Wissen
Der Digital Operational Resilience Act, Verordnung (EU) 2022/2554, ist seit dem 17. Januar 2025 vollständig anwendbar. Es handelt sich um eine Verordnung und nicht um eine Richtlinie, sie gilt daher unmittelbar in jedem EU-Mitgliedstaat, ohne dass ihre materiellen Anforderungen national umgesetzt werden müssten. Unterschiedlich ist die Aufsicht: DORA wird von der nationalen zuständigen Behörde (NCA) durchgesetzt, die Ihren Unternehmenstyp ohnehin bereits beaufsichtigt, im Zusammenspiel mit den drei Europäischen Aufsichtsbehörden (EBA, ESMA und EIOPA).
Aufsichtliches Handeln unter DORA ist die normale Arbeit einer zuständigen Behörde, die die ihr durch DORA verliehenen Befugnisse anwendet: Prüfung Ihres Rahmenwerks für das IKT-Risikomanagement, Durchsicht Ihres Informationsregisters, Überprüfung Ihrer Meldeprozesse und Resilienzvorkehrungen sowie Nachverfolgung festgestellter Lücken. Artikel 50 legt diese Befugnisse fest, darunter das Recht auf Zugang zu allen relevanten Unterlagen oder Daten, die Durchführung von Vor-Ort-Prüfungen, die Vorladung von Vertretern zur Erläuterung und die Anordnung von Abhilfe- und Korrekturmaßnahmen.
Dieser Artikel zeigt, wie die DORA-Aufsicht organisiert ist, wie ein Prüfungsprozess typischerweise abläuft, was Aufseher zu jedem Teil der Verordnung untersuchen, wie das Sanktionsregime tatsächlich funktioniert und wie Sie sich vorbereiten. Wo sich eine konkrete Sanktionszahl oder Aufsichtsstatistik weder aus der Verordnung noch aus einer offiziellen Quelle belegen lässt, haben wir sie weggelassen statt zu raten.
Das Informationsregister ist bereits im Einsatz
Die ESAs haben 2024 einen freiwilligen Probelauf des Informationsregisters durchgeführt, bei dem knapp 1.000 Finanzunternehmen ihre Register über die zuständigen Behörden eingereicht haben. Die offizielle Meldung begann 2025. Nach DORA sammeln die zuständigen Behörden die Register der von ihnen beaufsichtigten Unternehmen ein, führen Datenqualitätsprüfungen durch und fungieren als Schnittstelle zu den ESAs. Ein vollständiges, exportierbares Informationsregister ist deshalb das Erste, was die meisten Aufseher voraussichtlich ansehen werden. Wenn Sie einen einzigen Indikator dafür suchen, wie der Rest einer Prüfung verlaufen wird, dann ist es dieser. Das Register ist das einzige DORA-Artefakt, das sich maschinell prüfen lässt, seine Lücken treten also zutage, bevor sich überhaupt jemand ein Urteil über Sie gebildet hat.
🎯
Abschnitt 1
Wer Ihre DORA-Compliance beaufsichtigt
DORA schafft keine einzelne neue Aufsichtsbehörde. Artikel 46 benennt für jede Kategorie von Finanzunternehmen diejenige zuständige Behörde, die es bereits nach dem einschlägigen Sektorrecht beaufsichtigt. Kreditinstitute werden von ihrer Aufsichtsbehörde überwacht, wobei die EZB für die im Rahmen des Einheitlichen Aufsichtsmechanismus als bedeutend eingestuften Institute zuständig ist. Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Versicherer und Rückversicherer, Fondsverwalter, Anbieter von Kryptowerte-Dienstleistungen und die übrigen Unternehmenstypen fallen jeweils an die Behörde, die in ihrer maßgeblichen Richtlinie oder Verordnung benannt ist.
Davon getrennt werden kritische IKT-Drittdienstleister (CTPPs) auf EU-Ebene überwacht. Nach dem Überwachungsrahmen der Artikel 31 bis 44 wird eine der ESAs zum federführenden Überwacher (Lead Overseer) für jeden benannten CTPP bestimmt. Diese Überwachung liegt oberhalb Ihrer eigenen Aufsicht: Sie ersetzt Ihre Pflicht zur Steuerung der Dienstleisterbeziehung nicht, bedeutet aber, dass die größten Anbieter einer eigenen direkten Prüfung unterliegen.
