DORA: Digitale operationale Resilienz für Finanzinstitute
Der Digital Operational Resilience Act verpflichtet Banken, Versicherungen, Zahlungsdienstleister, Krypto-Dienstleister und ihre kritischen IKT-Drittanbieter zu einheitlichem IKT-Risikomanagement — EU-weit unmittelbar geltendes Recht, keine nationale Umsetzung nötig.
Eine Verordnung, direkt anwendbar in allen 27 Mitgliedstaaten.
Die Verordnung (EU) 2022/2554 („DORA“) bündelt IKT-Risikoanforderungen für den Finanzsektor, die zuvor auf verschiedene sektorale Vorgaben verstreut waren, in einem einheitlichen Rahmenwerk. Als Verordnung gilt sie unmittelbar — ohne nationales Umsetzungsgesetz — für Banken, Versicherungen, Wertpapierfirmen, Zahlungs- und E-Geld-Institute, Krypto-Dienstleister (CASP) und weitere Finanzunternehmen.
DORA erfasst auch kritische IKT-Drittdienstleister (Cloud-Anbieter, Rechenzentren u.ä.) über ein eigenes Überwachungsregime der Europäischen Aufsichtsbehörden (EBA, ESMA, EIOPA).
Operationalisiert wird DORA über eine Reihe von Regulatory und Implementing Technical Standards (RTS/ITS) der ESAs — insbesondere zu Vorfallsmeldung, Drittanbieter-Register (Register of Information) und Resilienz-Testing (TLPT).
Wichtige Stichtage
DORA im Amtsblatt der EU veröffentlicht
Verordnung (EU) 2022/2554, Amtsblatt L 333; Inkrafttreten der Verordnung am zwanzigsten Tag danach.
Vollständige Anwendbarkeit EU-weit
Art. 64: „This Regulation shall apply from 17 January 2025.“ Ohne nationales Umsetzungsgesetz unmittelbar geltendes Recht in allen Mitgliedstaaten.
IKT-Drittanbieter-Register laufend führen
Nach Art. 28 ist das Register of Information fortlaufend aktuell zu halten und der Aufsicht auf Anfrage bzw. gemäß ITS-Vorgaben bereitzustellen.
Meldung schwerer IKT-Vorfälle
Art. 19 i. V. m. RTS/ITS (u. a. Delegierte Verordnung (EU) 2025/301): Erstmeldung binnen 4 Stunden nach Klassifizierung, Zwischenbericht binnen 72 Stunden, Abschlussbericht binnen einem Monat.
Was DORA konkret verlangt.
IKT-Risikomanagement
Ganzheitlicher Rahmen für Identifikation, Schutz, Erkennung, Reaktion und Wiederherstellung nach IKT-Risiken — inklusive Governance-Verantwortung der Leitungsorgane.
Drittanbieter-Register (RoI)
Vollständiges, laufend aktuelles Register aller IKT-Drittdienstleister inklusive Konzentrationsrisiko-Bewertung, meldepflichtig an die zuständige Aufsichtsbehörde.
Meldekaskade schwerer Vorfälle
Gestaffelte Meldung binnen 4 Stunden (Erstmeldung), 72 Stunden (Zwischenbericht) und einem Monat (Abschlussbericht) nach Klassifizierung eines schwerwiegenden IKT-Vorfalls.
Resilienz-Testing (TLPT)
Regelmäßige Tests der digitalen operationalen Resilienz, für bedeutende Institute inklusive bedrohungsorientierter Penetrationstests (Threat-Led Penetration Testing).
Register, Meldekaskade und Cross-Mapping — in einem Pack.
Lieferketten-Resilienz, die sich beweisen lässt. DORA behandelt Drittanbieter nicht als Anhang, sondern als Kern der operationalen Resilienz — ReportAct macht aus dem Register den laufenden Beweis dafür.
Das ReportAct Framework-Pack DORA führt ein vollständiges IKT-Drittanbieter-Register (RT.02.xx nach ESMA-ITS-Struktur) mit XBRL-Export, sodass die Meldung an die Aufsicht direkt aus versiegelten Daten erfolgen kann.
Konzentrationsrisiko im Blick der Aufsicht. Die europäischen Aufsichtsbehörden designieren kritische IKT-Drittanbieter (CTPPs), und BaFin führt die Konzentration von IKT-Auslagerungen als Fokusrisiko. ReportAct berechnet das Konzentrationsrisiko deterministisch aus Ihrem Register — Cluster nach Service-Typ und Land, Single-Point-of-Failure-Erkennung — und versiegelt das Ergebnis als Nachweis nach Art. 29.
Für die Meldekaskade stellt ReportAct einen Fristentracker mit 4-Stunden-Klassifizierungsalarm bereit — jede Statusänderung wird kryptografisch versiegelt und ist damit im Nachhinein nicht unbemerkt änderbar.
Über Cross-Mapping zu ISO/IEC 27001 und dem EU AI Act zählt eine einmal erfasste Kontrolle automatisch auf mehrere Regime an, statt Drittanbieter-Bewertungen mehrfach zu pflegen.
Produkt-/Positionierungsaussage, keine Rechtsberatung.
Direkt nachlesen
ReportAct ist kein Beratungsunternehmen. Diese Seite ersetzt keine Rechtsberatung. Operative Details der Meldekaskade und des Register of Information werden laufend durch delegierte und durchführende Rechtsakte (RTS/ITS) der ESAs konkretisiert — prüfen Sie vor verbindlichen Entscheidungen den aktuellen Stand direkt bei EBA, ESMA oder EIOPA. Es gelten unsere AGB.
DORA-Register, das prüfungsfähig bleibt.
Sie starten sofort mit Ihrem IKT-Drittanbieter-Register — inklusive Meldekaskaden-Tracker und XBRL-Export.