Fachbeitrag · Regulatorik · Digitale operationale Resilienz

Digital Operational Resilience Act (DORA): Überblick 2026/2027

Rechtsstand: Oktober 2026Lesezeit: ca. 17 MinutenAutor: Achim Schulz

Management Summary

Der Digital Operational Resilience Act (DORA), die Verordnung (EU) 2022/2554, gilt seit dem 17. Januar 2025 unmittelbar in allen EU-Mitgliedstaaten. Er soll sicherstellen, dass Finanzunternehmen Störungen ihrer Informations- und Kommunikationstechnologie (IKT) verhindern, erkennen, bewältigen und sich davon erholen können. Geregelt sind fünf Bereiche: IKT-Risikomanagement, Behandlung und Meldung von IKT-Vorfällen, Tests der digitalen operationalen Resilienz, Management des IKT-Drittparteienrisikos und Informationsaustausch.

Die Level-2-Rechtsakte sind in Kraft: IKT-Risikomanagement, Vorfallklassifizierung, Meldungen, Informationsregister, Vertragsrichtlinie, Untervergabe und TLPT. Das Informationsregister wurde 2026 zum zweiten Mal eingereicht, und am 18. November 2025 haben die Europäischen Aufsichtsbehörden 19 kritische IKT-Drittdienstleister benannt.

Zwei Termine prägen den Jahreswechsel: Mit Ablauf des 31. Dezember 2026 entfallen die BAIT, und ab dem 1. Januar 2027 gilt DORA nach § 1a Abs. 2a KWG auch für KWG-Institute außerhalb von Art. 2 DORA, etwa Leasing- und Factoringgesellschaften, mit vereinfachtem Rahmen und ohne TLPT. Der Digital-Omnibus mit einer zentralen EU-Meldestelle ist vorgeschlagen, aber nicht verabschiedet; bis dahin gelten alle Pflichten unverändert.

Für dein Team heißt das: Das Leitungsorgan trägt die letztendliche Verantwortung für das IKT-Risikomanagement und hält seine Kenntnisse durch regelmäßige Schulungen aktuell (Art. 5 Abs. 2 und 4 DORA). Sensibilisierungs- und Schulungsprogramme sind für alle Beschäftigten und die Geschäftsleitung obligatorisch (Art. 13 Abs. 6 DORA). Dieser Beitrag ordnet die Anforderungen ein, nennt die maßgeblichen Fundstellen und zeigt, wie du sie Schritt für Schritt umsetzt. Er ersetzt keine Rechtsberatung.

Inhaltsverzeichnis

Rechtsstand im Überblick: geltend, Übergang, künftig

Die Anforderungen lassen sich in drei Stände trennen. So siehst du auf einen Blick, was heute gilt und was erst kommt.

Geltend, Stand Oktober 2026

DORA und Level-2-Rechtsakte

DORA gilt seit dem 17.01.2025 unmittelbar. Die Level-2-Rechtsakte sind in Kraft: IKT-Risikomanagement, Vorfallklassifizierung, Meldungen, Informationsregister, Vertragsrichtlinie, Untervergabe und TLPT. Das Informationsregister wurde 2026 zum zweiten Mal eingereicht (09.–30.03.2026, Stichtag 31.12.2025). Am 18.11.2025 wurden 19 kritische IKT-Drittdienstleister benannt. Die MaRisk 10.0 (RS 06/2026 (BA)) nehmen IKT-Dienstleistungen aus AT 9 heraus.

Fundstelle: VO (EU) 2022/2554; BaFin; ESAs

Übergang

Ende der BAIT

Die BAIT gelten bis 31.12.2026 nur noch für Nicht-DORA-Institute und entfallen danach. VAIT, KAIT und ZAIT sind bereits mit Ablauf des 16.01.2025 entfallen.