Wie aufsichtliche Aufmerksamkeit priorisiert wird
DORA beruht auf dem Grundsatz der Verhältnismäßigkeit (Artikel 4): Anforderungen und Aufsichtsintensität sollen Größe, Risikoprofil sowie Art, Umfang und Komplexität der Dienstleistungen eines Unternehmens widerspiegeln. Behörden prüfen nicht alle Unternehmen gleichzeitig. In der Praxis sind die Faktoren, die ein Unternehmen in der Warteschlange nach vorne rücken lassen, in der Verordnung selbst erkennbar.
Systemische Bedeutung
Größere und systemisch bedeutendere Unternehmen tragen den vollständigsten Pflichtenkatalog und ziehen die größte Aufmerksamkeit auf sich. Kleinere Unternehmen profitieren vom vereinfachten IKT-Risikomanagementrahmen nach Artikel 16.
Vorfallhistorie
Unternehmen, die schwerwiegende IKT-bezogene Vorfälle gemeldet haben, bieten Aufsehern einen naheliegenden Ausgangspunkt für einen genaueren Blick auf Vorfallbearbeitung und Ursachenaufarbeitung.
Drittanbieterkonzentration
Starke Abhängigkeit von wenigen IKT-Anbietern, insbesondere von solchen, die als CTPP benannt sind, ist genau das Konzentrationsrisiko, das DORA sichtbar machen soll.
Thematische und turnusmäßige Prüfungen
Behörden führen zudem thematische Prüfungen zu bestimmten Risiken durch, etwa zur Cloud-Abhängigkeit, und integrieren IKT-Risiken in ihre bestehenden Aufsichtszyklen.
Der praktische Punkt: Wenn Ihr Unternehmen noch keine DORA-fokussierte Prüfung hatte, fallen Sie dennoch in den Anwendungsbereich, und jetzt ist der Zeitpunkt zur Vorbereitung. Weil DORA in bestehende Aufsichtsbeziehungen eingebettet ist, lautet die nützlichere Frage nicht "wann kommt eine neue Aufsichtsbehörde", sondern "wie gut sind wir darauf vorbereitet, dass unsere jetzige Aufsicht DORA-Fragen stellt".
🔍
Abschnitt 2
Was eine DORA-Prüfung umfasst
DORA schreibt kein einheitliches Prüfungsverfahren vor, und Zeitpläne wie Formate unterscheiden sich je nach Behörde und Prüfungsumfang. Fest steht der Werkzeugkasten, auf den eine Behörde zurückgreifen kann, festgelegt in Artikel 50. Eine Prüfung durchläuft in der Regel eine wiedererkennbare Abfolge, und wer sie kennt, kann Ressourcen planen statt zu improvisieren.
Phase 1 - Ankündigung und Prüfungsumfang
Eine Prüfung beginnt damit, dass die Behörde ihren Umfang festlegt. Das kann ein vollständiger Blick auf Ihr DORA-Rahmenwerk sein oder ein thematischer Fokus auf eine Säule - IKT-Risikomanagement (Kapitel II), Vorfallmeldung (Kapitel III), Resilienztests (Kapitel IV) oder Drittparteienrisiko (Kapitel V). Das Schreiben zum Prüfungsumfang kommt typischerweise zusammen mit einer ersten Unterlagenanforderung. Vorlauf- und Antwortfristen setzt die Behörde, nicht DORA.
Phase 2 - Unterlagenanforderung und Schreibtischprüfung
Artikel 50 erlaubt der Behörde, eine Kopie jeder Unterlage und jedes Datensatzes anzufertigen, den sie für relevant hält. Die Anforderungen sind meist sehr detailliert. Häufig verlangt werden:
- Das vollständige Informationsregister (Art. 28) mit IKT-Anbietern, vertraglichen Vereinbarungen und Unterauftragsketten
- Das IKT-Risikomanagementrahmenwerk und die verabschiedeten Richtlinien (Art. 5-16)
- Das Resilienztestprogramm einschließlich bedrohungsgeleiteter Penetrationstests (TLPT), sofern erforderlich (Art. 24-27)
- Verfahren zur Vorfallklassifizierung und die für schwerwiegende Vorfälle eingereichten Meldungen (Art. 17-23)
- IKT-Risikoberichte an das Leitungsorgan und Freigabenachweise (Art. 5)
- Geschäftsfortführungs- und Wiederanlaufpläne mit Testnachweisen (Art. 11-12)
- IKT-Drittanbieterverträge, Ausstiegsstrategien und Konzentrationsrisikoanalysen (Art. 28-30)
Phase 3 - Vor-Ort-Prüfungen oder Remote-Deep-Dives
Artikel 50 gibt Behörden die Befugnis, Vor-Ort-Prüfungen und Untersuchungen durchzuführen. Je nach Risikoprofil des Unternehmens kann das ein Besuch vor Ort, eine Remote-Sitzung oder eine Kombination sein. Rechnen Sie damit, dass Prozesse in Aktion gezeigt werden sollen und nicht nur dokumentiert: wie ein Vorfall eskaliert wird, wie das Informationsregister gepflegt wird, wie Testbefunde nachverfolgt werden.
