Digital Operational Resilience Act (DORA): Was ändert sich im Finanzsektor?

Mit dem Digital Operational Resilience Act (DORA), der am 17. Januar 2025 verbindlich in Kraft trat, führt die Europäische Union erstmals ein einheitliches Regelwerk für den Umgang mit digitalen Risiken im Finanzsektor ein. Das Ziel: verbessertes Risikomanagement, Incident-Reporting und Resilience-Testing sowie strengere Kontrollen bei IKT-Drittdienstleistern.

Überblick

• Die DORA-Verordnung (Digital Operational Resilience Act) schafft erstmals ein EU-weites Regelwerk für digitale operationale Resilienz im Finanzsektor.
• Seit 17. Januar 2025 gilt die Verordnung verbindlich für Finanzunternehmen sowie für kritische IT-Drittdienstleister.
• Zentrale Anforderungen betreffen IKT-Risikomanagement, Incident-Reporting, Resilience-Testing und Drittdienstleistersteuerung.
• Finanzunternehmen müssen ihre IKT-Governance und Cyberresilienz strategisch weiterentwickeln, um regulatorische Anforderungen dauerhaft zu erfüllen.

Mit dem Digital Operational Resilience Act (DORA) rückt die digitale Widerstandsfähigkeit des Finanzsektors stärker in den Mittelpunkt. Die EU-Verordnung soll sicherstellen, dass Finanzunternehmen besser auf IKT-Störungen, Cyberangriffe und Systemausfälle vorbereitet sind. Digitale Resilienz bedeutet dabei, solche Ereignisse frühzeitig zu erkennen, wirksam darauf zu reagieren und kritische Geschäftsprozesse auch in Ausnahmesituationen aufrechtzuerhalten.

Was ist die DORA-Verordnung – und was regelt sie?

Mit dem Digital Operational Resilience Act führt die Europäische Union erstmals ein einheitliches Regelwerk für den Umgang mit digitalen Risiken im Finanzsektor ein. Statt vieler unterschiedlicher nationaler Vorgaben gilt damit ein harmonisierter Rahmen für alle EU-Mitgliedstaaten.

Die Regulierung adressiert insbesondere Risiken, die aus der zunehmenden Digitalisierung und der vermehrten Auslagerung von Services entstehen. Dazu gehören Cyberbedrohungen, operative Risiken in IKT-Systemen sowie Abhängigkeiten von externen IKT-Drittdienstleistern. Durch diese Maßnahmen soll die Widerstandsfähigkeit einzelner Finanzunternehmen gestärkt und gleichzeitig die Stabilität des europäischen Finanzsystems insgesamt erhöht werden.

DORA steht dabei nicht isoliert, sondern ist Teil eines breiteren europäischen Regulierungsrahmens für Digitalisierung, Cybersicherheit und Finanzmarktstabilität. Dazu zählen unter anderem der AI Act, der Cyber Resilience Act, FIDA, MiCAR, PSD3 sowie das TIBER-EU-Framework:

• Der AI Act regelt den Einsatz künstlicher Intelligenz in der EU. Er verfolgt einen risikobasierten Ansatz und stellt insbesondere an Hochrisiko-Systeme neue Anforderungen hinsichtlich Risikomanagement, Datenqualität, Transparenz und menschliche Aufsicht.

• Der Cyber Resilience Act (CRA) legt EU-weite Cybersicherheitsanforderungen für Produkte mit digitalen Komponenten fest. Ziel ist es, Hard- und Softwareprodukte sicherer zu gestalten und geeignete Schutzmaßnahmen bereits im Produktlebenszyklus zu verankern.

• FIDA schafft einen Rahmen für den sicheren Austausch von Kundendaten zwischen Finanzdienstleistern. Dadurch soll ein europäisches „Open Finance“-System unterstützt werden, das Innovation, Wettbewerb und Verbraucherschutz miteinander verknüpft.

• Die Markets in Crypto-Assets Regulation (MiCAR) schafft einen harmonisierten Regulierungsrahmen für Kryptowerte in der EU. Die Verordnung regelt unter anderem das öffentliche Angebot, die Zulassung zum Handel und Dienstleistungen im Zusammenhang mit Kryptowerten.

• PSD3 modernisiert den europäischen Zahlungsdiensterahmen und erweitert den Anwendungsbereich unter anderem auf E-Geld-Institute. Gleichzeitig ist PSD3 mit FIDA abgestimmt, um den Datenaustausch im Finanzsektor weiter zu standardisieren.

