Definition: DORA (Digitale Betriebsstabilitätsverordnung)
DORA, die Digitale Betriebsstabilitätsverordnung, ist die EU-Verordnung (EU) 2022/2554, die Banken, Versicherer und andere Finanzunternehmen sowie die sie beliefernden IKT-Dienstleister verpflichtet, IKT-Risiken zu managen, schwerwiegende Vorfälle zu melden, ihre operative Resilienz zu testen und Abhängigkeiten von Drittanbietern zu überwachen.
Kernmerkmale von DORA
DORA ersetzt einen Flickenteppich nationaler IT-Sicherheitsregeln im Finanzsektor durch ein einheitliches EU-Rahmenwerk mit fünf Säulen. Sie gilt unmittelbar, ohne nationale Umsetzung, und reicht über Finanzunternehmen hinaus bis zu den Anbietern, die deren Systeme betreiben.
- Unmittelbar geltende EU-Verordnung, verbindlich seit dem 17. Januar 2025 ohne Übergangsfrist
- Deckt IKT-Risikomanagement, Vorfallmeldung, Resilienztests, Drittparteienrisiko und Informationsaustausch ab
- Erstreckt vertragliche Pflichten auf IKT-Drittdienstleister, einschliesslich Cloud- und KI-Anbieter
- Schafft ein formales Aufsichtsregime für als “kritisch” eingestufte Anbieter
DORA vs. NIS2
DORA und NIS2 setzen beide EU-Vorgaben für Cybersicherheit und Resilienz, decken aber unterschiedliches Terrain ab. NIS2 gilt branchenübergreifend für Sektoren wie Energie, Verkehr und digitale Infrastruktur, während DORA sektorspezifisches Recht für Banken, Versicherer und Finanzmarktinfrastruktur ist. Fällt ein Finanzunternehmen unter DORA, behandelt das EU-Recht DORA als lex specialis, sodass ihre IKT-Risiko- und Meldevorschriften Vorrang vor den entsprechenden NIS2-Regeln haben. Ein Anbieter, der sowohl ein Krankenhaus als auch eine Regionalbank beliefert, muss für die eine Beziehung NIS2 und für die andere DORA erfüllen.
Bedeutung von DORA im Enterprise-KI-Umfeld
Finanzunternehmen setzen zunehmend KI für Betrugserkennung und Bonitätsprüfung ein, wodurch die dahinterstehenden Anbieter unter DORAs Drittanbieter-Aufsicht fallen, selbst wenn die KI selbst separat reguliert ist. Die europäischen Aufsichtsbehörden benannten im November 2025 19 kritische IKT-Drittdienstleister für die direkte Aufsicht, darunter Cloud-Plattformen, die KI-Workloads des Finanzsektors hosten (EBA, EIOPA, ESMA, 2025). Für Mittelstandsanbieter kann die DORA-Pflicht eines einzigen Kunden Vertragsbedingungen prägen, lange bevor der Anbieter selbst direkt reguliert wird.
Methoden und Verfahren für DORA
Finanzunternehmen und ihre IKT-Dienstleister setzen DORA über festgelegte betriebliche und vertragliche Verfahren um.
IKT-Risikomanagement-Rahmenwerk
Jedes Finanzunternehmen muss ein dokumentiertes IKT-Risikomanagement-Rahmenwerk führen, das Identifikation, Schutz, Erkennung, Reaktion und Wiederherstellung abdeckt, von der Geschäftsleitung genehmigt und mindestens jährlich überprüft wird.
- Kartierung von Assets und Abhängigkeiten über kritische Geschäftsfunktionen hinweg
- Definierte Wiederherstellungszeit- und Wiederherstellungspunktziele
- Verantwortung für IKT-Risikoentscheidungen auf Vorstandsebene
Vorfallklassifizierung und Meldung
DORA vereinheitlicht, wie Finanzunternehmen schwerwiegende IKT-Vorfälle klassifizieren und melden, und löst die fragmentierten nationalen Regime ab, die bis 2025 galten. Unternehmen reichen kurz nach Erkennung eines schwerwiegenden Vorfalls eine Erstmeldung ein, gefolgt von Zwischen- und Abschlussberichten, sobald der Fall aufgeklärt ist.
Informationsregister und Sorgfaltsprüfung
Vor Abschluss eines Vertrags mit einem IKT-Drittdienstleister müssen Finanzunternehmen eine dokumentierte Sorgfaltsprüfung durchführen und die Vereinbarung dann in einem Informationsregister gemäss Artikel 28 Absatz 3 DORA erfassen. Die BaFin verlangt, dass dieses Register jeden SaaS-Vertrag, jede Cloud-Instanz und jede externe IT-Unterstützung abdeckt, weshalb KI-Lieferantenrisikomanagement auf Anbieterseite nun die Nachweise liefern muss, die das Register der Bank verlangt.
Wichtige Kennzahlen für DORA
Organisationen, die ihre DORA-Bereitschaft verfolgen, beobachten betriebliche und vertragliche Indikatoren.