Phase 4 - Interviews mit Schlüsselpersonal
Artikel 50 erlaubt einer Behörde ausdrücklich, Vertreter zur mündlichen oder schriftlichen Erläuterung vorzuladen und jede einwilligende Person zu befragen. DORA stellt das Leitungsorgan mit Artikel 5 in den Mittelpunkt des IKT-Risikos, Interviews reichen deshalb regelmäßig über das technische Team hinaus:
- Mitglieder des Leitungsorgans: um zu zeigen, dass IKT-Risiko ein ständiger Tagesordnungspunkt ist, dass das Rahmenwerk auf Vorstandsebene freigegeben wurde und dass die Mitglieder ausreichende Kenntnisse aufrechterhalten
- CTO / CIO: Architektur, Ergebnisse der Resilienztests, Change Management
- CISO: Vorfallklassifizierung, Bedrohungslage, Security Operations
- Chief Risk Officer: Einbindung des IKT-Risikos in das übergreifende Risikorahmenwerk
- Compliance / Datenschutzbeauftragter: aufsichtsrechtliche Meldungen und Abstimmung zwischen DORA, DSGVO und NIS2
- Verantwortliche für Drittparteienrisiko: Anbieterbewertung, Vertragsüberwachung, Tests der Ausstiegspläne
Konsistenz zählt: Aufseher achten darauf, ob das, was die Richtlinien sagen, mit dem übereinstimmt, was die Menschen tatsächlich tun. In Interviews fällt ein reines Papierprogramm auseinander. Wenn ein Vorstandsmitglied den IKT-Risikoappetit nicht mit eigenen Worten beschreiben kann, wirkt das Rahmenwerk wie zugekauft, und keine noch so umfangreiche Dokumentation repariert diesen Eindruck im Raum. Briefen Sie die Beteiligten gründlich, und briefen Sie sie ehrlich zu dem, was Sie bereits als schwach kennen.
Phase 5 - Feststellungen und Nachverfolgung
Stellt die Behörde Mängel fest, erlaubt ihr Artikel 50, Abhilfe- und Korrekturmaßnahmen zu verlangen. In der Praxis bedeutet das Feststellungen, Erwartungen an die Behebung und eine Nachverfolgung. Formate und Fristen legt jede Behörde selbst fest. Das Ergebnis einer Prüfung wird Teil Ihrer Aufsichtsakte und prägt, wie genau Sie beim nächsten Mal beobachtet werden.
📈
Abschnitt 3
Was Aufseher prüfen, Artikel für Artikel
Am klarsten bereiten Sie sich vor, indem Sie jede Pflicht darauf abbilden, wie ein belastbarer Nachweis dafür aussieht. Die folgende Tabelle ist eine Vorbereitungshilfe, abgeleitet aus dem DORA-Text. Sie ist eine Orientierung und keine von einer Behörde herausgegebene aufsichtliche Bewertungsmatrix.