• Das TIBER-EU-Framework beschreibt, wie realitätsnahe Cyberangriffssimulationen durchgeführt werden können. Solche Threat-Led Penetration Tests (TLPT) helfen Unternehmen, die Widerstandsfähigkeit kritischer Systeme gegen gezielte Angriffe zu überprüfen.

Für wen gilt DORA – und was ist das Ziel der Verordnung?

Die Anforderungen der DORA-Verordnung gelten für eine Vielzahl von Finanzmarktteilnehmern innerhalb der Europäischen Union. Dazu zählen vor allem:

• Kreditinstitute
• Banken
• Zahlungsdienstleister
• E-Geld-Institute
• Wertpapierfirmen
• Versicherungsunternehmen bzw. Rückversicherer und Pensionskassen
• Handelsplätze (z. B. Wertpapierbörsen oder andere organisierte Handelsplattformen)
• Zentrale Gegenparteien

Darüber hinaus werden auch weitere Akteure des Finanzsystems in den regulatorischen Rahmen einbezogen, etwa Ratingagenturen oder Anbieter bestimmter digitaler Finanzdienstleistungen. Ziel ist es, ein möglichst umfassendes Bild der digitalen Risiken im Finanzsektor abzudecken.

Was ist die IKT-Zusatzvereinbarung?

Erstmals ist auch für kritische IKT-Drittdienstleister eine verstärkte regulatorische Aufsicht vorgesehen: Finanzunternehmen sind heute beim Betrieb ihrer digitalen Finanzdienstleistungen stark von externen Dienstleistern wie Cloud-Anbietern, Software-Plattformen oder Rechenzentren abhängig. Die DORA-Verordnung ermöglicht es Europäischen Aufsichtsbehörden, unterschiedliche Dienstleister als systemrelevant einzustufen und deren Aktivitäten auf europäischer Ebene zu überwachen. Ziel dieser Aufsicht ist es, systemische Risiken sowie Konzentrationsrisiken zu reduzieren, die durch die starke Abhängigkeit vieler Finanzunternehmen von denselben Technologieanbietern entstehen könnte.

Zu diesem Zweck erstellt die federführende Überwachungsbehörde für jeden als kritisch eingestuften IKT-Drittdienstleister einen risikobasierten jährlichen Überwachungsplan, der die Überwachungsziele und wichtigsten Überwachungsmaßnahmen beschreibt. Die Aufsichtsbehörden erhalten hierfür umfangreiche Befugnisse, insbesondere zur Anforderung von Informationen, Durchführung von Untersuchungen und Vor-Ort-Prüfungen sowie zur Formulierung von Empfehlungen zur Verbesserung der digitalen Resilienz. Die Verantwortung der Finanzinstitute für ein angemessenes Management Ihrer IKT-Drittparteienrisiken bleibt dabei unverändert bestehen.

Wer ist von DORA ausgenommen?

Obwohl DORA einen Großteil des europäischen Finanzsektors erfasst, gelten die Anforderungen nicht ausnahmslos für alle Marktteilnehmer. Ausgenommen sind vor allem kleinere Finanzmarktakteure, wie etwa sehr kleine Einrichtungen der betrieblichen Altersvorsorge, einige Verwalter alternativer Investmentfonds sowie Versicherungsvermittler und Rückversicherungsvermittler, sofern diese als KMU eingestuft werden. Darüber hinaus können Mitgliedstaaten einzelne, gesetzlich definierte Institute vom Anwendungsbereich ausnehmen. Mit diesen Ausnahmen verfolgt der Gesetzgeber einen verhältnismäßigen Ansatz, der die regulatorischen Belastungen für kleinere Organisationen begrenzen soll, ohne das übergeordnete Ziel einer höheren digitalen Resilienz im Finanzsektor zu beeinträchtigen.

Wann wurde DORA vollständig anwendbar?

Die DORA-Verordnung wurde im November 2022 vom Europäischen Parlament und vom Rat verabschiedet. Nach einer zweijährigen Übergangsfrist trat sie am 17. Januar 2025 verbindlich in Kraft.

Während dieser Übergangsphase hatten Finanzunternehmen die Möglichkeit, ihre bestehenden Governance-Strukturen, IT-Risikomanagementprozesse und Sicherheitsmaßnahmen an die neuen Anforderungen anzupassen. In der Praxis zeigt sich jedoch, dass viele Organisationen auch nach Inkrafttreten der Verordnung weiterhin an der Umsetzung arbeiten.

Die Einführung von DORA ist in vielen Instituten mit umfassenden Transformationsprojekten verbunden. Dabei arbeiten unterschiedliche Unternehmensbereiche zusammen, insbesondere IT-Abteilungen, Risk-Management, Compliance-Einheiten sowie operative Geschäftsbereiche.