Betriebliche Resilienz-Metriken
- Wiederherstellungszeitziel (RTO): Zielwert je kritischer Funktion
- Klassifizierungszeit für schwerwiegende Vorfälle: Zielwert unter definiertem internen Schwellenwert
- Vollständigkeit des Drittanbieter-Registers: Zielwert 100 % der aktiven IKT-Verträge
- Zyklus für bedrohungsorientierte Penetrationstests (TLPT): alle 3 Jahre für erfasste Unternehmen
Strategische Aufsichtsindikatoren
Vorstände verfolgen zunehmend das IKT-Konzentrationsrisiko: wie stark kritische Geschäftsabläufe von wenigen Anbietern abhängen. Fraunhofer-nahe Resilienzforschung stuft die Konzentration bei Cloud- und Kernbankensoftware als systemisches Risikofeld ein, das Aufsichtsbehörden nun genau beobachten.
Qualität der Anbieter-Compliance
Finanzunternehmen bewerten IKT-Anbieter danach, wie vollständig sie Prüfungsrechte, Transparenz über Subunternehmer und Exit-Planung im Vertrag unterstützen, nicht nur nach Verfügbarkeit. Ein Anbieter, der bei einer Prüfung nicht rasch Nachweise liefern kann, wird im DORA-Register des Kunden als dokumentiertes Risiko geführt.
Risikofaktoren und Kontrollen bei DORA
Nichteinhaltung von DORA schafft Risiken auf beiden Seiten der Beziehung zwischen Finanzunternehmen und Anbieter.
Vertrags- und Konzentrationsrisiko
Finanzunternehmen, die keine angemessene Sorgfaltsprüfung oder Exit-Strategie nachweisen können, riskieren aufsichtsrechtliche Feststellungen und Nachbesserungsauflagen. Konzentration bei wenigen Anbietern erhöht das systemische Risiko, selbst wenn jeder einzelne Vertrag für sich genommen konform aussieht.
- Fehlende oder unvollständige Exit-Strategie für kritische IKT-Dienste
- Subunternehmer-Ketten, die dem Finanzunternehmen nicht offengelegt werden
- Einzelne Ausfallpunkte, die mehrere Finanzunternehmen gemeinsam betreffen
Durchsetzung und Sanktionen
Kritische IKT-Drittdienstleister unter direkter Aufsicht der europäischen Aufsichtsbehörden können Zwangsgelder von bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes je Tag der Nichteinhaltung riskieren, gedeckelt auf sechs Monate. Nationale Aufsichtsbehörden können Finanzunternehmen zudem zur Aussetzung oder Kündigung nicht konformer Verträge verpflichten.
Lücken bei der Anbieterbereitschaft
Viele Mittelstandsanbieter unterschätzen, wie viel Dokumentation ein DORA-erfasster Kunde verlangt, von einer ISO-27001-Zertifizierung bis zu unterschriebenen Auftragsverarbeitungsverträgen mit Prüfklauseln. Wer diese Anfragen als einmalige Vertriebsreibung behandelt, riskiert bei der Vertragsverlängerung den Verlust von Finanzsektor-Kunden.
Praxisbeispiel
Ein 90-köpfiger Softwareanbieter in Frankfurt, der KI-gestützte Dokumentenanalyse-Tools für Regionalbanken entwickelt, fand sich innerhalb eines Quartals in drei DORA-Informationsregistern seiner Kunden wieder, jeweils mit denselben Nachweisen in unterschiedlichem Format gefragt: Subunternehmer-Listen, Vorfallreaktionsverfahren, Exit-Pläne und Penetrationstest-Nachweise. Statt jede Anfrage manuell zu beantworten, baute das Unternehmen ein standardisiertes Compliance-Paket und ein Company Brain auf, das jede frühere Antwort zur Sorgfaltsprüfung und jede verhandelte Vertragsklausel an einem Ort bewahrt, sodass die nächste Anfrage auf Vorwissen zurückgreift. Die Antwortzeit auf Sorgfaltsprüfungs-Anfragen sank von drei Wochen auf vier Tage.
- Standardisiertes Nachweispaket zu Subunternehmern, Vorfallreaktion und Exit-Planung
- Wiederverwendbare Antworten auf wiederkehrende Sorgfaltsprüfungen und Fragebögen
- Dokumentierte Verhandlungshistorie zu Prüf- und Exit-Klauseln über Kundenverträge hinweg
- Schnellere Vertragsverlängerungen mit Kunden aus dem Finanzsektor
Aktuelle Entwicklungen und Auswirkungen
Die Durchsetzung von DORA reift bis weit ins Jahr 2026 hinein weiter.
Aufsicht über kritische Anbieter reift
Die erste, im November 2025 veröffentlichte Liste von 19 benannten kritischen IKT-Drittdienstleistern markierte den Beginn der direkten Aufsicht, nicht deren Abschluss. Die Aufsichtsbehörden dürften die Liste bis 2026 erweitern und Aufsichtsgebühren festlegen.