| Bereich | DORA-Fundstelle | Belastbarer Nachweis | Löst voraussichtlich Rückfragen aus |
|---|---|---|---|
| Aufsicht durch das Leitungsorgan | Art. 5 | Der Vorstand gibt das IKT-Risikorahmenwerk förmlich frei; ständiger Tagesordnungspunkt mit regelmäßiger Berichterstattung; Mitglieder halten dokumentierte IKT-Kenntnisse aufrecht | Kein Beleg für eine IKT-Risikodiskussion auf Vorstandsebene; Rahmenwerk allein von der IT abgezeichnet; keine Schulungsnachweise |
| IKT-Risikomanagementrahmenwerk | Art. 6-16 | Dokumentiertes Rahmenwerk mit klarer Verantwortung und Risikoappetit, regelmäßigen Überprüfungszyklen, integriert in das unternehmensweite Risikomanagement | Allgemeine IT-Richtlinien, umetikettiert als DORA-Rahmenwerk; kein IKT-Risikoappetit; Richtlinien seit vor DORA nicht überprüft |
| Informationsregister | Art. 28 | Vollständiges, korrektes Register über alle IKT-Drittdienstleister; Vereinbarungen den Funktionen zugeordnet; im meldefähigen ESA-Format gepflegt | Unvollständiges Anbieterverzeichnis; fehlende Unterauftragsketten; Export im ESA-Format nicht erzeugbar; Datenqualitätslücken wie fehlende Kennungen |
| Vorfallklassifizierung und -meldung | Art. 17-23 | DORA-Klassifizierungskriterien umgesetzt und erprobt; Meldefristen eingehalten; Ursachenanalyse dokumentiert | Prozess aus der Zeit vor DORA nicht aktualisiert; Klassifizierung nach subjektivem Ermessen; verspätete oder fehlende Meldungen |
| Resilienztestprogramm | Art. 24-27 | Risikobasierte Tests kritischer IKT-Systeme; TLPT dort durchgeführt, wo das Unternehmen die Kriterien erfüllt; Feststellungen bis zur Behebung nachverfolgt | Tests beschränkt auf einen jährlichen Pentest; kein TLPT, obwohl erforderlich; Ergebnisse nicht mit dem Risikomanagement verknüpft; frühere Feststellungen offen |
| Drittparteienrisikomanagement | Art. 28-30 | Due Diligence bei IKT-Anbietern; Konzentrationsrisiko analysiert; Ausstiegsstrategien dokumentiert und getestet; Verträge im Einklang mit Art. 30 | Keine Ausstiegsstrategien; in Verträgen fehlen DORA-Klauseln wie Prüfrechte, Datenstandort und Unterauftragsvergabe; Konzentrationsrisiko nicht bewertet |
| Geschäftsfortführung und Wiederanlauf | Art. 11-12 | Pläne decken alle kritischen Funktionen ab; getestet mit dokumentierten Ergebnissen; Wiederanlaufziele definiert und validiert | Pläne bestehen auf dem Papier, sind aber ungetestet; Wiederanlaufziele nicht definiert; letzter Test vor über 12 Monaten; Fehlschläge nicht aufgearbeitet |
| IKT-Change-Management | Art. 9 | Formaler Prozess mit Risikobewertung, Test und Rollback; Notfall-Änderungsprozess definiert; Prüfpfad vorhanden | Informeller oder uneinheitlicher Prozess; keine Risikobewertung vor dem Deployment; Notfalländerungen umgehen Kontrollen |
| Informationsaustausch | Art. 45 | Teilnahme am Austausch von Bedrohungsinformationen geprüft, mit dokumentierter Entscheidung in die eine oder andere Richtung | Keine Kenntnis der Vereinbarungen; keine Teilnahme und keine dokumentierte Begründung |
| IKT-Asset-Management | Art. 8 | Vollständiges IKT-Asset-Inventar; Klassifizierung nach Kritikalität; Abhängigkeiten kartiert; Assets für kritische Funktionen identifiziert | Unvollständiges Inventar; keine Kritikalitätsklassifizierung; Abhängigkeiten unbekannt; Schatten-IT nicht adressiert |
Die Uhr der Vorfallmeldung
Ein wiederkehrendes Aufsichtsthema ist, ob ein Unternehmen die von den technischen Standards der ESAs gesetzten Meldefristen für schwerwiegende Vorfälle tatsächlich einhalten kann. Planen Sie um den ersten Schritt herum. Vier Stunden sind knapp und dennoch fair, denn die Frist beginnt erst, wenn Sie den Vorfall als schwerwiegend eingestuft haben. Der Fehlermodus ist eine Klassifizierungsentscheidung, die sich hinzieht, während diskutiert wird. Genau deshalb müssen die Kriterien schriftlich festgelegt und eingeübt sein, bevor die Nacht kommt, in der Sie sie brauchen. Der Zeitablauf hat drei Schritte:
