• NIS2 – IT-Compliance
  • DORA – Digitale Resilienz
  • KI-Governance
  • KI Inhouse – souveräne KI
Digitale Resilienz · DORA

DORA: Ausfallsicherheit wird Pflicht – auch für IT-Dienstleister

Seit dem 17. Januar 2025 gilt der Digital Operational Resilience Act in der gesamten EU. Er richtet sich an Banken, Versicherungen und weitere Finanzunternehmen – und über deren Verträge an alle, die ihnen IT-Leistungen liefern. Was das konkret bedeutet, lesen Sie hier.

DORA-Fragen besprechen

Was ist DORA?

Die Verordnung (EU) 2022/2554 – kurz DORA – schafft erstmals einheitliche Regeln für die digitale operationale Resilienz des Finanzsektors. Als EU-Verordnung gilt sie unmittelbar, ohne nationales Umsetzungsgesetz. Ziel ist, dass Finanzunternehmen schwere IT-Störungen und Cyberangriffe überstehen, beherrschen und schnell wieder in den Normalbetrieb zurückkehren können.

Erfasst sind rund 20 Arten von Finanzunternehmen: Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Versicherungen und Rückversicherungen, Kapitalverwaltungsgesellschaften, Krypto-Dienstleister und weitere. In Deutschland überwacht die BaFin die Einhaltung.

Die fünf Säulen von DORA

1

IKT-Risikomanagement

Ein dokumentierter Rahmen für alle IT-Risiken: Bestandsaufnahme von Systemen und Abhängigkeiten, Schutz und Prävention, Erkennung, Reaktion und Wiederherstellung, Backup-Konzepte und regelmäßige Überprüfung – verantwortet vom Leitungsorgan.

2

Vorfallmeldung

Schwerwiegende IKT-bezogene Vorfälle müssen klassifiziert und in festen Fristen an die Aufsicht gemeldet werden – mit Erstmeldung, Zwischenbericht und Abschlussbericht.

3

Resilienztests

Regelmäßige Tests der digitalen Widerstandsfähigkeit – von Schwachstellenscans über Szenariotests bis zu bedrohungsorientierten Penetrationstests (TLPT) für besonders bedeutende Institute.

4

Drittparteienrisiko

Auslagerungen an IT-Dienstleister müssen gesteuert, vertraglich abgesichert und in einem Informationsregister erfasst werden, das jährlich an die Aufsicht geht – in Deutschland zuletzt im März 2026 über die Meldeplattform der BaFin.

5

Informationsaustausch

Freiwilliger Austausch von Bedrohungsinformationen zwischen Finanzunternehmen, um Angriffe früher zu erkennen.

Warum DORA auch IT-Dienstleister und Zulieferer betrifft

DORA verpflichtet zwar die Finanzunternehmen – deren Pflichten reichen aber tief in die Verträge mit ihren Dienstleistern hinein. Artikel 30 schreibt Mindestinhalte für Verträge über IKT-Dienstleistungen vor, darunter:

  • eine klare und vollständige Beschreibung der Leistungen und der Orte der Datenverarbeitung,
  • Vorgaben zu Verfügbarkeit, Integrität, Vertraulichkeit und zum Schutz der Daten,
  • Unterstützung bei IT-Vorfällen sowie die Teilnahme an Schulungen und Tests,
  • Zugangs-, Prüf- und Auditrechte für das Finanzunternehmen und die Aufsicht,
  • Kündigungsrechte und Ausstiegsstrategien, damit ein Wechsel ohne Betriebsunterbrechung möglich ist.

Für Leistungen, die kritische oder wichtige Funktionen unterstützen, kommen weitere Anforderungen hinzu, etwa Service-Level mit messbaren Zielen, Notfallpläne und Mitwirkung an Resilienztests.

Die großen Anbieter – etwa Cloud-Plattformen – werden seit November 2025 als kritische IKT-Drittdienstleister direkt von den europäischen Aufsichtsbehörden überwacht. Für mittelständische IT-Dienstleister, Softwarehäuser und Systemhäuser gilt das nicht – sie spüren DORA aber über Fragebögen, Vertragsanpassungen und Auditanfragen ihrer Kunden aus dem Finanzsektor. Das betrifft auch Unternehmen außerhalb der Finanzbranche, die beispielsweise Software, Rechenzentrumsleistungen oder Fernwartung an Banken, Versicherungsagenturen oder Finanzberater liefern.

