Mit der Verordnung (EU) 2022/2554 verpflichtet die Europäische Union Finanzunternehmen zur Stärkung ihrer digitalen operationalen Resilienz. Auch im deutschsprachigen Raum haben sich die englische Bezeichnung „Digital Operational Resilience Act“ und deren Abkürzung DORA etabliert.
DORA enthält Vorgaben für die Resilienz von IKT-Systemen für verschiedene Arten von Finanzunternehmen, wie beispielsweise für Kreditinstitute (Banken) und Versicherungsunternehmen sowie für deren IKT-Dienstleister. Die Verordnung betrifft in der Europäischen Union schätzungsweise 22.000 Finanzunternehmen, davon 3.600 in Deutschland.
DORA enthält neun Kapitel und umfasst in der deutschen Version 79 A4-Textseiten. Die Verordnung wird zudem durch Level-2- und Level-3-Rechtsakte um zahlreiche weitere Anforderungen ergänzt. Die EU-Kommission und ESAs veröffentlichen Auslegungsentscheidungen im Rahmen des „Single-Rulebook-Q&A-Prozesses“. Außerdem gibt es Veröffentlichungen der nationalen Aufsichtsbehörden.
Zielsetzung Der Rechtsakt zielt darauf ab, die digitale operationale Widerstandsfähigkeit von europäischen Finanzunternehmen und ihren IKT-Dienstleistern zu verbessern und einen EU-weit einheitlichen Aufsichtsrahmen zu schaffen. So sollen die Anfälligkeit für Cyberbedrohungen und IKT-Störungen über die gesamte Wertschöpfungskette des Finanzsektors reduziert werden. Darüber hinaus beabsichtigt DORA, die nationalen Vorschriften für die Sicherheit von IT-Systemen im Finanzsektor zu harmonisieren. Dadurch werde der europäische Finanzmarkt als Ganzes gegenüber Cyberrisiken und Vorfällen der Informations- und Kommunikationstechnologie gestärkt.
Geltungsbereich Die Verordnung gilt für bestimmte Finanzunternehmen aus dem Europäischen Wirtschaftsraum (EWR). Außerdem enthält sie Pflichten für bestimmte IKT-Drittdienstleister.
Die in den Geltungsbereich von DORA fallenden Finanzunternehmen sind in Artikel 2 der Verordnung aufgeführt. Das sind insbesondere CRR-Kreditinstitute, Zahlungsinstitute, Wertpapierfirmen sowie Versicherungs- und Rückversicherungsunternehmen. Unter DORA fallen aber auch Kontoinformationsdienstleister, E-Geld-Institute, Anbieter von Krypto-Dienstleistungen, Zentralverwahrer, zentrale Gegenparteien, Handelsplätze, Transaktionsregister, Verwalter alternativer Investmentfonds, Verwaltungsgesellschaften, Datenbereitstellungsdienste, Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit, Einrichtungen der betrieblichen Altersversorgung, Ratingagenturen, Administratoren kritischer Referenzwerte, Schwarmfinanzierungsdienstleister und Verbriefungsregister.
Im Bankensektor gilt DORA unmittelbar für CRR-Kreditinstitute. Darüber hinaus müssen in Deutschland auch sonstige Institute gemäß bestimmte Anforderungen der DORA umsetzen. Gemäß sind Anforderungen an das Meldewesen seit dem 17. Januar 2025 und die übrigen Anforderungen ab dem 1. Januar 2027 anzuwenden. Von dieser Regelung sind insbesondere Leasing- und Factoring-Institute betroffen.