Fundstelle: Bundesbank

Künftig

Geltung ab 01.01.2027 und Überprüfung

Ab 01.01.2027 gilt DORA auch für KWG-Institute außerhalb von Art. 2 DORA, mit vereinfachtem Rahmen und ohne TLPT (§ 1a Abs. 2a KWG). Die Kommission überprüft DORA bis 17.01.2028 (Art. 58 Abs. 1 DORA). Der Digital-Omnibus mit einer zentralen EU-Meldestelle für Vorfälle ist vorgeschlagen, aber nicht verabschiedet.

Fundstelle: KWG; DORA; COM(2025) 837

Anwendungsbereich und Verhältnismäßigkeit

DORA gilt für die in Art. 2 Abs. 1 DORA genannten Finanzunternehmen, unter anderem Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Kryptowerte-Dienstleister, Verwaltungsgesellschaften, Versicherungs- und Rückversicherungsunternehmen sowie Einrichtungen der betrieblichen Altersversorgung.

Ausgenommen sind nach Art. 2 Abs. 3 DORA unter anderem Einrichtungen der betrieblichen Altersversorgung mit insgesamt nicht mehr als 15 Versorgungsanwärtern sowie bestimmte kleine Versicherungsvermittler.

Alle Anforderungen sind verhältnismäßig umzusetzen, abhängig von Größe, Risikoprofil sowie Art, Umfang und Komplexität der Dienstleistungen (Art. 4 DORA). Bestimmte Unternehmen, etwa kleine und nicht verflochtene Wertpapierfirmen, wenden statt Art. 5–15 DORA nur den vereinfachten IKT-Risikomanagementrahmen nach Art. 16 DORA an. Konkretisiert wird dieser Rahmen in der Delegierten Verordnung (EU) 2024/1774.

Künftiges Recht: Geltung ab 01.01.2027

Nach § 1a Abs. 2a KWG gilt DORA ab 01.01.2027 auch für KWG-Institute, die nicht unter Art. 2 DORA fallen, darunter Leasing- und Factoringgesellschaften. Diese Institute wenden den vereinfachten Rahmen nach Art. 16 DORA an und führen keine TLPT durch. Kleinstunternehmen unter ihnen sind von Art. 28–30 DORA ausgenommen.

Praxis-Tipp

Es gibt keine allgemeine „KMU-Ausnahme“. Dokumentiere, ob dein Unternehmen den regulären oder den vereinfachten Rahmen anwendet, und begründe die Verhältnismäßigkeit deiner Maßnahmen.

Mehr dazu: DORA-Erleichterungen für Leasing und Factoring

Die fünf Säulen des Digital Operational Resilience Act

Der Digital Operational Resilience Act gliedert die digitale operationale Resilienz in fünf Säulen. Für jede Säule findest du die maßgeblichen Fundstellen und einen Hinweis für die Umsetzung.

Säule 1: IKT-Risikomanagement und Governance

  • Art. 5 Abs. 2 Buchst. a DORA: Das Leitungsorgan trägt die letztendliche Verantwortung für das Management der IKT-Risiken des Finanzunternehmens.
  • Art. 5 Abs. 4 DORA: Die Mitglieder des Leitungsorgans halten ausreichende Kenntnisse und Fähigkeiten aktiv auf dem neuesten Stand, unter anderem durch regelmäßige spezielle Schulungen.
  • Art. 6 DORA: Ein solider, umfassender und gut dokumentierter IKT-Risikomanagementrahmen mit einer Strategie für die digitale operationale Resilienz. Nach Art. 6 Abs. 4 DORA sind IKT-Risikomanagement, Kontrollfunktionen und Interne Revision angemessen zu trennen, nach dem Modell der drei Verteidigungslinien oder einem anderen internen Risikomanagement- und Kontrollmodell.
  • Art. 7–14 DORA: gliedern den Rahmen in Systeme, Identifizierung, Schutz und Prävention, Erkennung, Reaktion und Wiederherstellung, Datensicherung, Lernprozesse und Kommunikation.
  • Art. 11 DORA: IKT-Geschäftsfortführungsleitlinie, Business Impact Analyse (Art. 11 Abs. 5 DORA) sowie Reaktions- und Wiederherstellungspläne.
  • Art. 12 DORA: Richtlinien zur Datensicherung mit Umfang und Mindesthäufigkeit nach Kritikalität. Für die Wiederherstellung sind IKT-Systeme zu verwenden, die vom Quellsystem physisch und logisch getrennt sind (Art. 12 Abs. 3 DORA).
  • Art. 13 Abs. 6 DORA: Sensibilisierungs- und Schulungsprogramme sind für alle Beschäftigten und die Geschäftsleitung obligatorisch.
  • Delegierte Verordnung (EU) 2024/1774 (RTS zum IKT-Risikomanagementrahmen): Einzelheiten unter anderem zu Sicherheitsrichtlinien, Zugangskontrollen, Verschlüsselung, Schwachstellen- und Patchmanagement sowie Protokollierung.
Praxis-Tipp

