Die DORA-Verordnung im Überblick: Inhalt, Geltung und BaFin-Aufsicht

DORA steht für Digital Operational Resilience Act. Die Verordnung regelt, wie Finanzunternehmen ihre IKT-Risiken steuern, Vorfälle melden, ihre Widerstandsfähigkeit testen und ihre IKT-Dienstleister führen. Ob DORA für Ihr Unternehmen gilt und in welchem Rahmen, klären Sie auf der Seite DORA-Betroffenheit prüfen. Welche Pflichten daraus folgen, zeigt die Pflichtenmatrix der DORA-Anforderungen.

Was regelt die DORA-Verordnung?

Die DORA-Verordnung legt einheitliche Anforderungen an die Sicherheit der Netzwerk- und Informationssysteme fest, die die Geschäftsprozesse von Finanzunternehmen unterstützen (Art. 1 Abs. 1). Für Finanzunternehmen sind das sechs Themen: IKT-Risikomanagement, Meldung schwerwiegender IKT-bezogener Vorfälle und freiwillige Meldung erheblicher Cyberbedrohungen, Meldung zahlungsbezogener Vorfälle (nur Kredit-, Zahlungs-, E-Geld-Institute und Kontoinformationsdienstleister), Tests der digitalen operationalen Resilienz, Informationsaustausch zu Cyberbedrohungen und das Management des IKT-Drittparteienrisikos. Dazu kommen Vorgaben zu Verträgen mit IKT-Drittdienstleistern, der Überwachungsrahmen für kritische IKT-Drittdienstleister und die Regeln zur Aufsicht.

Als Verordnung gilt DORA unmittelbar, ein deutsches Umsetzungsgesetz ist dafür nicht nötig (Art. 64). Die BaFin erlässt nach eigener Aussage keine Konkretisierungsrundschreiben, weil die nationalen Aufsichtsbehörden für eine europäische Verordnung keine eigene Regelungskompetenz haben. Konkretisiert wird über europäische Rechtsakte und Leitlinien. Gegenüber der NIS2-Richtlinie ist DORA für Finanzunternehmen, die nach NIS2 wesentliche oder wichtige Einrichtungen sind, der sektorspezifische Rechtsakt (Art. 1 Abs. 2) und hat beim Risikomanagement und beim Meldewesen Anwendungsvorrang. Was NIS2 sonst verlangt, erklärt NIS2-Readiness.

Wann gilt DORA? Inkrafttreten und Anwendung

DORA ist seit dem 17.01.2025 anzuwenden. Eine weitere Übergangsfrist gibt es nach Angabe der BaFin nicht. Für einige Institute, die erst das deutsche Recht einbezieht, gelten eigene Termine.

Für DORA selbst war am 06.11.2026 in der Datenbank des Amtsblatts (Cellar) kein Änderungsrechtsakt verzeichnet. Das ist das Ergebnis unserer Abfrage, vor Entscheidungen bitte den aktuellen Stand prüfen. Was der Übergang für BAIT-Institute bedeutet, steht auf der Seite BAIT und DORA.

Wie ist die Verordnung aufgebaut?

Die Verordnung hat neun Kapitel. Kapitel II bis V enthalten die Pflichten der Finanzunternehmen, die übrigen Kapitel regeln Grundsätze, Aufsicht und Schlussbestimmungen.

Den Verhältnismäßigkeitsgrundsatz regelt Art. 4: Für Kapitel II gilt er allgemein, für Kapitel III, IV und Kapitel V Abschnitt I nur, soweit die einzelnen Vorschriften es ausdrücklich vorsehen. Wer Art. 16 anwendet, ersetzt nur Art. 5 bis 15. Kapitel III bis VI gelten für ihn grundsätzlich weiter, mit den Ausnahmen, die die Seite Art. 16 DORA erklärt.

Lesekarte: welcher Artikel beantwortet welche Frage?

