DORA Pflicht: Was Finanzunternehmen seit 17.01.2025 nachweisen müssen

Seit dem 17.01.2025 ist die Verordnung (EU) 2022/2554, kurz DORA, in der Europäischen Union unmittelbar anwendbar. Sie verpflichtet rund 22.000 Finanzunternehmen sowie kritische IKT-Drittdienstleister, ihre digitale operative Widerstandsfähigkeit nachweisbar zu organisieren. Die Pflicht umfasst fünf Säulen: IKT-Risikomanagement, Vorfallmeldung, Resilienztests, Drittparteien-Steuerung und Informationsaustausch nach Art. 5 bis 49 DORA.

Dieser Beitrag ordnet die DORA Pflicht aus der operativen Sicht eines Informationssicherheitsbeauftragten ein. Er zeigt, welche Dokumente die BaFin und die ESAs erwarten, wie sich DORA mit einem ISO/IEC 27001:2022-ISMS verzahnen lässt und wo die zwei Werktage Reaktionszeit der CIVAC-Plattform den Unterschied zur klassischen Kanzlei machen. Compliance-Plattform und Officer-as-a-Service in einem Werkzeug.

Der Anwendungsbereich aus Art. 2 DORA ist breit. Er umfasst 21 Kategorien von Finanzunternehmen, darunter Kreditinstitute, Wertpapierfirmen, Zahlungs- und E-Geld-Institute, Versicherer, Rückversicherer, Versicherungsvermittler über bestimmten Schwellen, Verwalter alternativer Investmentfonds, OGAW-Verwaltungsgesellschaften, Krypto-Dienstleister nach MiCAR sowie zentrale Gegenparteien und Handelsplätze.

Neu ist die direkte Einbindung von IKT-Drittdienstleistern. Cloud-Provider, Rechenzentren und SaaS-Anbieter können nach Art. 31 DORA als kritisch eingestuft werden und unterliegen dann der unmittelbaren Aufsicht durch die ESAs. Damit verschiebt sich die Verantwortung des auslagernden Instituts: Die Auswahl, Vertragsgestaltung und Überwachung des Anbieters wird selbst zum Prüfgegenstand.

Kleinstunternehmen mit weniger als zehn Mitarbeitern und unter 2 Mio. Euro Bilanzsumme profitieren von Erleichterungen nach Art. 16 DORA. Sie müssen dennoch ein vereinfachtes IKT-Risikomanagement vorhalten. Die BaFin hat im Rundschreiben 12/2024 (WA) klargestellt, dass die Verhältnismäßigkeit kein Ausstieg, sondern eine Skalierung der Anforderungen ist.

Für die operative Umsetzung empfiehlt sich die Bestellung eines Informationssicherheitsbeauftragten, der den IKT-Risikorahmen pflegt und die Berichtslinie an das Leitungsorgan sicherstellt. CIVAC liefert dafür Bestellurkunde, Pflichtenheft und Auditspur.

Wer die Betroffenheit prüfen will, beginnt mit einer Mapping-Tabelle: Geschäftstätigkeit, Lizenz, Schwellenwerte, Konzernverflechtung. Die CIVAC-Audit-Vorlagen decken diesen Schritt in zwei Werktagen ab.

Der Aufwand lohnt sich: Wer früh klar hat, dass DORA greift, kann den Aufbau mit ISO 27001:2022, dem deutschen NIS-2-Umsetzungsgesetz und der BAIT/VAIT bündeln und doppelte Arbeit vermeiden.

Säule eins ist das IKT-Risikomanagement nach Art. 5 bis 15 DORA. Verlangt sind eine Strategie für digitale Resilienz, ein dokumentierter Risikorahmen, klare Rollen, jährliche Genehmigung durch das Leitungsorgan und ein Programm zur kontinuierlichen Verbesserung. Die Verantwortung verbleibt beim Vorstand, sie ist nicht delegierbar.

Säule zwei ist die Klassifizierung und Meldung schwerwiegender IKT-Vorfälle nach Art. 17 bis 23 DORA. Die Delegierte Verordnung (EU) 2024/1772 definiert sieben Klassifikationskriterien, darunter Kundenbetroffenheit, Datenverlust, Reputation und Dauer der Beeinträchtigung. Frist läuft ab Kenntnis.

Säule drei ist das Testprogramm nach Art. 24 bis 27 DORA. Jährliche Basistests, dreijährige Threat-Led Penetration Tests (TLPT) für signifikante Institute, dokumentierte Befunde und nachverfolgte Maßnahmen sind Pflicht. Die TLPT folgen dem TIBER-EU-Rahmen.