Backup-Konzepte wie „3-2-1“ sind gute Praxis, aber keine Rechtsvorgabe. Miss dein Konzept an Art. 12 DORA und der Delegierten Verordnung (EU) 2024/1774: Kritikalität, Häufigkeit, getrennte Wiederherstellungsumgebung, getestete Wiederherstellung.

Mehr dazu: DORA-Dokumentation · Aufgaben des CISO

Säule 2: Behandlung, Klassifizierung und Meldung von IKT-Vorfällen

  • Art. 17 DORA: Prozess zur Erkennung, Behandlung und Meldung IKT-bezogener Vorfälle.
  • Art. 18 DORA mit der Delegierten Verordnung (EU) 2024/1772: Klassifizierung nach Kriterien wie betroffene Kunden, Dauer, geografische Ausbreitung, Datenverluste, Kritikalität der Dienste und wirtschaftliche Auswirkungen.
  • Art. 19 DORA: Schwerwiegende IKT-bezogene Vorfälle sind an die BaFin über die Melde- und Veröffentlichungsplattform (MVP) zu melden. Die Fristen ergeben sich aus Art. 5 der Delegierten Verordnung (EU) 2025/301 (siehe Fristen und Zeitpunkte). Die Meldevorlagen regelt die Durchführungsverordnung (EU) 2025/302.
  • Art. 23 DORA: Die Melderegeln gelten auch für zahlungsbezogene Betriebs- oder Sicherheitsvorfälle bei Kreditinstituten, Zahlungsinstituten, Kontoinformationsdienstleistern und E-Geld-Instituten.

Künftiges Recht (Vorschlag)

Der Digital-Omnibus (COM(2025) 837) schlägt eine zentrale EU-Meldestelle („Single Entry Point“) für Vorfallmeldungen nach NIS2, DSGVO, DORA und weiteren Rechtsakten vor. Der Vorschlag ist nicht verabschiedet; bis zu einer Einigung gelten die bestehenden Meldewege und Fristen unverändert.

Praxis-Tipp

Die Uhr läuft ab Einstufung, nicht erst ab vollständiger Aufklärung. Lege Klassifizierungsschwellen, Entscheidungsbefugte und Vertretungen fest, auch für Wochenenden.

Säule 3: Testen der digitalen operationalen Resilienz

  • Art. 24 DORA: Programm für Tests der digitalen operationalen Resilienz. Finanzunternehmen, die keine Kleinstunternehmen sind, testen alle IKT-Systeme und -Anwendungen, die kritische oder wichtige Funktionen unterstützen, mindestens einmal jährlich (Art. 24 Abs. 6 DORA).
  • Art. 25 DORA: Testarten, unter anderem Schwachstellenbewertungen, Netzwerksicherheitsbewertungen, szenariobasierte Tests, Penetrationstests und Quellcodeprüfungen.
  • Art. 26 und 27 DORA: Bedrohungsgeleitete Penetrationstests (TLPT) führen nur Finanzunternehmen durch, die die Aufsicht anhand von Kriterien bestimmt, mindestens alle drei Jahre. Kleinstunternehmen und Unternehmen mit vereinfachtem Rahmen nach Art. 16 DORA sind ausgenommen. Werden interne Tester eingesetzt, ist für jeden dritten Test ein externer Tester zu beauftragen (Art. 26 Abs. 8 DORA).
  • Einzelheiten zu TLPT regelt die Delegierte Verordnung (EU) 2025/1190. In Deutschland verpflichtet die BaFin per Bescheid.
Praxis-Tipp

TLPT ist keine Pflicht für alle. Für die meisten Häuser zählt ein dokumentiertes jährliches Testprogramm mit Befunden, Maßnahmen und Nachtests.