Die Lesekarte ordnet die Fragen, die in der Praxis zuerst kommen, der Fundstelle in der Verordnung und dem passenden Level-2-Text zu. Sie ersetzt nicht das Lesen des Wortlauts, sie zeigt, wo er steht. Die Reihenfolge ist unsere Empfehlung für den ersten Durchgang.

Zu Art. 45: Finanzunternehmen dürfen Informationen über Cyberbedrohungen untereinander austauschen, etwa Indikatoren für Beeinträchtigungen und Warnungen, wenn der Austausch der Resilienz dient. Die Teilnahme an einer solchen Vereinbarung und ihr Ende teilen sie der zuständigen Behörde mit (Art. 45 Abs. 3).

Level 2: welche RTS und ITS konkretisieren DORA?

Technische Regulierungsstandards (RTS) erlässt die Kommission als Delegierte Verordnung, technische Durchführungsstandards (ITS) als Durchführungsverordnung. Beide gelten wie DORA unmittelbar und konkretisieren vor allem die Kapitel II bis V. Für die meisten Finanzunternehmen zählen diese acht Rechtsakte:

Weitere Rechtsakte betreffen den Überwachungsrahmen für kritische IKT-Drittdienstleister und richten sich vor allem an Aufsicht und Dienstleister, sie fehlen hier. Dazu kommen Leitlinien der Europäischen Aufsichtsbehörden. Für Institute nach Art. 16 ist die Delegierte Verordnung 2024/1773 nicht anzuwenden, weil Art. 28 Abs. 2 für sie nicht gilt.

FinmadiG: wie Deutschland den Anwendungsbereich erweitert

Das Finanzmarktdigitalisierungsgesetz (FinmadiG, BGBl. 2024 I Nr. 438 vom 27.12.2024) erweitert DORA auf Institute, die die Verordnung selbst nicht nennt, etwa Factoring- und Finanzierungsleasinginstitute und Bürgschaftsbanken (§ 1a Abs. 2a i. V. m. § 65a Abs. 3 KWG), auf Landesförderbanken (§ 1a Abs. 2 KWG) und auf Versicherungsholdings (§ 293 Abs. 5 VAG). Wer im Einzelnen erfasst ist und welcher Rahmen dann gilt, steht auf der Seite DORA-Betroffenheit prüfen.

Aufsicht in Deutschland: BaFin, EZB und Bundesbank

Welche Behörde DORA überwacht, richtet sich nach Art. 46 und dem Sektorrecht. Für Kreditinstitute verweist Art. 46 lit. a auf die nationale Bankenaufsicht und für bedeutende Kreditinstitute auf die EZB. Das KWG setzt das so um: Zuständige Behörden nach Art. 46 sind die Aufsichtsbehörden nach § 1 Abs. 5 KWG, also die EZB, soweit sie im einheitlichen Aufsichtsmechanismus zuständig ist, sonst die BaFin (§ 6 Abs. 1g KWG). Bei TLPT arbeitet die BaFin mit der Deutschen Bundesbank zusammen, die die operativen Aufgaben übernimmt. Für andere Finanzunternehmen nennt Art. 46 die Behörde, die nach dem jeweiligen Sektorrecht zuständig ist.

Gemeldet wird in Deutschland bei der BaFin: schwerwiegende Vorfälle über ihre Melde- und Veröffentlichungsplattform (MVP), bedeutende Kreditinstitute ebenfalls an die nationale Behörde, die an die EZB weiterleitet (Art. 19 Abs. 1). Das Informationsregister geht jährlich über die MVP ein, Einzelheiten auf der Seite Informationsregister. Kritische IKT-Drittdienstleister stufen die Europäischen Aufsichtsbehörden ein und überwachen sie, die Kritikalität bewertet nach Auskunft der BaFin allein die Aufsicht.

Welche BaFin-Quellen zählen?

Unsere Empfehlung: Halten Sie die Quellen mit Datum und Abrufstand in einem Normenregister fest. Die Aufsichtsmitteilungen helfen beim Umbau, verbindlich ist der Wortlaut von DORA und den Level-2-Texten.

