DORA 2026: Pflichten, Vorfälle, TLPT und IKT-Anbieter

Rechtsstand von DORA zum 24. August 2026

DORA trat am 16. Januar 2023 in Kraft, die meisten Vorschriften gelten jedoch erst seit dem 17. Januar 2025. Das war keine Frist für den Beginn eines Umsetzungsprojekts, sondern der Tag, ab dem erfasste Einrichtungen ihre Pflichten erfüllen mussten. ^[1]

Die Grundverordnung wird durch Rechtsakte der zweiten Ebene ergänzt. Die wichtigsten betreffen den Rahmen für das IKT-Risikomanagement, die Einstufung von Vorfällen, Inhalt und Fristen der Meldungen, die Leitlinie zur Nutzung von IKT-Dienstleistungen, das Informationsregister, die Vergabe von Unteraufträgen und TLPT. Eine Konformitätsbewertung allein anhand des DORA-Textes ist daher unvollständig.

Wen DORA erfasst

Artikel 2 Absatz 1 nennt 20 Kategorien von Finanzunternehmen. Dazu zählen unter anderem Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Anbieter von Kryptowerte-Dienstleistungen im Sinne der MiCA, Finanzmarktinfrastrukturen, Fondsverwalter, Versicherungsunternehmen und -vermittler, Einrichtungen der betrieblichen Altersversorgung, Ratingagenturen, Schwarmfinanzierungsdienstleister und Verbriefungsregister. ^[1]

Der Anwendungsbereich darf nicht allein anhand der Branche oder der umgangssprachlichen Bezeichnung "Fintech" bestimmt werden. Zu prüfen sind der aufsichtsrechtliche Status der konkreten Einrichtung sowie die Ausnahmen nach Artikel 2 Absatz 3. Der Grundsatz der Verhältnismäßigkeit passt die Art der Pflichterfüllung an Größe, Risikoprofil und Komplexität an, schafft aber keine allgemeine Befreiung für jede kleine Organisation.

IKT-Anbieter

Ein gewöhnlicher IKT-Anbieter wird nicht allein durch den Vertrag zum "DORA-Finanzunternehmen". Seine Pflichten ergeben sich vor allem aus dem Vertrag mit dem Finanzunternehmen. Anders liegt es bei Anbietern, die von den Europäischen Aufsichtsbehörden als kritische IKT-Drittdienstleister (CTPP) eingestuft werden: Sie unterliegen einem EU-Rahmen der direkten Aufsicht.

IKT-Risikomanagement und Verantwortung des Leitungsorgans

Das Leitungsorgan trägt die letzte Verantwortung für das IKT-Risikomanagement. Es hat den Governance-Rahmen, die Rollen, die Resilienzstrategie, die Kontinuitäts- und Wiederherstellungspläne, das Budget und die Leitlinie zur Nutzung von Anbieterdienstleistungen zu genehmigen und zu überwachen. Seine Mitglieder sollen ausreichendes Wissen vorhalten, um dieses Risiko zu verstehen und zu bewerten. ^[1]

Der Rahmen der Artikel 5 bis 16 umfasst sechs miteinander verbundene Fähigkeiten:

• Identifikation von Geschäftsfunktionen, Informations- und IKT-Assets sowie Abhängigkeiten;
• Schutz und Prävention, einschließlich Zugriffskontrolle, Konfiguration, Änderungen und Datensicherheit;
• Erkennung von Anomalien und Vorfällen;
• Reaktion und Wiederherstellung mit definierten Zielen und Verfahren;
• Lernen aus Vorfällen und Tests;
• Kommunikation nach innen und außen.

Die Delegierte Verordnung (EU) 2024/1774 konkretisiert die Anforderungen unter anderem zu Leitlinien, Asset-Management, Kryptografie, IKT-Betrieb, Netzsicherheit, Änderungen, Kontinuität und Berichterstattung. Sie enthält zudem Einzelheiten des vereinfachten Rahmens nach Artikel 16 DORA für bestimmte Kategorien von Einrichtungen - nicht für jedes Unternehmen, das sich selbst für klein hält. ^[3]

IKT-Vorfälle: Einstufung und Meldefristen

Eine Einrichtung muss IKT-bezogene Vorfälle erfassen, sie nach einem dokumentierten Prozess steuern und anhand der Kriterien des Artikels 18 DORA einstufen. Die Wesentlichkeitsschwellen legt die Delegierte Verordnung (EU) 2024/1772 fest. Bewertet werden unter anderem Kunden und Gegenparteien, Dauer und Ausfallzeit, geografische Ausbreitung, der Verlust von Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit der Daten, die Bedeutung der betroffenen Dienste und die wirtschaftlichen Auswirkungen. ^[4]