Säule 4: Management des IKT-Drittparteienrisikos

  • Art. 28 DORA: Strategie für das IKT-Drittparteienrisiko, Risikobewertung und Due Diligence vor Vertragsschluss, Kündigungsrechte (Art. 28 Abs. 7 DORA) und Ausstiegsstrategien (Art. 28 Abs. 8 DORA).
  • Informationsregister (Art. 28 Abs. 3 DORA): Es erfasst alle vertraglichen Vereinbarungen über IKT-Dienstleistungen nach den Vorlagen der Durchführungsverordnung (EU) 2024/2956 und wird jährlich über die MVP der BaFin eingereicht. 2026 lief das Einreichungsfenster vom 09. bis 30.03.2026, mit Stichtag 31.12.2025 und Korrekturen bis 24.04.2026. Eine Leermeldung ist nicht möglich.
  • Art. 30 DORA: Mindestinhalte der Verträge; für kritische oder wichtige Funktionen gelten zusätzliche Anforderungen (Art. 30 Abs. 3 DORA).
  • Delegierte Verordnung (EU) 2024/1773: Leitlinie für vertragliche Vereinbarungen über IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen.
  • Delegierte Verordnung (EU) 2025/532: Bedingungen für die Untervergabe solcher IKT-Dienstleistungen.
  • Art. 31 ff. DORA: EU-Überwachung kritischer IKT-Drittdienstleister (CTPP). Am 18.11.2025 haben die ESAs 19 Anbieter benannt. Die Überwachung erfolgt durch einen federführenden Überwacher; die Pflichten der Finanzunternehmen bleiben unberührt.
Praxis-Tipp

Gleiche dein Informationsregister mit der CTPP-Liste ab und behandle das Register als Steuerungsinstrument, nicht als reine Meldung. Die ESAs prüfen seit 2026 die Datenqualität und geben strukturiertes Feedback.

Mehr dazu: DORA vs. Third-Party Guidelines · Auslagerungs-Controlling-Seminare

Säule 5: Informationsaustausch

Art. 45 DORA: Finanzunternehmen können untereinander Informationen und Erkenntnisse über Cyberbedrohungen austauschen, in vertrauenswürdigen Gemeinschaften und unter Wahrung des Datenschutzes. Die Teilnahme ist freiwillig, aber der Aufsicht anzuzeigen.

Fristen und Zeitpunkte

Diese Zeitpunkte solltest du in deiner Umsetzungsplanung hinterlegen.

ZeitpunktEreignisFundstelle
16.01.2025VAIT, KAIT und ZAIT entfallen mit Ablauf dieses Tages.Bundesbank
17.01.2025DORA gilt unmittelbar.Art. 64 DORA
18.11.2025Die ESAs benennen 19 kritische IKT-Drittdienstleister.ESAs; BaFin
09.–30.03.2026Einreichungsfenster für das Informationsregister (Stichtag 31.12.2025); Korrekturen bis 24.04.2026.BaFin
30.06.2026MaRisk 10.0 (RS 06/2026 (BA)): IKT-Dienstleistungen fallen nicht unter AT 9; AT 7.3 ist an DORA angeglichen.BaFin
31.12.2026Die BAIT entfallen mit Ablauf dieses Tages insgesamt.Bundesbank
01.01.2027DORA gilt auch für KWG-Institute außerhalb von Art. 2 DORA (vereinfachter Rahmen, keine TLPT).§ 1a Abs. 2a KWG
17.01.2028Die Kommission überprüft DORA bis zu diesem Tag.Art. 58 Abs. 1 DORA
Offen (Stand Oktober 2026)Digital-Omnibus mit zentraler EU-Meldestelle: vorgeschlagen, nicht verabschiedet.COM(2025) 837