Säule vier ist die Steuerung von IKT-Drittparteien nach Art. 28 bis 44 DORA. Sie umfasst Strategie, Risikobewertung vor Vertragsschluss, vertragliche Mindestinhalte, Exit-Strategien und das jährlich an die BaFin zu meldende Informationsregister.

Säule fünf, der Informationsaustausch nach Art. 45 DORA, ist freiwillig. Sie erlaubt den Austausch von Cyber-Bedrohungsinformationen zwischen Finanzunternehmen unter Wahrung des Datenschutzes.

Die Verzahnung mit dem ISMS nach ISO/IEC 27001:2022 reduziert Dopplungen. 93 Controls decken große Teile der DORA-Anforderungen ab, die Lücken liegen vor allem in Meldekette, Drittparteien-Register und Resilienztests.

Der Risikorahmen nach Art. 6 DORA ist mehr als eine Richtlinie. Er ist ein lebendes Dokument, das die digitale Resilienzstrategie, die Risikoklassen, die Schutzziele, die Verantwortlichkeiten und die Methodik der Bewertung beschreibt. Er wird vom Leitungsorgan beschlossen, mindestens jährlich überprüft und nach jedem schwerwiegenden Vorfall angepasst.

Inhaltlich verlangt Art. 8 DORA eine vollständige Identifikation aller IKT-Assets, Geschäftsprozesse, Abhängigkeiten und Datenflüsse. Praktisch bedeutet das ein Asset-Register mit Eigentümern, Schutzbedarf und Verknüpfung zu Geschäftsfunktionen. Das CIVAC-Workspace liefert hierfür eine Vorlage mit Importfunktion für CMDB-Daten.

Die Schutzmaßnahmen aus Art. 9 DORA folgen dem Stand der Technik. Verlangt sind Zugriffssteuerung, Verschlüsselung, Netztrennung, Patchmanagement und sichere Konfiguration. Die ESAs verweisen in den RTS auf BSI-Grundschutz und ISO 27001:2022 Anhang A.

Detektion, Reaktion und Wiederherstellung aus Art. 10 bis 12 DORA verlangen ein SIEM, ein Computer Security Incident Response Team (CSIRT) und dokumentierte Wiederanlaufpläne. Die Wiederanlaufzeiten sind je kritischer Funktion zu definieren und jährlich zu testen.

Lerneffekte aus Vorfällen nach Art. 13 DORA sind verpflichtend zu erfassen. Post-Incident-Reviews mit Maßnahmen, Verantwortlichen und Fristen sind dem Leitungsorgan vorzulegen. Audit-fest, dokumentiert, Art. 13-fest.

Schulung und Awareness nach Art. 13 Abs. 6 DORA betreffen alle Beschäftigten, einschließlich Leitungsorgan. Mindestens jährlich, dokumentiert, prüfbar.

Die DORA-Meldepflicht ist anspruchsvoll. Nach Art. 19 DORA und der Delegierten Verordnung (EU) 2024/1772 müssen schwerwiegende IKT-Vorfälle in drei Stufen gemeldet werden: Erstmeldung, Zwischenmeldung und Abschlussmeldung.

Die Erstmeldung erfolgt unverzüglich, spätestens innerhalb von vier Stunden nach Klassifizierung als schwerwiegend und maximal 24 Stunden nach Kenntnis. Sie enthält eine Kurzbeschreibung, die Klassifikation, die betroffenen Funktionen und einen ersten Schadensumriss.

Die Zwischenmeldung folgt innerhalb von 72 Stunden nach Erstmeldung. Sie aktualisiert den Status, beschreibt ergriffene Maßnahmen und die voraussichtliche Wiederherstellung. Bei wesentlichen Statusänderungen ist sie zu wiederholen.

Die Abschlussmeldung ist binnen eines Monats nach Abschluss der Ursachenanalyse zu übermitteln. Sie enthält Root Cause, finanziellen Schaden, Lessons Learned und Maßnahmenplan. Frist läuft ab Kenntnis, nicht ab Wahrnehmung im Tagesgeschäft.

Empfänger ist in Deutschland die BaFin als zuständige Behörde. Parallel können sich Meldepflichten nach Art. 33 DSGVO an die Datenschutzaufsicht und nach NIS-2 an das BSI ergeben. Eine konsolidierte Meldematrix verhindert Doppelmeldungen und Widersprüche.