| Erstmeldung | Innerhalb von 4 Stunden nach Einstufung des Vorfalls als schwerwiegend und spätestens 24 Stunden nach Kenntnisnahme. |
| Zwischenmeldung | Innerhalb von 72 Stunden nach der Erstmeldung. |
| Abschlussmeldung | Innerhalb von einem Monat nach der letzten Aktualisierung. |
⚖️
Abschnitt 4
Sanktionen und Abhilfemaßnahmen: wie sie tatsächlich funktionieren
DORA legt für Finanzunternehmen keine einheitliche EU-weite Bußgeldobergrenze fest, wie es manche anderen Regelwerke tun. Artikel 50 verpflichtet jeden Mitgliedstaat, Verwaltungssanktionen und Abhilfemaßnahmen vorzusehen, die nach dem Wortlaut der Verordnung "wirksam, verhältnismäßig und abschreckend" sind. Deshalb unterscheiden sich Höchstbeträge und ihre Berechnung von Mitgliedstaat zu Mitgliedstaat. Behandeln Sie jede einzelne Schlagzeilenzahl mit Vorsicht, solange sie nicht an das konkrete nationale Regime gebunden ist, das für Sie gilt. Die Überlassung der Beträge an die Mitgliedstaaten ist der schwächste Teil des DORA-Designs. Die Pflichten sind einheitlich, während die Konsequenzen verstreut sind, was das Argumentieren über Exponierung in einem Budgetgespräch erschwert und innerhalb einer grenzüberschreitenden Gruppe ungleichen Druck erzeugt. Planen Sie stattdessen gegen die Aufsichtsmaßnahmen, denn eine Anordnung, etwas zu unterlassen, oder eine öffentliche Bekanntmachung trifft ein reguliertes Unternehmen lange vor einem Bußgeld.
Abhilfe- und Korrekturmaßnahmen
Artikel 50 erlaubt einer zuständigen Behörde, Abhilfe- und Korrekturmaßnahmen bei Verstößen zu verlangen, die Einstellung eines gegen die Verordnung verstoßenden Verhaltens anzuordnen und Maßnahmen zu ergreifen, auch finanzieller Art, um ein Unternehmen wieder in die Konformität zu bringen.
Öffentliche Bekanntmachungen
Nach Artikel 50 können Behörden öffentliche Bekanntmachungen veröffentlichen, einschließlich Erklärungen, die die verantwortliche Person und die Art des Verstoßes benennen. Das Reputationsrisiko gehört ebenso zur Abschreckung wie das Bußgeld.
Persönliche Verantwortlichkeit
Artikel 50 erlaubt es, Maßnahmen nach Maßgabe des nationalen Rechts auch gegen Mitglieder des Leitungsorgans und andere für einen Verstoß verantwortliche Personen anzuwenden. IKT-Risiko ist ebenso eine Governance-Frage wie eine technische.
Überwachung kritischer Anbieter
Für benannte CTPPs kann der federführende Überwacher nach Artikel 35 Zwangsgelder von bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes des Anbieters im Vorjahr verhängen, taggenau und für bis zu sechs Monate.
Eine Lücke weitet die Prüfung meist aus
Ein Mangel in einem Bereich löst häufig Fragen in einem verwandten aus. Ein unvollständiges Informationsregister lädt zur Prüfung des Drittparteienrisikomanagements ein, was wiederum Konzentrationsrisiko und Ausstiegsplanung aufwirft. Wer die offensichtlichen Lücken früh schließt, verhindert, dass sich eine fokussierte Prüfung ausweitet.
🌎
Abschnitt 5
Wie die DORA-Aufsicht EU-weit aufgebaut ist
Weil DORA eine unmittelbar anwendbare Verordnung ist, gelten die materiellen Regeln in jedem Mitgliedstaat gleich. Die Aufsichtsarchitektur ist geschichtet: Ihre eigene zuständige Behörde, die drei ESAs mit der Koordination auf EU-Ebene und der Überwachungsrahmen für die größten IKT-Anbieter. Wer weiß, welche Schicht was tut, weiß auch, woher eine bestimmte Anfrage kommen wird.