Meldefristen bei schwerwiegenden IKT-bezogenen Vorfällen

Art. 19 DORA in Verbindung mit Art. 5 der Delegierten Verordnung (EU) 2025/301:

MeldungFrist
Erstmeldunginnerhalb von 4 Stunden nach Einstufung als schwerwiegend, spätestens 24 Stunden nach Kenntnis
Zwischenmeldunginnerhalb von 72 Stunden nach der Erstmeldung
Abschlussmeldunginnerhalb eines Monats nach der letzten Zwischenmeldung

Zusammenspiel mit MaRisk 10.0, BAIT und NIS-2

  • MaRisk 10.0 (RS 06/2026 (BA) vom 30.06.2026): IKT-Dienstleistungen fallen nicht unter AT 9 MaRisk; für sie gilt DORA. Das Notfallmanagement nach AT 7.3 ist an DORA angeglichen.
  • BAIT: Sie gelten nicht für DORA-Institute und entfallen mit Ablauf des 31.12.2026 insgesamt. VAIT, KAIT und ZAIT sind bereits mit Ablauf des 16.01.2025 entfallen.
  • NIS-2: DORA ist sektorspezifischer Rechtsakt (Art. 1 Abs. 2 DORA). Für DORA-Finanzunternehmen gelten die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG nicht (§ 28 Abs. 6 BSIG). Die Registrierung beim BSI nach § 33 BSIG kann bestehen bleiben.

Mehr dazu: MaRisk 10.0 und DORA · DORA vs. NIS2

Pflichten und Umsetzung nach Funktion

Die Tabelle übersetzt die Normen in typische Zuständigkeiten. Die Zuordnung zu Funktionen ist eine Orientierung; sie hängt von deiner Aufbauorganisation ab.

FunktionWas DORA verlangtFundstelleUmsetzung in der Praxis
GeschäftsleitungLetztendliche Verantwortung und Schulung des LeitungsorgansArt. 5 Abs. 2 und 4 DORAZuständigkeiten in der Geschäftsordnung, jährliche Schulung mit Nachweis
IKT-Risikomanagement, CISO/ISBRahmen, Strategie, FunktionstrennungArt. 6 DORA; Del. VO (EU) 2024/1774Rahmenwerk mit Risiken, Kontrollen, Eigentümern, Review-Zyklus
CISO/ISB, IT-BetriebSicherheitsrichtlinien, Zugriffe, Verschlüsselung, PatchmanagementArt. 9 DORA; Del. VO (EU) 2024/1774Einheitliche Richtlinien, Schwachstellenmanagement, Awareness
BCM, Resilience OfficerLeitlinie, BIA, Pläne, TestsArt. 11 DORABIA, RTO/RPO, jährliche Tests mit Lessons Learned
IT-BetriebBackup-Richtlinie, getrennte WiederherstellungArt. 12 DORABackup-Konzept nach Kritikalität, Wiederherstellungstests
CISO/ISB, ComplianceProzess, Klassifizierung, Meldung von VorfällenArt. 17–19, 23 DORA; Del. VO (EU) 2024/1772 und 2025/301; DVO (EU) 2025/302Klassifizierungsmatrix, Meldekette mit Vertretung, MVP-Zugang
CISO/ISB, IT-BetriebJährliches Testprogramm, TLPT nur nach BestimmungArt. 24–27 DORA; Del. VO (EU) 2025/1190Risikobasiertes Testprogramm, Befundverfolgung
Auslagerungs- und DrittparteienmanagementStrategie, Register, Verträge, Exit, UntervergabeArt. 28–30 DORA; DVO (EU) 2024/2956; Del. VO (EU) 2024/1773 und 2025/532Register mit Datenqualitätskontrolle, Vertragsabgleich, Exit-Pläne
CISO/ISBInformationsaustausch: freiwillig, anzeigepflichtigArt. 45 DORATeilnahme an Austauschgruppen prüfen und anzeigen

Die Trennung zwischen IKT-Risikomanagement, Kontrollfunktionen und Interner Revision regelt Art. 6 Abs. 4 DORA. Prüfungen der Internen Revision gehören zum Nachweis (siehe Fahrplan, Schritt 6).