Was Sie jetzt tun sollten

Als Finanzunternehmen oder Finanzdienstleister

  • IKT-Risikomanagement-Rahmen und Notfallpläne aktuell halten und regelmäßig testen.
  • Das Informationsregister pflegen – jede neue Auslagerung, jeder Dienstleisterwechsel muss darin landen.
  • Verträge mit IT-Dienstleistern auf die Mindestinhalte nach Art. 30 prüfen und nachverhandeln.
  • Den Meldeweg für schwerwiegende Vorfälle üben – mit klaren Zuständigkeiten, auch außerhalb der Geschäftszeiten.

Als Dienstleister oder Zulieferer des Finanzsektors

  • Ihre Leistungen, Standorte und Subunternehmer transparent dokumentieren.
  • Nachweise bereithalten: Datensicherung mit Wiederherstellungstests, Zugriffsschutz, Patch- und Schwachstellenmanagement, Protokollierung.
  • Prozesse für Vorfallunterstützung und Audits definieren – und vertraglich sauber regeln.

Häufige Fragen zu DORA

Wir sind ein kleiner Finanzvermittler – gilt DORA für uns?

Für sehr kleine Unternehmen und einige Kategorien gibt es Erleichterungen, etwa einen vereinfachten Rahmen für das IKT-Risikomanagement. Bestimmte Vermittler sind ganz ausgenommen. Ob und in welchem Umfang DORA greift, hängt von der Erlaubnis und der Unternehmensart ab – eine Prüfung mit der Aufsicht oder Ihrem Verband schafft Klarheit.

Wie unterscheidet sich DORA von NIS2?

DORA ist für den Finanzsektor das speziellere Gesetz und hat dort Vorrang vor den Cybersicherheitsvorgaben aus NIS2. Inhaltlich verfolgen beide dasselbe Ziel – Risikomanagement, Meldung von Vorfällen, Steuerung der Lieferkette –, DORA ist aber detaillierter, insbesondere bei Tests und Dienstleisterverträgen.

Was bedeutet das Informationsregister für unsere Dienstleister?

Finanzunternehmen müssen jede vertragliche Vereinbarung über IKT-Dienstleistungen mit zahlreichen Angaben erfassen: Leistung, Kritikalität, Standorte, Unterauftragnehmer, Laufzeiten. Dienstleister werden deshalb nach genau diesen Informationen gefragt. Wer sie strukturiert bereithält, beschleunigt Ausschreibungen und Vertragsverlängerungen spürbar.

Müssen Dienstleister Penetrationstests zulassen?

Bei Leistungen für kritische oder wichtige Funktionen müssen Verträge die Mitwirkung an Tests der digitalen Resilienz vorsehen. In der Praxis wird das abgestimmt geplant – mit klaren Regeln zu Umfang, Zeitpunkt und Vertraulichkeit.

Wie HA-Net Sie unterstützt

Wir betreiben IT so, dass sie den Nachweisanforderungen standhält – und liefern die Dokumentation gleich mit:

  • Betriebshandbuch und Notfallhandbuch als Grundlage Ihres IKT-Risikomanagements.
  • Managed Backup mit Restore-Garantie – regelmäßige, protokollierte Wiederherstellungstests und eine unveränderliche Kopie im Rechenzentrum in der EU.
  • SIEM/SOC zur Erkennung und Dokumentation von Vorfällen – die Basis für fristgerechte Meldungen.
  • Schwachstellen-Management als regelmäßiger, nachweisbarer Resilienztest.
  • Managed Secure Access mit Zero Trust und Multi-Faktor-Anmeldung für alle Fernzugriffe sowie Managed Firewall und Monitoring.
  • Verträge mit klar beschriebenen Leistungen, Service-Levels, Audit- und Ausstiegsregeln.

DORA-fest aufgestellt?

Ob Sie selbst unter DORA fallen oder Kunden aus dem Finanzsektor betreuen – wir zeigen Ihnen in einem kurzen Gespräch, wo Sie stehen.

Kontakt aufnehmen

Stand: Oktober 2026. Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Quellen: Verordnung (EU) 2022/2554 (EUR-Lex) · BaFin – DORA · EIOPA – DORA