DORA: Was die Verordnung für IT-Dienstleister bedeutet

Wenn du IT-Leistungen an Banken, Versicherer oder Zahlungsdienstleister lieferst, liegt DORA seit Anfang 2025 in jeder Vertragsverhandlung auf dem Tisch. Die Verordnung richtet sich formal an Finanzunternehmen, wirkt über deren Verträge aber unmittelbar auf ihre IT-Dienstleister durch. Dieser Leitfaden ordnet ein, was DORA verlangt, wen es betrifft und welcher Teil davon bei dir als Anbieter ankommt.

Was ist die DORA-Verordnung?

Die DORA-Verordnung (Digital Operational Resilience Act, Verordnung (EU) 2022/2554) ist unmittelbar geltendes EU-Recht und gibt Finanzunternehmen einheitliche Anforderungen an ihre digitale operationale Resilienz vor: IKT-Risikomanagement, Meldung von Vorfällen, Resilienztests und die Steuerung ihrer IT-Dienstleister.

"IKT" ist die europäische Abkürzung für Informations- und Kommunikationstechnologie. Sie steht im Verordnungstext überall dort, wo im deutschen Sprachgebrauch schlicht "IT" stehen würde.

Entscheidend ist die Rechtsform. DORA ist eine Verordnung, keine Richtlinie. Sie gilt in allen Mitgliedstaaten direkt, ohne dass sie erst in nationales Recht übersetzt werden müsste. Nationale Gesetze regeln nur den Rahmen, etwa Zuständigkeiten und Sanktionsbefugnisse. In Deutschland ist das über das Finanzmarktdigitalisierungsgesetz geschehen, zuständige Aufsicht ist die BaFin.

Ergänzt wird der Verordnungstext durch technische Regulierungs- und Durchführungsstandards (RTS und ITS), die die drei europäischen Aufsichtsbehörden EBA, EIOPA und ESMA erarbeitet haben. Erst dort stehen viele der konkreten Fristen, Formate und Datenfelder. Wer nur die Verordnung liest, kennt nur einen Teil der Anforderungen.

Für wen gilt DORA?

DORA gilt für nahezu den gesamten EU-Finanzsektor, von Kreditinstituten über Versicherer, Wertpapierfirmen und Zahlungsdienstleister bis zu Krypto-Dienstleistern, und zusätzlich für IKT-Drittdienstleister, die diese Unternehmen mit IT-Leistungen versorgen.

Die Verordnung zählt die erfassten Unternehmenstypen ausdrücklich auf. Ob ein Haus darunterfällt, entscheidet diese Aufzählung und nicht die Selbsteinschätzung. Grob lassen sich drei Rollen unterscheiden:

• Finanzunternehmen: Adressat der vollen Pflichten. Für sie gilt DORA direkt, unabhängig davon, ob sie IT selbst betreiben oder einkaufen.
• IKT-Drittdienstleister: Anbieter von IT-Leistungen an Finanzunternehmen, also Cloud-Provider, Rechenzentren, Software- und Managed-Service-Anbieter. Sie werden von DORA nicht direkt beaufsichtigt, sondern über die Verträge ihrer Kunden gebunden.
• Kritische IKT-Drittdienstleister: Anbieter, die von den europäischen Aufsichtsbehörden förmlich als kritisch eingestuft wurden. Für sie gilt ein eigener Überwachungsrahmen mit einer federführenden Aufsichtsbehörde. Diese Einstufung trifft in der Praxis sehr große, systemweit genutzte Anbieter.

Für kleine Unternehmen sieht die Verordnung Erleichterungen vor, unter anderem einen vereinfachten IKT-Risikomanagementrahmen für Kleinstunternehmen, und einzelne Unternehmenstypen sind ganz ausgenommen. Welche Schwelle im Einzelfall greift, hängt an den Definitionen im Verordnungstext. Prüfe das an der geltenden Fassung, nicht an Zusammenfassungen.

graph TD
    A["Erbringst du IKT-Leistungen für ein EU-Finanzunternehmen?"] -->|nein| B["DORA greift nicht direkt. Kundenanforderungen können trotzdem daran angelehnt sein."]
    A -->|ja| C["Bist du selbst ein Finanzunternehmen im Sinne der Verordnung?"]
    C -->|ja| D["Volle DORA-Pflichten gelten unmittelbar für dich."]
    C -->|nein| E["Du bist IKT-Drittdienstleister."]
    E --> F["Von den europäischen Aufsichtsbehörden als kritisch eingestuft?"]
    F -->|ja| G["Direkte Überwachung durch die federführende Behörde."]
    F -->|nein| H["Anforderungen erreichen dich über den Vertrag mit dem Finanzunternehmen."]

Was verlangt DORA konkret?