Ist ein Vorfall als schwerwiegend eingestuft, gilt eine dreistufige Berichterstattung. Die Delegierte Verordnung (EU) 2025/301 regelt Inhalt und Fristen, die Durchführungsverordnung (EU) 2025/302 die Formulare und Verfahren. ^{[5] [6]}

In Polen werden Meldungen schwerwiegender IKT-Vorfälle und Mitteilungen über erhebliche Cyberbedrohungen über das von der Finanzaufsicht KNF bereitgestellte System SOID eingereicht. Die KNF veröffentlicht zudem ein Notfallverfahren für den Fall der Nichtverfügbarkeit des Systems; eine über den Ersatzkanal übermittelte Meldung ist nach Wiederherstellung des Dienstes im System zu erfassen. Zugangsdaten und Anleitungen sind vor einem Vorfall unmittelbar auf der Website der KNF zu prüfen. ^[15]

Die Mitteilung einer erheblichen Cyberbedrohung ist freiwillig. Beeinträchtigt ein schwerwiegender Vorfall die finanziellen Interessen von Kunden, verlangt Artikel 19 Absatz 3, diese unverzüglich über den Vorfall und die schadensbegrenzenden Maßnahmen zu informieren. Ein einzelner Vorfall kann gleichzeitig Pflichten aus der DSGVO oder anderen Vorschriften auslösen; ein DORA-Bericht ersetzt andere Meldungen nicht automatisch.

Resilienztests und TLPT

Das Testprogramm soll risikobasiert sein und geeignete Techniken abdecken: von Schwachstellenbewertungen, Scans und Konfigurationsprüfungen bis zu szenariobasierten Tests, Kontinuitäts-, Leistungs-, End-to-End- und Penetrationstests. Für Systeme und Anwendungen, die kritische oder wichtige Funktionen unterstützen, sieht DORA regelmäßige Tests vor; der Umfang soll Änderungen und Risiko folgen.

TLPT betrifft nicht automatisch jede Einrichtung

Fortgeschrittene, bedrohungsgeleitete Penetrationstests (TLPT) führen Einrichtungen durch, die die zuständige Behörde anhand der Kriterien von DORA und der Delegierten Verordnung (EU) 2025/1190 benennt. Die Grundfrequenz beträgt mindestens einmal alle drei Jahre, die Behörde kann sie jedoch je nach Risikoprofil und operativen Umständen verringern oder erhöhen. Kleinstunternehmen und Einrichtungen, die den Rahmen nach Artikel 16 Absatz 1 anwenden, sind von dieser Pflicht ausgenommen. ^[7]

TLPT umfasst kritische oder wichtige Funktionen und Produktionssysteme einschließlich wesentlicher Anbieterabhängigkeiten. Der Prozess umfasst die Festlegung des Umfangs, die Erstellung der Bedrohungsanalyse, kontrollierte Tätigkeiten des Testteams, den Testabschluss und einen Maßnahmenplan. Ein gewöhnlicher Penetrationstest einer Anwendung wird nicht dadurch zum TLPT, dass er Angriffsszenarien verwendet.

IKT-Anbieter, Verträge und Informationsregister

Die Nutzung eines externen Dienstes verlagert die aufsichtsrechtliche Verantwortung nicht. Das Finanzunternehmen muss das Risiko über den gesamten Vertragszyklus steuern: von der Einstufung der Funktion und der Due Diligence über Verhandlung, Überwachung und Audit bis zur Beendigung und einem Ausstiegsplan.

Das Register erfasst alle IKT-Dienstleistungsverträge

Artikel 28 Absatz 3 verlangt, ein Informationsregister über alle vertraglichen Vereinbarungen zur Nutzung von IKT-Dienstleistungen zu führen und aktuell zu halten. Verträge zur Unterstützung kritischer oder wichtiger Funktionen sind eindeutig zu kennzeichnen. Die Standardvorlagen und Taxonomien legt die Durchführungsverordnung (EU) 2024/2956 fest. ^[8]

Der Vertrag muss das Risiko abbilden

Artikel 30 nennt die Vertragsbestandteile, unter anderem die Beschreibung der Dienstleistungen und Standorte, den Datenschutz, die Unterstützung bei Vorfällen, die Pflichten nach Vertragsende und die Zusammenarbeit mit Behörden. Für Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen kommen Anforderungen an Dienstgütegrade, Kontinuitätspläne, die Teilnahme an Tests, Zugangs-, Inspektions- und Auditrechte sowie Ausstiegsstrategien hinzu. Die Delegierte Verordnung (EU) 2024/1773 konkretisiert den Inhalt der Leitlinie für diese Verträge. ^[9]