Was droht bei Verstößen?

DORA gibt den zuständigen Behörden Aufsichts-, Untersuchungs- und Sanktionsbefugnisse (Art. 50 Abs. 1). Die Mitgliedstaaten legen wirksame, verhältnismäßige und abschreckende verwaltungsrechtliche Sanktionen und Abhilfemaßnahmen fest (Art. 50 Abs. 3). Dazu gehören mindestens Anweisungen, ein Verhalten einzustellen, Maßnahmen auch finanzieller Art und öffentliche Bekanntmachungen mit Namen und Art des Verstoßes (Art. 50 Abs. 4). Nach Maßgabe des nationalen Rechts können Sanktionen auch Mitglieder des Leitungsorgans treffen (Art. 50 Abs. 5). Die Bußgeldvorschriften des deutschen Rechts stellen wir hier nicht dar.

Beispiel: ein kleines Wertpapierinstitut liest die Verordnung

Beispiel, frei erfunden. Ein Vermögensverwalter mit Erlaubnis als Wertpapierinstitut und zwölf Beschäftigten soll für seinen Abschlussprüfer festhalten, welche DORA-Vorschriften er anwendet. Mit der Lesekarte geht die Geschäftsleitung so vor:

1. Art. 2 Abs. 1 lit. e: Wertpapierfirmen sind Finanzunternehmen, DORA gilt.
2. Art. 3 Nr. 34 und Art. 16 Abs. 1: Erfüllt das Institut die Bedingungen des Art. 12 Abs. 1 der Verordnung (EU) 2019/2033, ist es klein und nicht verflochten und wendet Art. 16 an. Das Ergebnis hält es mit Zahlen im Einstufungsvermerk fest (Betroffenheit).
3. Delegierte VO 2024/1774 Titel III: Art. 28 bis 41 sind der Prüfkatalog für den eigenen Rahmen (Art. 16).
4. Kapitel III: Behandlung und Meldung von Vorfällen gelten, Art. 16 ersetzt hier nichts. Nur die Zusammenfassung wiederkehrender Vorfälle nach Art. 8 Abs. 2 der Delegierten VO 2024/1772 gilt für die in Art. 16 Abs. 1 DORA genannten Unternehmen, also auch für dieses Wertpapierinstitut, nicht. Ob das auch für Factoring- und Leasinginstitute nach § 1a Abs. 2a KWG gilt, ist offen (siehe DORA für Factoring und Leasing). Zur Meldung selbst siehe Meldepflicht.
5. Kapitel IV: TLPT gilt nicht (Art. 26 Abs. 1). Art. 24 und 25 enthalten keine Ausnahme für Art.-16-Unternehmen, die Begründung steht auf der Seite Art. 16.
6. Kapitel V Abschnitt I: Art. 28 bis 30 gelten, ohne die Strategie nach Art. 28 Abs. 2.
7. Art. 46 lit. c: Zuständig ist die für Wertpapierfirmen benannte Behörde.

Ergebnis ist eine Seite mit Normenliste und Stand, die der Prüfer nachvollziehen kann. Ob die Bedingungen des Art. 12 Abs. 1 der Verordnung (EU) 2019/2033 erfüllt sind, ist eine Frage des Einzelfalls und gehört in die rechtliche Prüfung.

Drei typische Lücken beim Umgang mit der Verordnung

Wie wir unterstützen

Wir gleichen Ihre Unterlagen mit den Teilen der Verordnung und den Level-2-Texten ab, die nach Ihren Angaben in Betracht kommen. Den Einstieg bietet die DORA-Gap-Analyse. Institute, die zum 01.01.2027 von der BAIT in den vereinfachten Rahmen wechseln, finden das passende Angebot im Umstiegspaket nach Art. 16. Die Einordnung ist allgemeine Information, die rechtliche Bewertung im Einzelfall bleibt Ihrer Rechtsberatung vorbehalten.