DORA verlangt von Finanzunternehmen fünf Dinge: einen dokumentierten IKT-Risikomanagementrahmen, ein Verfahren zur Klassifizierung und Meldung von IKT-Vorfällen, regelmäßige Resilienztests, ein gesteuertes Management des IKT-Drittparteienrisikos und, freiwillig, den Austausch von Bedrohungsinformationen.

IKT-Risikomanagement

Der Kern ist unspektakulär und für jeden, der ein ISMS betreibt, vertraut: Assets kennen, Risiken bewerten, Schutzmaßnahmen begründen, Wiederanlauf planen, das Ganze dokumentieren und vom Leitungsorgan verantworten lassen. Neu ist weniger der Inhalt als die ausdrückliche Zuweisung der Verantwortung an die Geschäftsleitung des Finanzunternehmens. Diese Verantwortung lässt sich nicht an einen Dienstleister auslagern, auch wenn der Betrieb ausgelagert ist.

Meldung von IKT-Vorfällen

Schwerwiegende IKT-Vorfälle müssen an die zuständige Aufsicht gemeldet werden, und zwar mehrstufig: eine Erstmeldung, eine Zwischenmeldung und eine Abschlussmeldung. Die Klassifizierung richtet sich nach Kriterien wie Dauer des Ausfalls, Anzahl betroffener Kunden, geografische Ausbreitung, Datenverluste und wirtschaftliche Auswirkungen.

Die konkreten Fristen und Schwellenwerte stehen nicht in der Verordnung selbst, sondern in den zugehörigen technischen Standards der europäischen Aufsichtsbehörden. Sie bewegen sich für die Erstmeldung im Stundenbereich. Nenne gegenüber Kunden keine Zahl aus dem Gedächtnis, sondern arbeite mit dem aktuellen Standardtext. Für dich als Dienstleister ist die praktische Folge klar: Dein Kunde kann seine Frist nur halten, wenn du ihn deutlich früher informierst. Genau das landet als Meldepflicht in den Verträgen, oft mit sehr kurzen Reaktionszeiten.

Resilienztests

Finanzunternehmen brauchen ein Testprogramm für ihre IKT-Systeme. Unternehmen, die von der Aufsicht dafür benannt werden, müssen zusätzlich bedrohungsgeleitete Penetrationstests durchführen. Diese lehnen sich an das TIBER-EU-Rahmenwerk der Europäischen Zentralbank an und finden in einem mehrjährigen Turnus statt. Betreibt ein Dienstleister die getesteten Systeme, wird er in diese Tests einbezogen. Das gehört in die Vertragsgestaltung, nicht in die Improvisation im Testfenster.

Was heißt das für deine Verträge?

Für IT-Dienstleister kommt DORA fast vollständig über den Vertrag an, denn die Verordnung schreibt Finanzunternehmen vor, welche Punkte eine Vereinbarung über IKT-Dienstleistungen mindestens regeln muss. Verhandelbar ist die Formulierung, nicht das Vorhandensein.

Regelmäßig verlangt werden:

• Klare Leistungsbeschreibung mit messbaren Service Levels statt allgemeiner Verfügbarkeitszusagen.
• Orte der Datenverarbeitung und Datenspeicherung, benannt und bei Änderung anzeigepflichtig.
• Zugangs-, Einsichts- und Prüfrechte für das Finanzunternehmen und für die zuständige Aufsicht, einschließlich Vor-Ort-Prüfungen.
• Regeln zur Unterauftragsvergabe, insbesondere bei Leistungen, die kritische oder wichtige Funktionen unterstützen.
• Unterstützung bei IKT-Vorfällen, mit definierten Informations- und Reaktionspflichten.
• Kündigungsrechte und Ausstiegsstrategie, inklusive geordneter Datenrückgabe und Übergangsunterstützung.

Dazu kommt das Informationsregister. Finanzunternehmen müssen sämtliche Vertragsbeziehungen über IKT-Dienstleistungen strukturiert erfassen und der Aufsicht in einem vorgegebenen Format melden. Das erzeugt bei Dienstleistern regelmäßige Datenanfragen zu Rechtsträgern, Kennungen, Leistungsarten und Unterauftragnehmern. Welche Felder genau verlangt sind, legt der einschlägige Durchführungsstandard fest, und er wurde seit 2025 bereits angepasst. Wer die Angaben einmal sauber aufbereitet hat, spart sich diese Arbeit in jeder Vertragsverlängerung.

Ein praktischer Hinweis zur Unterscheidung: DORA behandelt Leistungen, die "kritische oder wichtige Funktionen" des Finanzunternehmens unterstützen, deutlich strenger als sonstige IT-Leistungen. Diese Einstufung trifft der Kunde, nicht der Anbieter. Sie bestimmt aber, wie hart die Anforderungen an dich ausfallen. Es lohnt sich, sie früh im Gespräch zu klären.

Welche Fristen gelten?