Unterauftragnehmer

Die Delegierte Verordnung (EU) 2025/532 verlangt eine Bewertung der Unterauftragskette, die kritische oder wichtige Funktionen unterstützt. Der Vertrag sollte die Bedingungen der Untervergabe, die Information über wesentliche Änderungen, Kontrollrechte und Kündigungsgründe festlegen. Sich allein auf die Bewertung des Hauptanbieters zu stützen, beseitigt die Verantwortung des Finanzunternehmens nicht. ^[10]

CTPP: direkte Aufsicht über kritische Anbieter

Die Europäischen Aufsichtsbehörden EBA, EIOPA und ESMA veröffentlichten am 18. November 2025 die erste Liste von 19 kritischen IKT-Drittdienstleistern. Darauf fanden sich unter anderem Unternehmen der Gruppen Accenture, AWS, Google Cloud, IBM, Microsoft, Oracle und SAP sowie Betreiber von Telekommunikationsinfrastruktur und Rechenzentren. Die Liste soll mindestens einmal jährlich aktualisiert werden. ^[11]

Für jeden CTPP wird eine federführende Aufsichtsbehörde bestimmt. Sie bewertet das Risikomanagement, kann Prüfungen durchführen und Empfehlungen aussprechen. Die Einstufung als CTPP ist kein Sicherheitszertifikat und entbindet das Finanzunternehmen nicht von Due Diligence, Konzentrationsüberwachung oder der Vorbereitung einer Ausstiegsstrategie. ^[12]

Arbeitet ein CTPP bei der Ausübung der Aufsichtsbefugnisse nicht mit, kann die federführende Behörde ein Zwangsgeld in Höhe von 1 % des durchschnittlichen weltweiten Tagesumsatzes des Anbieters aus dem vorangegangenen Geschäftsjahr für jeden Tag des Verstoßes verhängen, höchstens sechs Monate lang. Das ist kein allgemeiner Bußgeldtarif für Finanzunternehmen. ^[1]

Freiwilliger Informationsaustausch

Artikel 45 erlaubt Finanzunternehmen, Informationen und Analysen zu Cyberbedrohungen in vertrauenswürdigen Gemeinschaften auszutauschen, sofern das Ziel die Stärkung der Resilienz ist und die Vereinbarungen Vertraulichkeit, personenbezogene Daten und Geschäftsgeheimnisse schützen. Das ist eine Möglichkeit, keine Pflicht zur Weitergabe ganzer Protokollbestände. Die Organisation sollte Rechtsgrundlage, Datenklassifikation, Minimierung und Regeln der Weitergabe vorab festlegen.

DORA, NIS2, das polnische KSC und die DSGVO

DORA und NIS2

Die Richtlinie NIS2 behandelt DORA als sektorspezifischen Unionsrechtsakt mit mindestens gleichwertiger Wirkung, soweit es um IKT-Risikomanagement und die Meldung schwerwiegender Vorfälle durch erfasste Finanzunternehmen geht. Das bedeutet nicht, dass jede Rechtsfrage einer Finanzorganisation ausschließlich von DORA geregelt wird. Persönlicher und sachlicher Anwendungsbereich sowie nationale Vorschriften sind zu vergleichen. ^[13]

DORA und das polnische Cybersicherheitsgesetz

Das Gesetz von 2025 fügte in das KSC den Artikel 16a ein, der die Doppelung bestimmter Pflichten von Betreibern wesentlicher Dienste im Bankensektor und in Finanzmarktinfrastrukturen im von DORA erfassten Bereich begrenzte. Die KSC-Novelle von 2026 zur Umsetzung von NIS2 ändert nichts an dem Grundsatz, dass Einstufung und Pflichten anhand des aktuellen Textes beider Regime zu bewerten sind.

DORA und die DSGVO

DORA schützt die operationale Resilienz und erfasst IKT-Vorfälle; die DSGVO regelt die Verarbeitung personenbezogener Daten und Verletzungen ihres Schutzes. Das sind unterschiedliche rechtliche Prüfungen. Ein Vorfall kann eine Meldung in beiden Regimen, in einem oder in keinem erfordern - je nach DORA-Einstufung und Risiko für die Rechte und Freiheiten der Betroffenen. ^[14]

