Die DORA-Verordnung (EU) 2022/2554 ist seit dem 17. Januar 2025 anwendbar. Sie verpflichtet die in Artikel 2 genannten Finanzunternehmen, IKT-Risiken als Teil ihrer Unternehmenssteuerung zu beherrschen. DORA gilt jedoch nicht unterschiedslos für jedes Unternehmen im Finanzumfeld: Ausnahmen und ein vereinfachter Rahmen, etwa für bestimmte kleine Institute, müssen anhand der konkreten Unternehmenskategorie geprüft werden.
Was Unternehmen jetzt nachweisen müssen
DORA verlangt kein einzelnes Zertifikat. Prüfbar sein müssen vor allem Governance, aktuelle Risikoinformationen und die Wirksamkeit der Kontrollen:
- Die Geschäftsleitung genehmigt und überwacht den IKT-Risikomanagementrahmen.
- Kritische oder wichtige Funktionen, Informationswerte, Systeme und Abhängigkeiten sind inventarisiert.
- Schutz, Erkennung, Reaktion, Wiederherstellung und Lernen aus Vorfällen sind als zusammenhängender Prozess dokumentiert.
- Finanzunternehmen, die keine Kleinstunternehmen sind, betreiben das Testprogramm nach Artikel 24; Kleinstunternehmen erfüllen die gesonderte risikobasierte Testpflicht aus Artikel 25 Absatz 3.
- Verträge und Risiken von IKT-Drittdienstleistern werden über ihren Lebenszyklus gesteuert.
- Vereinbarungen über IKT-Dienstleistungen werden im Informationsregister erfasst.
Eine ISO-27001-Zertifizierung kann dafür Evidenz liefern, ersetzt aber weder DORA-spezifische Vorfallmeldungen noch Vertrags-, Register- oder TLPT-Anforderungen.
Vorfallmeldung: 4 Stunden, 24 Stunden, 72 Stunden, ein Monat
Die Fristen gelten für einen als schwerwiegend eingestuften IKT-bezogenen Vorfall, nicht für jede technische Störung. Nach der Delegierten Verordnung (EU) 2025/301 gilt:
| Meldestufe | Späteste Frist |
|---|---|
| Erstmeldung | vier Stunden nach Einstufung als schwerwiegend und höchstens 24 Stunden nach Kenntnis |
| Zwischenmeldung | 72 Stunden nach der Erstmeldung |
| Aktualisierung | ohne unangemessene Verzögerung, insbesondere bei Wiederaufnahme des regulären Betriebs |
| Abschlussbericht | ein Monat nach der Zwischenmeldung oder letzten aktualisierten Zwischenmeldung |
Der Prozess sollte deshalb Erkennung, dokumentierte Klassifizierung, Eskalation und behördliche Meldung klar trennen. Parallel können weitere Pflichten, beispielsweise nach der DSGVO, bestehen.
Resilienztests und TLPT richtig abgrenzen
Das solide und umfassende Testprogramm aus Artikel 24 gilt für Finanzunternehmen, die keine Kleinstunternehmen sind. Für sie ist es Teil des IKT-Risikomanagementrahmens; Systeme und Anwendungen, die kritische oder wichtige Funktionen unterstützen, sind mindestens jährlich angemessen zu testen.
Kleinstunternehmen sind von diesem Artikel-24-Programm ausgenommen. Sie sind aber nicht testfrei: Artikel 25 Absatz 3 verpflichtet sie gesondert, angemessene Tests aus Artikel 25 Absatz 1 risikobasiert und strategisch zu planen. Umfang und Zeitaufwand müssen insbesondere zu Risiko, Dringlichkeit, Kritikalität und verfügbaren Ressourcen passen.
Ein Threat-Led Penetration Test (TLPT) ist wiederum keine pauschale Pflicht für alle. Nur die nach Artikel 26 Absatz 8 ausgewählten Finanzunternehmen führen ihn grundsätzlich mindestens alle drei Jahre durch; die zuständige Behörde kann die Frequenz risikobasiert verringern oder erhöhen. Umfang, Tester, Bedrohungsinformationen, Produktionsbezug und Abnahme sind deshalb vorab mit der zuständigen Stelle zu klären.
IKT-Drittdienstleister: Verantwortung bleibt beim Finanzunternehmen
Für kritische IKT-Drittdienstleister kann ein Zwangsgeld von bis zu 1 % des maßgeblichen durchschnittlichen Tagesumsatzes gelten.
Outsourcing verlagert die Leistung, nicht die Verantwortung. Für Verträge, die kritische oder wichtige Funktionen unterstützen, sind unter anderem Leistungsbeschreibung, Standorte der Datenverarbeitung, Sicherheitsanforderungen, Vorfallunterstützung, Prüf- und Zugangsrechte sowie Exit-Regelungen relevant.
Die direkte europäische Aufsicht erfasst nur kritische IKT-Drittdienstleister, die von den Europäischen Aufsichtsbehörden als kritisch benannt wurden. Für diese kritischen IKT-Drittdienstleister kann der Lead Overseer nach Artikel 35 DORA ein Zwangsgeld von bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes des vorangegangenen Geschäftsjahres pro Tag und höchstens für sechs Monate verhängen. Das ist keine allgemeine Bußgeldobergrenze für Finanzunternehmen.
Praktische Prioritäten
- Scope entscheiden: Unternehmenskategorie, Ausnahmen und zuständige Behörde dokumentieren.
- Governance belegen: Beschlüsse, Rollen, Berichtswege und Schulung der Leitung nachvollziehbar halten.
- Register abgleichen: Verträge, Funktionen, Unterauftragnehmer und Exit-Abhängigkeiten zusammenführen.
- Meldeprozess üben: Klassifizierung und Meldung mit den tatsächlichen Formularen in einer Tabletop-Übung testen.
- Testprogramm schärfen: Normale Resilienztests und einen eventuell angeordneten TLPT getrennt planen.
Kosten lassen sich nicht seriös als allgemeine Pauschale angeben. Maßgeblich sind unter anderem Unternehmensgröße, Anzahl kritischer Funktionen, Reifegrad, Konzernstruktur, Zahl der IKT-Dienstleister und ein möglicher TLPT. Vergleichbar werden Angebote erst mit einem einheitlichen Scope und klar getrennten internen, Beratungs-, Tool- und Auditkosten.
Vision Compliance unterstützt mit DORA- und Finanz-Compliance-Beratung bei Scope, Governance, Informationsregister, Meldeprozessen und prüfbarer Umsetzung.
Quellen und Prüfung
Robert Lozo, mag. iur., ist Partner bei Vision Compliance mit Schwerpunkt EU-Regulierung. Er berät Organisationen zu DSGVO, NIS2, EU AI Act und Finanzregulierung und liefert auditfähige Dokumentation und Compliance-Fahrpläne für regulierte Branchen.