Die DORA-Verordnung gilt seit dem 17. Januar 2025 in vollem Umfang. Es gibt keine allgemeine Übergangsfrist mehr, in der Anforderungen nur teilweise anzuwenden wären.

Laufend hinzu kommen Änderungen an den technischen Standards. Diese Ebene bewegt sich schneller als der Verordnungstext, und genau dort stehen die operativ relevanten Details. Ein Verweis auf "DORA" im Vertrag ohne Blick auf die aktuellen Standards greift zu kurz.

Was passiert bei Verstößen?

Bei Verstößen gegen DORA trifft die Sanktion zuerst das Finanzunternehmen, nicht seinen IT-Dienstleister: Die Mitgliedstaaten legen die Sanktionsrahmen fest, in Deutschland setzt die BaFin sie durch, von aufsichtlichen Anordnungen bis zu Bußgeldern.

Für Dienstleister sieht es je nach Rolle unterschiedlich aus:

• Normale IKT-Drittdienstleister werden nicht direkt sanktioniert. Das Risiko ist vertraglich und kommerziell: Kündigungsrechte, Haftung, das Herausfallen aus Ausschreibungen, wenn die geforderten Nachweise fehlen.
• Kritische IKT-Drittdienstleister stehen unter direkter Überwachung. Folgt ein Anbieter den Empfehlungen der federführenden Behörde nicht, sieht die Verordnung Zwangsgelder vor, deren Höhe sich an einem Prozentsatz des durchschnittlichen weltweiten Tagesumsatzes bemisst. Die genaue Bemessung und Höchstdauer stehen im Verordnungstext und sollten dort nachgelesen werden.

Die schärfste Konsequenz ist keine Geldzahlung. Die Aufsicht kann Finanzunternehmen aufgeben, die Nutzung eines kritischen Anbieters auszusetzen oder das Vertragsverhältnis zu beenden. Für einen Anbieter ist der Verlust der Nutzbarkeit das größere Risiko als jedes Bußgeld.

Dies ist eine Einordnung, keine Rechtsberatung. Ob und in welchem Umfang DORA auf dein Unternehmen oder deinen Vertrag anzuwenden ist, gehört mit juristischer Begleitung geklärt.

Wie verhält sich DORA zu NIS2, ISO 27001 und BSI C5?

DORA ist für den Finanzsektor der sektorspezifische Rechtsakt und geht insoweit der NIS2-Richtlinie vor, während ISO/IEC 27001 und BSI C5 freiwillige Nachweise sind, die Teile der DORA-Anforderungen belegen, sie aber nicht ersetzen.

Die NIS2-Richtlinie sieht selbst vor, dass sektorspezifische Unionsrechtsakte mit mindestens gleichwertigen Anforderungen Vorrang haben. Für Finanzunternehmen übernimmt DORA diese Rolle. Ein Cloud-Anbieter kann trotzdem parallel unter NIS2 fallen, wenn er nach den nationalen Umsetzungsgesetzen selbst als wichtige oder besonders wichtige Einrichtung gilt. Die beiden Regelwerke schließen sich für Dienstleister also nicht aus.

Praktisch heißt das: Ein Zertifikat macht niemanden DORA-konform. Es senkt aber den Aufwand erheblich, weil Governance, Risikoprozess, Zugriffskontrolle, Notfallmanagement und Lieferantensteuerung bereits dokumentiert und geprüft vorliegen. Genau diese Nachweise fragen Finanzunternehmen in ihren Lieferantenprüfungen ab. centron hält ein BSI-C5:2020-Testat vom Typ 1 (uneingeschränkt, für ccloud³ und Managed Cloud) sowie Zertifizierungen nach ISO/IEC 27001, ISO 9001 und ISO 14001.

Wo stehen die verbindlichen Angaben?

Maßgeblich ist der Text der Verordnung (EU) 2022/2554 in der geltenden Fassung, abrufbar über EUR-Lex, zusammen mit den delegierten Verordnungen sowie den technischen Regulierungs- und Durchführungsstandards. Diese veröffentlichen die europäischen Aufsichtsbehörden EBA, EIOPA und ESMA, verbindlich werden sie mit der Veröffentlichung im Amtsblatt der EU.

Für die deutsche Aufsichtspraxis, etwa Meldewege und Einreichung des Informationsregisters, ist die BaFin die richtige Quelle. Zum Rahmenwerk für bedrohungsgeleitete Tests informiert die Europäische Zentralbank unter dem Stichwort TIBER-EU.

Wenn du deine eigene Nachweislage sortieren willst, findest du die Unterlagen, die centron bereitstellt, im Trust Center.

Weitere Compliance-Themen

• BSI C5: Testat, Typ 1 und Typ 2 verstehen
• CLOUD Act: Auswirkungen auf deutsche Unternehmen
• ISO 27001: Anforderungen, Ablauf und Aufwand
• NIS2: Wer ist betroffen und was ist zu tun?