Umsetzung und Nachweise organisieren

1. Anwendungsbereich bestätigen. Klären Sie den aufsichtsrechtlichen Status von Einrichtungen und Zweigstellen, die Ausnahmen und die zuständigen Behörden.
2. Funktionen identifizieren. Bestimmen Sie kritische oder wichtige Funktionen, Prozesse, Verantwortliche und Störungstoleranz.
3. Abhängigkeiten abbilden. Verknüpfen Sie Funktionen mit Assets, Daten, Anwendungen, Standorten und IKT-Anbietern.
4. Risikorahmen bewerten. Prüfen Sie Beschlüsse des Leitungsorgans, Leitlinien, Rollen, Ressourcen, Kennzahlen und Berichterstattung.
5. Vorfälle üben. Trainieren Sie Einstufung, die zwei Uhren der Erstmeldung, Formulare, Kommunikation und die übrigen Meldewege.
6. Register in Ordnung bringen. Einigen Sie sich auf Kennungen, Taxonomien, Vertragsvollständigkeit und Datenqualitätskontrolle.
7. Verträge nachbessern. Priorisieren Sie Dienstleistungen für kritische oder wichtige Funktionen und die Unterauftragsketten.
8. Testprogramm aufbauen. Verknüpfen Sie Tests mit Risiko, Änderungen und Funktionen; bereiten Sie TLPT nur vor, wenn die Einrichtung dieser Pflicht tatsächlich unterliegt.
9. Nachweise aufbewahren. Beschluss, Bericht, Protokoll, Testergebnis und genehmigte Ausnahme sollten Umfang, Datum, Verantwortlichen und Folgemaßnahme ausweisen.

Es gibt keine universellen Kosten und keinen universellen Zeitplan für eine DORA-Umsetzung. Beides hängt vom Lizenzmodell, der Architektur, dem Zustand der Verträge, der Zahl der Anbieter, der Qualität der Inventarisierung und der Reife des Vorfallprozesses ab. Eine fertige Leitlinie ohne Umsetzung und Nachweise schließt die Lücke nicht.

Die häufigsten Fehler

• das Programm auf die Sicherheitsabteilung beschränken, ohne fachliche Verantwortliche und ohne das Leitungsorgan;
• jeden Vertrag als Auslagerung behandeln oder umgekehrt IKT-Dienstleistungen übersehen, die als Teil einer größeren Leistung eingekauft werden;
• das Register nur für Anbieter kritischer oder wichtiger Funktionen führen;
• keine rund um die Uhr verfügbare Fähigkeit zur Einstufung und Freigabe einer Vorfallmeldung;
• einen gewöhnlichen Penetrationstest als TLPT werten;
• den Bericht eines Anbieters als Ersatz für die eigene Risikobewertung akzeptieren;
• keine belastbare Ausstiegsstrategie und keine Tests der Dienstwiederherstellung;
• annehmen, dass Konformität mit ISO/IEC 27001 automatisch DORA-Konformität belegt.

Häufig gestellte Fragen

Seit wann gilt DORA?

Seit dem 17. Januar 2025. Das polnische Anpassungsgesetz zu Aufsichtsbefugnissen und Sanktionen trat am 7. August 2025 in Kraft.

Gilt DORA für jedes Unternehmen, das Finanzdienstleistungen erbringt?

Nein. Den Anwendungsbereich bestimmt eine abschließende Liste von Kategorien in Artikel 2 samt Ausnahmen. Entscheidend ist der aufsichtsrechtliche Status der konkreten Einrichtung.

Muss ein IKT-Anbieter DORA selbst vollständig anwenden?

In der Regel nicht als Finanzunternehmen. Er muss jedoch die vertraglichen Anforderungen des Kunden erfüllen. Als CTPP eingestufte Anbieter unterliegen zusätzlich der direkten EU-Aufsicht.

Wie schnell ist ein schwerwiegender Vorfall zu melden?

Grundsätzlich ist die Erstmeldung spätestens vier Stunden nach der Einstufung als schwerwiegend und spätestens 24 Stunden nach Kenntnisnahme des Vorfalls einzureichen. Erfolgt die Einstufung erst nach 24 Stunden, beträgt die Frist vier Stunden ab Einstufung. Danach folgen ein Zwischenbericht binnen 72 Stunden und ein Abschlussbericht binnen eines Monats.

Muss jede Einrichtung alle drei Jahre TLPT durchführen?

Nein. Die Pflicht trifft Einrichtungen, die die zuständige Behörde anhand der DORA-Kriterien und der RTS 2025/1190 benennt. Drei Jahre sind die Grundfrequenz, die die Behörde ändern kann.

Erfasst das Register nur kritische Anbieter?

Nein. Es erfasst alle vertraglichen Vereinbarungen über IKT-Dienstleistungen, wobei diejenigen zur Unterstützung kritischer oder wichtiger Funktionen klar zu kennzeichnen sind.

Bestätigt die Einstufung als CTPP die Sicherheit eines Anbieters?

Nein. Sie bedeutet, dass der Anbieter wegen seiner Kritikalität unter einen Aufsichtsrahmen fällt. Das Finanzunternehmen bleibt für die eigene Bewertung und das eigene Risikomanagement verantwortlich.

Genügt ein ISO/IEC 27001-Zertifikat für die DORA-Konformität?

Nein. Es kann einen Teil der Maßnahmen und Nachweise stützen, doch DORA enthält eigene Anforderungen an das Leitungsorgan, die Meldungen, die Tests, das Informationsregister, die Verträge und die Anbieteraufsicht.