Typische Stolpersteine mit Normbezug

Diese sechs Punkte führen in der Umsetzung am häufigsten zu Fehlannahmen. Jeder hat einen klaren Normbezug.

Art. 4, Art. 16 DORA

Es gibt keine allgemeine KMU-Ausnahme

Verhältnismäßigkeit verändert Umfang und Tiefe der Maßnahmen, nicht die Geltung. Dokumentiere, ob der reguläre Rahmen (Art. 5–15 DORA) oder der vereinfachte Rahmen (Art. 16 DORA) gilt.

Art. 24–27 DORA

TLPT ist keine Pflicht für alle

TLPT führen nur von der Aufsicht bestimmte Unternehmen durch. Für alle anderen außer Kleinstunternehmen gilt das jährliche Testprogramm nach Art. 24 und 25 DORA.

Art. 19 DORA; Art. 5 Del. VO (EU) 2025/301

Die Meldeuhr läuft ab Einstufung

Die 4-Stunden-Frist beginnt mit der Einstufung als schwerwiegend, spätestens aber 24 Stunden nach Kenntnis. Entscheidungsbefugte und Vertretungen müssen auch am Wochenende erreichbar sein.

Art. 12 DORA

Backup nach Norm, nicht nach Faustregel

„3-2-1“ ist keine Rechtsvorgabe. Maßstab sind Kritikalität, Mindesthäufigkeit, getrennte Wiederherstellungssysteme und getestete Wiederherstellung.

Art. 28 Abs. 3 DORA; DVO (EU) 2024/2956

Das Register ist mehr als eine Meldung

Eine Leermeldung ist nicht möglich. Behandle das Register als Steuerungsinstrument und gleiche es mit Verträgen und der CTPP-Liste ab.

Art. 28–30 DORA; MaRisk 10.0

DORA erfasst alle IKT-Dienstleistungen

Nicht nur Auslagerungen: Risiken aus allen IKT-Dienstleistungen Dritter sind zu steuern. IKT-Dienstleistungen fallen nicht mehr unter AT 9 MaRisk.

Quick-Check: Wo stehst du bei DORA?

Gehe die Prüffelder durch und notiere je Zeile, ob die Frage mit Ja beantwortet werden kann. Jedes Nein ist ein Handlungsfeld für den Fahrplan.