CIVAC betreibt einen 24/72-Meldepfad, der DORA, NIS-2 und DSGVO in einem Workflow bündelt. Der Prüfer ruft an, der Nachweis liegt bereit. Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen.

Die Drittparteien-Pflichten aus Art. 28 bis 30 DORA sind der Bereich mit dem höchsten kurzfristigen Aufwand. Verlangt ist eine Strategie für IKT-Drittparteienrisiken, die das Leitungsorgan genehmigt. Sie definiert Konzentrationsrisiken, kritische Funktionen und Anforderungen an die Diversifikation.

Vor Vertragsschluss ist eine Due Diligence durchzuführen. Sie umfasst die Bewertung der Resilienz, der Compliance, der Sicherheitsorganisation und der Subunternehmer des Anbieters. Bei Auslagerungen kritischer Funktionen sind zusätzliche Anforderungen zu erfüllen.

Die Verträge müssen die Mindestinhalte aus Art. 30 DORA enthalten: Beschreibung der Funktion, Standort der Datenverarbeitung, Sicherheitsanforderungen, Berichtspflichten, Audit-Rechte, Exit-Klauseln und Kündigungsmöglichkeiten bei Vertragsbruch.

Das Informationsregister nach Art. 28 Abs. 3 DORA ist jährlich, erstmals zum 30.04.2025, an die BaFin zu übermitteln. Die Durchführungsverordnung (EU) 2024/2956 standardisiert das Format. Verlangt sind 15 Tabellen mit Stammdaten, Vertragsdetails, Subunternehmern und Klassifikationen.

Exit-Strategien aus Art. 28 Abs. 8 DORA sind für kritische Auslagerungen verpflichtend. Sie beschreiben den geordneten Übergang zu einem Alternativanbieter oder die Rückführung ins eigene Haus, einschließlich Testszenarien.

Die Lieferanten-Auditoren von CIVAC übernehmen Due Diligence, Vertragsprüfung und jährliche Reviews mit den 490 einsatzbereiten Audit-Vorlagen.

Das Testprogramm nach Art. 24 DORA verlangt ein risikobasiertes, jährlich aktualisiertes Konzept. Es deckt Schwachstellenanalysen, Open-Source-Scans, Netzwerksicherheitstests, Lückenanalysen, Quellcode-Reviews, Penetrationstests und Wiederanlauftests ab.

Die Basistests sind für alle in den Anwendungsbereich fallenden Finanzunternehmen verpflichtend. Sie erfolgen mindestens jährlich, durch unabhängige Tester, mit dokumentierten Befunden und einem Maßnahmenplan, der dem Leitungsorgan vorzulegen ist.

Threat-Led Penetration Tests (TLPT) nach Art. 26 bis 27 DORA gelten für signifikante Institute. Die zuständige Behörde benennt diese auf Basis von Größe, Risikoprofil und Marktbedeutung. Die TLPT folgen dem TIBER-EU-Rahmenwerk, dauern in der Regel sechs bis neun Monate und kosten je nach Komplexität zwischen 150.000 und 500.000 Euro.

Der Test umfasst Threat Intelligence, Red-Team-Übung und Closure-Phase. Subjekt sind kritische oder wichtige Funktionen in Produktionssystemen. Die ESAs haben in den RTS klargestellt, dass Auslagerungen mitgetestet werden, wenn sie für die Funktion wesentlich sind.

Die Ergebnisse sind streng vertraulich. Sie werden der zuständigen Behörde und gegebenenfalls dem TLPT-Cyberteam vorgelegt. Eine Veröffentlichung ist nicht zulässig.

Für die operative Steuerung empfiehlt sich ein dedizierter Test-Manager, der das Programm jährlich plant, die Befunde nachverfolgt und Eskalationen an den ISB sicherstellt. Bestellurkunde, unterschrieben, abgelegt, belegbar.

DORA ist nicht isoliert zu lesen. Wer parallel ein ISMS nach ISO/IEC 27001:2022 betreibt, deckt mit den 93 Controls aus Anhang A bereits einen großen Teil der DORA-Anforderungen ab. Die Lücken liegen vor allem in der Meldekette, im Drittparteien-Register und in der TLPT-Pflicht.

Ein gemeinsames Kontrollregister vermeidet Doppelarbeit. Jede Maßnahme wird einmal dokumentiert und mit DORA-Artikel, ISO-Control und gegebenenfalls NIS-2-Pflicht verknüpft. So genügt eine Evidenz für mehrere Prüfungen.