| Ebene | Wen sie abdeckt | Rolle und Rechtsgrundlage |
|---|---|---|
| Nationale zuständige Behörde | Ihr Finanzunternehmen, nach Typ | Die Aufsicht im Tagesgeschäft. Artikel 46 benennt für jede Unternehmenskategorie die Behörde, die nach dem einschlägigen Sektorrecht bereits zuständig ist. Sie hält die Befugnisse aus Artikel 50, Unterlagen anzufordern, zu prüfen, zu befragen und Behebung zu verlangen. |
| Die EZB (SSM) | Bedeutende Kreditinstitute in der Bankenunion | Handelt als zuständige Behörde für die von ihr direkt beaufsichtigten bedeutenden Banken und bindet IKT-Risiko in ihre bestehende Aufsicht ein. |
| Die ESAs (EBA, ESMA, EIOPA) | Alle in den Anwendungsbereich fallenden Unternehmen, über Koordination | Verfassen die technischen Standards, betreiben die Sammlung der Informationsregister über die NCAs und koordinieren eine einheitliche Anwendung. Ihre nationale Aufsicht ersetzen sie nicht. |
| Federführender Überwacher | Benannte kritische IKT-Drittdienstleister | Eine der ESAs wird nach dem Überwachungsrahmen (Art. 31-44) zum federführenden Überwacher für jeden CTPP bestimmt, mit eigenen Befugnissen einschließlich der Zwangsgelder nach Artikel 35. |
Grenzüberschreitende Gruppen
Unternehmen, die in mehr als einer Jurisdiktion beaufsichtigt werden, können Unterschiede bei Zeitpunkt und Format der Prüfung erleben, denn das praktische Vorgehen liegt bei jeder nationalen Behörde, auch wenn die Regeln gemeinsam sind. Wo die EZB direkt beaufsichtigt, wird IKT-Risiko über ihre bestehenden Aufsichtsverfahren behandelt. Bauen Sie Ihre Nachweise einmal auf, in einer Form, die jede Ihrer Aufsichtsbehörden verarbeiten kann.
✅
Abschnitt 6
Vorbereitung auf eine DORA-Prüfung: eine praktische Checkliste
Vorbereitung ist das, was eine ruhige Prüfung von einer Hetzjagd unterscheidet. Die folgenden Punkte sind die dauerhafte Bereitschaft, die die meisten Unternehmen vorhalten sollten, jeweils an einen Teil von DORA gebunden statt an die Vorliebe einer einzelnen Aufsichtsbehörde. Seien Sie ehrlich zu sich selbst, was das kostet. Die Punkte zwei, drei und sieben bedeuten Wochen an Schreibarbeit und Kalenderdisziplin. Punkt eins wird in dem Moment zu einer mehrmonatigen Übung, in dem Sie beginnen, Unterauftragsketten durch Ihre Anbieter zu verfolgen. Fangen Sie deshalb damit an und lassen Sie den Rest parallel laufen.
Checkliste der Prüfungsbereitschaft
1. Informationsregister (Art. 28)
Vollständiges Register mit allen Anbietern, vertraglichen Vereinbarungen, Zuordnungen zu Geschäftsfunktionen, Unterauftragsketten und Rechtsträgerkennungen. Prüfen Sie den Export im ESA-Format. Gleichen Sie mit den Beschaffungsunterlagen ab, um fehlende Anbieter zu finden.
2. IKT-Risikomanagementrahmenwerk (Art. 5-16)
Vom Vorstand freigegebenes Rahmenwerk mit unterstützenden Richtlinien für Informationssicherheit, Zugriffskontrolle, Change Management, Geschäftsfortführung und Vorfallmanagement. Nachweise der Überprüfung mit Datum und Unterzeichnern.
3. Nachweise zum Leitungsorgan (Art. 5)
Protokolle, die IKT-Risiko auf der Tagesordnung zeigen, eine verabschiedete Risikoappetit-Erklärung, Schulungsnachweise für das Leitungsorgan und IKT-Risikoberichterstattung auf Vorstandsebene.
4. Bereitschaft zur Vorfallreaktion (Art. 17-23)
Ein an den DORA-Kriterien ausgerichteter Klassifizierungsansatz, ein dokumentierter Meldeworkflow mit Eskalationswegen, der die Fristen einhalten kann, ein Vorfallprotokoll mit Ursachenanalysen und Nachweise durchgeführter Übungen.
5. Nachweise der Resilienztests (Art. 24-27)
Ein Testprogramm, TLPT-Ergebnisse dort, wo das Unternehmen die Kriterien erfüllt, Schwachstellenbewertungen mit Nachverfolgung der Behebung sowie Ergebnisse von Fortführungs- und Wiederanlauftests, die in die Risikobewertungen zurückfließen.
6. Drittanbieterverträge und Ausstiegspläne (Art. 28-30)
Verträge, die auf die Anforderungen aus Artikel 30 geprüft wurden, etwa Prüfrechte, Datenstandort, Unterauftragsvergabe und Kündigung. Ausstiegsstrategien für kritische Anbieter. Eine aktuelle Konzentrationsrisikoanalyse.