PrüffeldPrüffrageNormbezugMögliche Lücke
AnwendungsbereichIst dokumentiert, ob der reguläre (Art. 5–15 DORA) oder der vereinfachte Rahmen (Art. 16 DORA) gilt?Art. 2, 4, 16 DORA; ab 01.01.2027 § 1a Abs. 2a KWGBegründung der Verhältnismäßigkeit fehlt
LeitungsorganIst die Verantwortung in der Geschäftsordnung verankert und die Schulung nachgewiesen?Art. 5 Abs. 2 und 4 DORASchulungsnachweis fehlt
Rahmen und StrategieSind IKT-Risikomanagementrahmen und Strategie für digitale operationale Resilienz beschlossen?Art. 6 DORA; Del. VO (EU) 2024/1774Strategie nicht beschlossen oder nicht aktualisiert
GeschäftsfortführungSind BIA, Geschäftsfortführungs- und Wiederherstellungspläne aktuell und getestet?Art. 11 DORATests ohne dokumentierte Lessons Learned
DatensicherungEntspricht die Backup-Richtlinie Art. 12 DORA, und ist die Wiederherstellung getestet?Art. 12 DORAWiederherstellung nicht getestet
VorfälleGibt es eine Klassifizierungsmatrix und eine Meldekette mit Vertretung für die 4-/24-/72-Stunden-Fristen?Art. 17–19 DORA; Art. 5 Del. VO (EU) 2025/301Vertretung am Wochenende ungeklärt
TestsIst ein jährliches Testprogramm beschlossen, und ist ein TLPT-Bescheid geprüft, falls vorhanden?Art. 24–27 DORABefunde ohne Maßnahmen und Nachtests
Register und VerträgeIst das Informationsregister qualitätsgesichert, sind Verträge an Art. 30 DORA und Del. VO (EU) 2025/532 angepasst und ist die CTPP-Liste abgeglichen?Art. 28–30 DORA; DVO (EU) 2024/2956Register nicht mit Verträgen abgeglichen
RegelwerkeSind BAIT-Verweise in internen Regelwerken bis 31.12.2026 ersetzt?BundesbankVeraltete BAIT-Verweise
BeobachtungWerden Digital-Omnibus und DORA-Überprüfung beobachtet?Art. 58 DORA; COM(2025) 837Keine Zuständigkeit für die Beobachtung

Fahrplan in sechs Schritten

Diese Schritte sind No-Regret-Maßnahmen: Sie lohnen sich unabhängig davon, wie sich Digital-Omnibus und Überprüfung entwickeln.

  1. 1

    Betroffenheit klären

    Art. 2 DORA oder ab 01.01.2027 § 1a Abs. 2a KWG; regulärer oder vereinfachter Rahmen.

  2. 2

    Gap-Analyse

    Bestehende BAIT-, MaRisk- und ISMS-Regelungen gegen Art. 5–16 DORA und die Delegierte Verordnung (EU) 2024/1774 abgleichen.

  3. 3

    Kritische oder wichtige Funktionen bestimmen

    Sie mit BIA, Testprogramm und Informationsregister verknüpfen.

  4. 4

    Vorfallprozess einrichten

    Klassifizierung und Meldefristen festlegen und den Ablauf üben.

  5. 5

    Drittparteien steuern

    Register befüllen und qualitätssichern, Verträge an Art. 30 DORA anpassen, Exit-Strategien testen.

  6. 6

    Nachweis führen

    Berichte an das Leitungsorgan, Schulungsnachweise, Prüfungen der Internen Revision.

Fazit und Kernbotschaften

  • Der Digital Operational Resilience Act gilt unmittelbar; Anforderungen und Fristen sind in Art. 5–45 DORA und den Level-2-Rechtsakten konkret beschrieben.
  • Das Leitungsorgan trägt die letztendliche Verantwortung und muss geschult sein; Schulungsprogramme gelten für alle Beschäftigten.
  • Verhältnismäßigkeit ersetzt keine Umsetzung: Es gibt keine allgemeine KMU-Ausnahme, und TLPT betrifft nur von der Aufsicht bestimmte Unternehmen.
  • Informationsregister und Verträge sind Steuerungsinstrumente; sie gehören mit der CTPP-Liste und den Exit-Plänen zusammen.
  • Mit Ablauf des 31.12.2026 entfallen die BAIT, ab 01.01.2027 gilt DORA für weitere KWG-Institute. Der Digital-Omnibus ist vorgeschlagen, aber nicht beschlossen; bis dahin gelten alle Pflichten unverändert.

Der Digital Operational Resilience Act verlangt von deinem Team vor allem Sachkunde in allen fünf Säulen. Qualifizierung ist dabei selbst Teil der Pflichten (Art. 5 Abs. 4 und Art. 13 Abs. 6 DORA). Passende Formate findest du im E-Learning zu DORA und in den DORA- und NIS-2-Seminaren.

Wenn in deinem Unternehmen Kapazitäten für die Umsetzung fehlen, kann die Umsetzung auch extern unterstützt werden. Informationen dazu findest du bei S+P Compliance.

