko. Erste Bußgeldbescheide werden für 2026 erwartet.

Besonderheit: Bestimmte KWG-Institute, die unter nationalen Vorgaben wie BAIT oder VAIT stehen, haben eine Übergangsfrist bis zum 1. Januar 2027.

Was jetzt zu tun ist

Wer als Finanzdienstleister oder IT-Zulieferer für den Finanzsektor tätig ist und noch kein dokumentiertes IKT-Risikomanagement hat, sollte jetzt handeln:

• Bestandsaufnahme: Alle IKT-Systeme und Drittanbieter erfassen
• Risikobewertung: Schriftliche IT-Risikoanalyse erstellen
• Vorfallsprozesse: Klassifizierungs- und Meldeprozesse für schwere IKT-Vorfälle aufsetzen
• Vertragsprüfung: Bestehende IT-Verträge auf DORA-konforme Klauseln prüfen
• Fachberatung: Bei konkreten Compliance-Fragen Rechtsexperten oder die BaFin konsultieren

Melde dich für die Macher-Session an: macher-mentor.de

← Zurück zum Blog