7. Gap-Analyse und Maßnahmentracker
Eine dokumentierte interne Gap-Analyse mit einem Behebungsplan, der Verantwortliche, Fristen und Fortschritt zeigt. Zu zeigen, dass Sie Ihre Lücken kennen und schließen, ist in der Regel glaubwürdiger als die Behauptung, es gebe keine.
8. Bereitschaft der Mitarbeitenden
Eine benannte koordinierende Person, vorab gebriefte CTO, CISO, CRO und Leitungsorgan, Interviewvorbereitung für Schlüsselpersonal und ein zentrales Ablagesystem, auf das das Prüfungsteam Zugriff erhalten kann.
Die Unternehmen, die gut durch eine Prüfung kommen, sind selten die, die Perfektion behaupten. Es sind die, die ihre eigenen Lücken verstehen, einen glaubwürdigen Behebungsplan vorhalten und Nachweise schnell und vollständig abrufen können. Die eigene Arbeit zeigen zu können ist mehr wert als zu behaupten, es gebe nichts zu finden.
🛡️
Abschnitt 7
Wie Venvera Sie dauerhaft prüfungsbereit hält
Venvera ist eine Compliance-Plattform für mehrere Rahmenwerke. DORA ist eines der unterstützten Rahmenwerke, neben NIS2, ISO 27001 und weiteren, sodass die Nachweise, die Sie für eine Aufsichtsbehörde zusammenstellen, über alle Ihre Pflichten hinweg wiederverwendbar sind. Der Gedanke ist einfach: Halten Sie Rahmenwerk, Register, Vorfälle und Tests an einem Ort, damit Sie auf die Frage einer Aufsichtsbehörde abrufen statt rekonstruieren.
Informationsregister
Ein strukturiertes Register für IKT-Anbieter, vertragliche Vereinbarungen, Geschäftsfunktionen und Unterauftragsketten, mit Export im ESA-Format, damit Sie unter Zeitdruck keine Tabellen zusammenstellen müssen.
Gap-Analyse mit Bewertung
Eine Gap-Analyse über die DORA-Kapitel hinweg mit Bewertung auf Artikelebene, damit Sie Ihren Stand sehen und eine Behebungssicht erzeugen können, bevor eine Aufsichtsbehörde danach fragt.
Vorstandsreife Berichterstattung
IKT-Risikoberichte auf Vorstandsebene im Sinne von Artikel 5: Lage, offene Feststellungen, Fortschritt der Behebung und Vorfalltrends, in einer Form, die Sie dem Leitungsorgan vorlegen können.
Nachweisverwaltung
Ein zentrales Nachweisarchiv mit Versionshistorie und Prüfpfaden, sodass Ergebnisse von Fortführungstests oder Vorfallakten schnell abrufbar und nachweislich aktuell sind.
Vorfallmanagement
DORA-konforme Klassifizierung und ein Meldeworkflow rund um die Fristen der ESAs, der den Lebenszyklus eines Vorfalls von der Erkennung bis zur Ursachenanalyse abdeckt.
Drittparteien- und Konzentrationsrisiko
Anbieterrisikobewertungen, Konzentrationsanalyse, Ausstiegspläne und Vertragsverfolgung nach Artikel 30, sodass eine Frage zu einem kritischen Anbieter eine dokumentierte Antwort hat.
Häufig gestellte Fragen
Wer beaufsichtigt die DORA-Compliance eines Finanzunternehmens?
Ihre bestehende sektorale Aufsichtsbehörde. Artikel 46 von DORA benennt für jeden Unternehmenstyp die zuständige Behörde, die nach der einschlägigen EU-Richtlinie oder -Verordnung bereits verantwortlich ist, wobei die EZB für bedeutende Kreditinstitute in der Bankenunion handelt. Die drei ESAs (EBA, ESMA und EIOPA) koordinieren auf EU-Ebene und betreiben die Sammlung der Informationsregister über diese nationalen Behörden. Davon getrennt werden kritische IKT-Drittdienstleister nach den Artikeln 31 bis 44 von einem federführenden Überwacher, einer der ESAs, beaufsichtigt.
Seit wann gilt DORA?
DORA, Verordnung (EU) 2022/2554, gilt seit dem 17. Januar 2025 (Artikel 64). Sie ist in der gesamten EU unmittelbar anwendbar, ihre materiellen Anforderungen sind also zu diesem Datum ohne nationale Umsetzung wirksam geworden.