Häufige Fragen zum Digital Operational Resilience Act

Ist DORA eine Richtlinie oder eine Verordnung?+–

Eine Verordnung. Sie gilt seit dem 17. Januar 2025 unmittelbar und muss nicht in nationales Recht umgesetzt werden. Begleitende Änderungen in KWG, ZAG, VAG und anderen Gesetzen hat das FinmadiG vorgenommen.

Müssen alle Finanzunternehmen TLPT durchführen?+–

Nein. TLPT müssen nur Unternehmen durchführen, die die Aufsicht anhand von Kriterien bestimmt. Alle anderen Finanzunternehmen außer Kleinstunternehmen testen jährlich nach Art. 24 und 25 DORA.

Wann muss ein Vorfall gemeldet werden?+–

Schwerwiegende IKT-bezogene Vorfälle sind innerhalb von 4 Stunden nach Einstufung als schwerwiegend zu melden, spätestens 24 Stunden nach Kenntnis. Die Zwischenmeldung folgt nach 72 Stunden, die Abschlussmeldung nach einem Monat.

Was ändert sich am 01.01.2027?+–

DORA gilt dann auch für KWG-Institute außerhalb von Art. 2 DORA, etwa Leasing- und Factoringgesellschaften, mit vereinfachtem Rahmen und ohne TLPT. Zugleich entfallen die BAIT.

Gelten für IKT-Dienstleistungen noch die Auslagerungsregeln der MaRisk?+–

Nein. Nach den MaRisk 10.0 fallen IKT-Dienstleistungen nicht unter AT 9 MaRisk; maßgeblich sind Art. 28 bis 30 DORA.

Wird DORA vereinfacht?+–

Die Kommission überprüft DORA bis 17.01.2028. Der Digital-Omnibus schlägt eine zentrale Meldestelle vor, ist aber noch nicht beschlossen. Bis dahin gelten alle Pflichten unverändert.

Quellenverzeichnis

Alle Quellen sind amtliche oder staatliche Stellen. Rechtsstand: Oktober 2026.

EU-Rechtsakte und Europäische Institutionen

Aufsichtsbehörden und Bundesbank

Weitere Level-2-Rechtsakte, auf die dieser Beitrag verweist, sind im Amtsblatt der EU veröffentlicht: Delegierte Verordnungen (EU) 2024/1774, 2024/1772, 2025/301 und 2025/1190 sowie Durchführungsverordnung (EU) 2025/302. Nationale Normen (KWG, BSIG) sind im Bundesrecht abrufbar.

Verwandte Leistungen und Programme

DORA und NIS-2 Seminare

Seminare und Qualifizierung rund um DORA und NIS-2 im Überblick.

Zur Seite

DORA-Checkliste

Checkliste für die Umsetzung der DORA-Anforderungen.

Zur Seite

DORA vs. NIS2

Abgrenzung und Zusammenspiel der beiden Rechtsrahmen.

Zur Seite

MaRisk 10.0 und DORA

Was die MaRisk 10.0 für IKT-Dienstleistungen und Notfallmanagement bedeuten.

Zur Seite

DORA vs. Third-Party Guidelines

Gegenüberstellung von DORA und den Third-Party-Guidelines.

Zur Seite

DORA-Erleichterungen für Leasing und Factoring

Vereinfachter Rahmen für Leasing- und Factoringgesellschaften.

Zur Seite

E-Learning DORA

Grundlagen des Digital Operational Resilience Act als Kurs.

Zur Seite

Auslagerungs-Controlling-Seminare

Seminare zur Steuerung von Auslagerungen und Drittparteien.

Zur Seite

Seminartermine

Aktuelle Termine und Buchung.

Zur Seite

dora-ueberblick

Seminare & Lehrgänge

Plattform & Methodik

Über S+P

ISO9001
ecovadis

Service & Kontakt

Board & Management

Compliance & Aufsicht

Führung & Leadership

Finance & Performance

S&P Unternehmerforum GmbH 809 Bewertungen auf ProvenExpert.com