Das deutsche NIS-2-Umsetzungsgesetz, das nach mehrfacher Verschiebung im Laufe des Jahres 2026 in Kraft tritt, gilt für wesentliche und wichtige Einrichtungen. Finanzunternehmen sind nach Art. 1 Abs. 2 DORA grundsätzlich von NIS-2 ausgenommen, soweit DORA greift. Tochtergesellschaften außerhalb des Finanzsektors fallen jedoch zurück.

Die BAIT, VAIT, KAIT und ZAIT bleiben als ergänzende Verwaltungspraxis relevant, soweit sie nicht durch DORA verdrängt werden. Die BaFin hat angekündigt, die Verlautbarungen 2025 zu überarbeiten und mit DORA zu konsolidieren.

Für Compliance-Plattform und Officer-as-a-Service heißt das: Eine integrierte Sicht auf alle Regelwerke spart Aufwand. CIVAC bildet DORA, ISO 27001, NIS-2 und DSGVO in einem Kontrollmodell ab.

Wer die NIS-2-Umsetzung verfolgt, sollte die DORA-Strukturen als Vorlage nutzen. Die Meldepflichten ähneln sich, die Risikorahmen sind kompatibel.

DORA enthält keinen eigenen Bußgeldkatalog auf EU-Ebene. Die Mitgliedstaaten regeln die Sanktionen national. In Deutschland setzt das Finanzmarktdigitalisierungsgesetz (FinmadiG) vom 23.12.2024 den Rahmen.

Vorgesehen sind Geldbußen bis 5 Mio. Euro bei vorsätzlichen oder fahrlässigen Verstößen juristischer Personen. Für natürliche Personen, insbesondere Mitglieder des Leitungsorgans, sind Geldbußen bis 500.000 Euro möglich. Bei besonders schweren Verstößen kann die BaFin nach § 6c KWG bis zu 10 Prozent des Konzernumsatzes ansetzen.

Aufsichtsmaßnahmen reichen von Anordnungen über die Anpassung des Risikorahmens bis zur Untersagung kritischer Auslagerungen. Bei wiederholten Verstößen kann die Erlaubnis nach KWG, VAG oder WpIG entzogen werden.

Die persönliche Haftung des Vorstands ergibt sich aus § 91 Abs. 2 AktG, § 43 GmbHG und der jeweiligen Spezialgesetzgebung. Wer den DORA-Risikorahmen nicht beschlossen oder nicht überprüft hat, riskiert Innenhaftung gegenüber der Gesellschaft.

Aufsichtsräte tragen nach § 111 AktG eine Überwachungspflicht. Die DORA-Berichterstattung an den Aufsichtsrat ist mindestens jährlich, dokumentiert und protokolliert sicherzustellen.

Die Bestellurkunde des Informationssicherheitsbeauftragten dokumentiert die Delegation, ersetzt aber nicht die Verantwortung des Vorstands. Bestellurkunde, unterschrieben, abgelegt, belegbar.

CIVAC ist Compliance-Plattform und Officer-as-a-Service in einem. Wir bilden DORA, ISO/IEC 27001:2022 und das NIS-2-Umsetzungsgesetz in einem Kontrollregister ab und stellen die Bestellurkunden, Berichtslinien und Audit-Vorlagen in zwei Werktagen bereit.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen. Der Workspace umfasst 490 einsatzbereite Audit-Vorlagen, ein Meldemodul für den 24/72-Pfad, ein Drittparteien-Register im EU-Format und ein revisionssicheres Archiv mit EU-Datenresidenz.

Im Modell Officer-as-a-Service übernimmt ein bestellter Informationssicherheitsbeauftragter die operative Pflege des Risikorahmens, die Vorbereitung der Meldungen, die Berichterstattung an das Leitungsorgan und die Schnittstelle zur BaFin. Sie behalten die Letztverantwortung, wir liefern die Arbeit.

Der Einstieg beginnt mit einem Gap-Assessment. Wir vergleichen Ihren Status quo mit den 41 DORA-Anforderungen, identifizieren Lücken in Risikorahmen, Meldekette, Tests und Drittparteien und erstellen einen Maßnahmenplan mit Fristen.

Anschließend richten wir den Workspace ein, importieren bestehende Dokumente, definieren die Berichtslinie und übergeben an Ihre Beauftragten oder unsere. Der Prüfer ruft an, der Nachweis liegt bereit.

Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de. Wir antworten innerhalb von zwei Werktagen mit einem konkreten Vorschlag.