Was darf eine Aufsichtsbehörde nach DORA verlangen?
Artikel 50 gibt den zuständigen Behörden weitreichende Befugnisse: Zugang zu und Kopie von allen als relevant erachteten Unterlagen oder Daten, Durchführung von Vor-Ort-Prüfungen und Untersuchungen, Vorladung von Vertretern zur mündlichen oder schriftlichen Erläuterung, Befragung jeder einwilligenden Person sowie die Anordnung von Abhilfe- und Korrekturmaßnahmen. In der Praxis fragt eine Aufsichtsbehörde üblicherweise nach dem Informationsregister, dem IKT-Risikomanagementrahmenwerk, Vorfallakten, Ergebnissen von Resilienztests und Drittanbieterverträgen.
Welche Sanktionen können nach DORA verhängt werden?
DORA legt für Finanzunternehmen keinen einheitlichen EU-weiten Bußgeldbetrag fest. Artikel 50 verpflichtet jeden Mitgliedstaat, wirksame, verhältnismäßige und abschreckende Verwaltungssanktionen und Abhilfemaßnahmen vorzusehen, die Höchstbeträge unterscheiden sich daher je nach Land. Behörden können die Einstellung eines Verstoßes anordnen, finanzielle Maßnahmen ergreifen, öffentliche Bekanntmachungen mit Nennung des Unternehmens und des Verstoßes veröffentlichen und Maßnahmen gegen verantwortliche Personen anwenden. Für benannte kritische IKT-Drittdienstleister kann der federführende Überwacher nach Artikel 35 Zwangsgelder von bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes verhängen, taggenau und für bis zu sechs Monate.
Was sollten wir vor einer Prüfung bereithalten?
Ein vollständiges, exportierbares Informationsregister; ein vom Vorstand freigegebenes IKT-Risikomanagementrahmenwerk mit unterstützenden Richtlinien; eine Fähigkeit zur Vorfallklassifizierung und -meldung, die die Fristen der ESAs einhalten kann; ein Resilienztestprogramm einschließlich TLPT, sofern das Unternehmen die Kriterien erfüllt; sowie Drittanbietervereinbarungen mit den Klauseln aus Artikel 30, Ausstiegsstrategien und einer Konzentrationsrisikoanalyse. Zusätzlich eine dokumentierte Gap-Analyse mit Behebungsplan vorzuhalten, wird in der Regel positiver bewertet als die Behauptung vollständiger Konformität.
Mit Venvera prüfungsbereit sein
Eine DORA-Prüfung ist inhaltlich selten eine Überraschung: Die Verordnung sagt Ihnen, was eine Aufsichtsbehörde verlangen kann. Die Arbeit besteht darin, es auch liefern zu können. Wenn Sie Rahmenwerk, Informationsregister, Vorfälle, Tests und Drittanbieternachweise in einem System halten, wird aus einer Prüfung eine Abrufübung statt einer Rekonstruktion.
Wenn Sie schnell einschätzen wollen, wo Sie stehen, starten Sie einen kostenlosen Compliance-Check, oder sehen Sie sich an, wie das DORA-Modul und der Control-Crosswalk Ihnen erlauben, Nachweise über DORA, NIS2 und ISO 27001 hinweg wiederzuverwenden.
Primärquellen
Dieser Leitfaden stützt sich auf die Verordnung und offizielles EU-Material: Verordnung (EU) 2022/2554 (der vollständige DORA-Text, einschließlich der Artikel 5, 17-30, 35, 46, 50 und 64); die DORA-Seiten der Europäischen Bankenaufsichtsbehörde; sowie die Mitteilungen der ESAs zum Probelauf des Informationsregisters. Die Meldefristen für Vorfälle folgen den technischen Standards der ESAs. Prüfen Sie stets den aktuellen Text und das für Sie geltende nationale Regime, bevor Sie sich auf ein bestimmtes Datum oder eine bestimmte Zahl verlassen.
Aktualisiert im Juli 2026 · Venvera Compliance-Plattform · venvera.com
Dieser Artikel dient ausschließlich der Information und stellt keine Rechts- oder Aufsichtsberatung dar. Klären Sie die für Ihr Institut geltenden Anforderungen und das nationale Regime mit Ihren eigenen Beraterinnen und Beratern.