- Weitere CTPP-Benennungen erwartet, sobald Aufsichtsbehörden die Marktkonzentration prüfen
- Gemeinsame Prüfteams führen erste Vor-Ort-Kontrollen bei kritischen Anbietern durch
Überschneidung mit der Durchsetzung der EU-KI-Verordnung
Da Finanzunternehmen zunehmend KI für Kreditentscheidungen und Betrugserkennung einsetzen, klären Aufsichtsbehörden, wie Pflichten der EU-KI-Verordnung für Hochrisiko-KI-Systeme mit DORAs IKT-Risikoregeln für dasselbe System zusammenwirken. Anbieter von KI-Tools für Banken müssen zunehmend beide Rahmenwerke in einer einzigen Vertragsverhandlung erfüllen.
Annäherung an das Produktsicherheitsrecht
Der Cyber Resilience Act fügt eine eigene Sicherheitsebene für Produkte mit digitalen Elementen hinzu, die sich zunehmend mit DORA überschneidet, wenn Anbieter fertige Software statt reiner Dienstleistungen an Banken verkaufen. Mittelstandsanbieter im Finanzsektor müssen nun zwei sich überschneidende Compliance-Kalender statt nur einen im Blick behalten.
Fazit
DORA hat die IKT-Resilienz im Finanzsektor von einem Flickenteppich nationaler Regeln zu einer einzigen, unmittelbar geltenden EU-Verordnung zusammengeführt, und ihre Drittanbieter-Vorschriften reichen tief in die Anbieterbasis hinein, die europäische Banken und Versicherer beliefert. Für Mittelstandsunternehmen, die Software, KI oder Cloud-Dienste an Finanzunternehmen verkaufen, ist DORA-Compliance eine wiederkehrende Vertragspflicht, keine einmalige Vorarbeit. Die Benennung der ersten kritischen IKT-Drittdienstleister Ende 2025 zeigt, dass die direkte Aufsicht über Hyperscaler hinaus weiter wachsen wird. Anbieter, die jetzt belastbare, wiederverwendbare Compliance-Dokumentation aufbauen, bewältigen die nächste Welle an Sorgfaltsprüfungen schneller als Wettbewerber, die bei null anfangen.
Häufig gestellte Fragen
Was ist DORA einfach erklärt?
DORA ist eine EU-Verordnung, die Banken, Versicherer und andere Finanzunternehmen verpflichtet, IKT-Risiken zu managen, schwerwiegende Vorfälle zu melden, ihre operative Resilienz zu testen und die Technologieanbieter zu überwachen, von denen sie abhängen. Sie gilt seit dem 17. Januar 2025 unmittelbar EU-weit.
Gilt DORA auch für ein Mittelstandsunternehmen mit 50 Mitarbeitenden?
DORA bindet formal Finanzunternehmen, nicht den Anbieter selbst, aber wenn dieser Anbieter eine Bank oder einen Versicherer beliefert, geben die DORA-Pflichten des Kunden über den Vertrag nach unten weiter. In der Praxis werden Prüfungsrechte, Vorfallmeldeklauseln, Exit-Pläne und Offenlegung von Subunternehmern unabhängig von der Unternehmensgrösse zu Standardanforderungen.
Wie passt DORA zur EU-KI-Verordnung und zur DSGVO?
DORA, die EU-KI-Verordnung und die DSGVO adressieren unterschiedliche Risiken und können alle für dasselbe KI-System gelten, das an ein Finanzunternehmen verkauft wird. DORA regelt IKT-Betriebsstabilität und Drittanbieter-Aufsicht, die EU-KI-Verordnung regelt KI-spezifische Risikoeinstufung, und die DSGVO regelt personenbezogene Daten, weshalb Anbieter meist einen Auftragsverarbeitungsvertrag zusätzlich zu DORA-konformen Vertragsklauseln benötigen.
Was kostet DORA-Compliance für einen IKT-Anbieter, der Banken beliefert?
Die Kosten hängen von Unternehmensgrösse und bestehender Sicherheitsreife ab, umfassen aber meist eine ISO-27001-Zertifizierung oder Gleichwertiges, Dokumentation der Vorfallreaktion und juristische Prüfung der Vertragsklauseln. Anbieter, die bereits starke Sicherheitsdokumentation für andere Rahmenwerke pflegen, passen diese meist für DORA an, statt ein separates Programm aufzubauen.
Brauchen wir dafür eigene IT-Ressourcen für Sorgfaltsprüfungsanfragen?
Nicht zwingend ein eigenes Team, aber jemand muss die Verantwortung für die Nachweise im Informationsregister, die Vorfallverfahren und die Vertragsklauseln übernehmen, die Kunden aus dem Finanzsektor wiederholt anfragen werden. Diese Dokumentation zentral zu bündeln, statt jeden Fragebogen neu zu beantworten, hält den Aufwand handhabbar, wenn die Zahl regulierter Kunden wächst.
Ist DORA dasselbe wie NIS2?
Nein. DORA ist sektorspezifisches Recht für Finanzunternehmen und hat nach dem Grundsatz der lex specialis Vorrang vor NIS2 für diese Unternehmen, während NIS2 breitere Sektoren wie Energie, Gesundheitswesen und digitale Infrastruktur abdeckt. Ein Anbieter kann von einem Kunden NIS2-Pflichten und von einem anderen DORA-Pflichten auferlegt bekommen.