Aufbau und Inhalte Der Rechtsakt umfasst 64 Artikel, die in 9 Kapitel strukturiert sind:Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die digitale operationale Resilienz im Finanzsektor und zur Änderung der Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014, (EU) Nr. 909/2014 und (EU) 2016/1011 (Text von Bedeutung für den EWR), auf eur-lex.europa.eu, abgerufen am 2. Februar 2024 Allgemeine Bestimmungen (Art. 1 bis Art. 4) IKT-Risikomanagement (Art. 5 bis Art. 16) Behandlung, Klassifizierung und Berichterstattung IKT-bezogener Vorfälle (Art. 17 bis Art. 23) Testen der digitalen operationalen Resilienz (Art. 23 bis Art. 27) Management des IKT-Drittparteienrisikos (Art. 28 bis Art. 44) Vereinbarungen über den Austausch von Informationen (Art. 45) Zuständige Behörden (Art. 46 bis Art. 56) Delegierte Rechtsakte (Art. 57) Übergangs- und Schlussbestimmungen (Art. 58 bis Art. 64)
Level-2/3-Rechtsakte DORA wird – gemäß dem Lamfalussy-Verfahren – ergänzt durch delegierte Verordnungen, Durchführungsverordnungen (Level-2) und gemeinsame Leitlinien der ESAs (Level-3). Delegierte Verordnungen zu DORA sind zumeist technische Regulierungsstandards (Regulatory Technical Standards, RTS), die Durchführungsverordnungen zu DORA sind technische Durchführungsstandards (Implementing Technical Standards, ITS). RTS und ITS zu DORA gingen Berichte der ESAs voraus. Leitlinien (Guidelines) der ESAs haben grundsätzlich keine rechtliche Bindungswirkung. Nationale Behörden müssen erklären, ob sie diesen nachkommen oder nachzukommen beabsichtigen. Es gibt diese 10 delegierten Verordnungen, 2 Durchführungsverordnungen und 2 Leitlinien:
IKT-Risikomanagement (Kapitel II DORA): RTS zum IKT-Risikomanagementrahmen und zum vereinfachten IKT-Risikomanagementrahmen (zu Art. 15 und Art. 16 Abs. 3 DORA), IKT-bezogene Vorfälle (Kapitel III DORA): GL für die Schätzung der von schwerwiegenden IKT-bezogenen Vorfällen verursachten aggregierten jährlichen Kosten und Verluste (Art. 11 Abs. 11 DORA), JC 2024 34. Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) hat diese für in Deutschland anwendbar erklärt. RTS zu Kriterien für die Klassifizierung von IKT-bezogenen Vorfällen (zu Art. 18 Abs. 3 DORA), RTS zur Festlegung der Meldung schwerwiegender IKT-Vorfälle (zu Art. 20 lit. a DORA), ITS zur Festlegung der Einzelheiten der Berichterstattung über größere IKT-bezogene Vorfälle (zu Art. 20 lit. b DORA), Testen (Kapitel IV DORA): RTS zu Threat Led Penetration Testing (zu Art. 26 Abs. 11 DORA), IKT-Drittparteienrisikomanagement (Kapitel V, Abschnitt I DORA): ITS zur Erstellung einer Standardvorlage für das Informationsregister (zu Art. 28 Abs. 9 DORA), RTS zur Leitlinie in Bezug auf die Nutzung von IKT-Dienstleistungen (zu Art. 28 Abs. 10 DORA), – kurz: "RTS TPPol" (Third Party Policy). RTS zur Spezifizierung von Elementen bei der Untervergabe von kritischen oder wichtigen Funktionen (zu Art. 30 Abs. 5 DORA), – kurz: "RTS Sub" (Subcontractor). Überwachungsrahmen für kritische IKT-Drittdienstleister (Kapitel V, Abschnitt II DORA): Festlegung der Kriterien für die Einstufung von IKT-Drittdienstleistern als für Finanzunternehmen kritisch (Art. 31 Abs. 6 DORA) GL für die Zusammenarbeit zwischen den ESA und dem CAs hinsichtlich der Struktur der Überwachung (zu Art. 32 Abs. 7 DORA), JC/GL/2024/36. Die BaFin hat diese für in Deutschland anwendbar erklärt. RTS zur Harmonisierung der Voraussetzungen für die Durchführung der Überwachungstätigkeiten (zu Art. 41 DORA), RTS Festlegung der Kriterien für die Festlegung der Zusammensetzung des gemeinsamen Untersuchungsteams (Art. 41 DORA), Festlegung der Höhe der von der federführenden Überwachungsbehörde bei kritischen IKT-Drittdienstleistern zu erhebenden Überwachungsgebühren und der Art und Weise der Entrichtung dieser Gebühren (Art. 43 Abs. 2 DORA)
Grundsatz der Verhältnismäßigkeit DORA definiert in Artikel 4Artikel 4, auf eur-lex.europa.eu den Grundsatz der Verhältnismäßigkeit. Dieser resultiert für kleinere Unternehmen, die trotz ihrer Größe unter den Geltungsbereich dieses Rechtsaktes fallen, in einigen Ausnahmeregelungen. Demnach können in Einklang mit ihrem Gesamtrisikoprofil einige Vorgaben vereinfacht umgesetzt werden. Ein Beispiel hierfür ist der sogenannte vereinfachte IKT-Risikomanagementrahmen nach Artikel 16 mit einem zugehörigen technischen Regulierungsstandard (RTS).
Nationale Auslegung und Prüfpraxis Obwohl es sich bei DORA um eine europaweit geltende Verordnung handelt, obliegt die Aufsicht in der Regel nationalen Aufsichtsbehörden. Anderes gilt für Kreditinstitute, die gemäß dem Einheitlichen Bankenaufsichtsmechanismus direkt der Aufsicht der EZB unterstehen (signifikante Institute).
Deutschland Für die meisten deutschen Finanzunternehmen hält die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) die Aufsicht inne. Neben der Aufsicht der EZB über signifikante Institute, sind aber auch andere deutsche Stellen zuständig, z. B. die Industrie- und Handelskammern für unter DORA fallende Versicherungsvermittler.
Die BaFin übernimmt grundsätzlich die Antworten aus dem Single-Rulebook-Q&A-Prozess der ESAs. Die BaFin konkretisiert in eigenen Aufsichtsmitteilungen ihre Erwartungshaltung an die Auslegung der in DORA definierten Pflichten. Zusätzlich wird ein Portal (DORA) bereitgestellt, das alle aktuell gültigen Rechtsakte, Auslegungshinweise und häufige Fragen beantwortet.
Durch das im Dezember 2024 verabschiedete Finanzmarktdigitalisierungsgesetz (FinmadiG) - Text und Änderungen, (, PDF) erhält die BaFin alle aufsichtlichen Rechte, die sie bereits zur Umsetzung der zugunsten von DORA aufgehobenen aufsichtlichen Anforderungen an die IT (BAIT, VAIT, KAIT, ZAIT) hatte. Das umfasst insbesondere die Möglichkeit zur Durchführung von Sonderprüfungen zur Einhaltung der Vorgaben von DORA. Falls in einer Sonderprüfung Abweichungen festgestellt werden, kann die BaFin beispielsweise die Beseitigung der Missstände bis zu einem vereinbarten Zieltermin verlangen. In besonders schweren Fällen können sogar Sonderbeauftragte in Vorstand oder Aufsichtsrat eingesetzt, ein Kapitalaufschlag verhängt oder sogar die Erlaubnis zum Geschäftsbetrieb widerrufen werden.
Österreich Die Finanzmarktaufsichtsbehörde (FMA) konkretisiert in eigenen Mitteilungen ihre Erwartungshaltung an die Auslegung der in DORA definierten Pflichten. Sie stellt ebenfalls ein Portal (DORA) bereit, das weiterführende Informationen, Neuigkeiten und FAQ enthält.DORA – Digitale operationale Resilienz im Finanzsektor, auf fma.gv.at
Zum aktuellen Zeitpunkt (Stand: Februar 2025) führen weder die FMA noch die Oesterreichische Nationalbank (OeNB) als zuständige Aufsichtsbehörden ausschließlich auf DORA bezogene Vor-Ort-Prüfungen durch. Die Vorgaben aus DORA werden stattdessen in die regulären IKT-Prüfungen integriert.
Drittstaaten außerhalb des EWR Für Staaten außerhalb des Europäischen Wirtschaftsraums (EWR) sind Verordnungen der EU und damit auch DORA nicht anwendbar. Ausgenommen sind hiervon die von DORA betroffenen IKT-Dienstleister (siehe entsprechenden Abschnitt) sowie Finanzinstitute, die eine Zweigstelle oder andere Niederlassung innerhalb des EWR unterhalten.
Viele Staaten außerhalb des EWR verfügen über eigene Regelungen zur Stärkung der digitalen operativen Resilienz im Finanzsektor, die teils von DORA inspiriert sind:
Schweiz: Die Eidgenössische Finanzmarktaufsicht hat bereits im Dezember 2022 ihr Rundschreiben 08/21 Rundschreiben 2023/01 mit dem Titel Operationelle Risiken und Resilienz für Banken veröffentlicht. Das Rundschreiben ist zum 1. Januar 2024 in Kraft getreten und deckt einige wesentliche Inhalte von DORA ab. Es ist aber mit lediglich 16 Seiten deutlich weniger umfangreich als die europäische Verordnung DORA. Großbritannien: Nach dem Brexit gab die großbritannische Regierung bekannt, eine eigene Version von DORA entwickeln zu wollen. Aktuell (Stand: Februar 2025) gibt es allerdings noch keinen solchen Rechtsakt. Singapur: Die Monetary Authority of Singapore veröffentlichte im August 2022 einen Bericht zum operativen Risikomanagement und Management des Drittparteirisikos in Finanzunternehmen.
Anwendung von DORA auf IKT-Dienstleister In Artikel 2 DORA zum Geltungsbereich sind IKT-Drittdienstleister genannt. Direkte Anforderungen bestehen aber nur für Dienstleister, die von den europäischen Aufsichtsbehörden gemäß Artikel 31 DORA als kritische IKT-Drittdienstleister eingestuft wurden. Andere IKT-Drittdienstleister sind nur indirekte Adressaten der DORA. Finanzunternehmen müssen mit ihnen Mindestvertragsinhalte, hauptsächlich aus Art. 30 DORA, vereinbaren, unabhängig davon, ob es sich um gruppeninterne oder um externe Dienstleister handelt.