DORA: Anforderungen und Umsetzung für Finanzinstitute
Der Digital Operational Resilience Act (DORA) stellt Finanzunternehmen vor neue regulatorische Anforderungen. Wir unterstützen Banken, Sparkassen, Versicherungen und weitere Finanzinstitute bei der Umsetzung, Prüfung und nachhaltigen Verankerung der DORA-Vorgaben.
- Prüfung Ihres aktuellen DORA-Umsetzungsstands
- Identifikation regulatorischer Handlungsfelder
- Praxisnahe und prüfungssichere Umsetzung
- Unterstützung bei Resilienztests und BCM
Digitale Resilienz im Finanzsektor
Der Digital Operational Resilience Act (DORA) schafft erstmals einen einheitlichen europäischen Rechtsrahmen für den Umgang mit Cyberbedrohungen, digitalen Störungen und IKT-Ausfällen im Finanzsektor. Ziel der Verordnung ist es, die digitale Widerstandsfähigkeit von Finanzunternehmen zu stärken und einheitliche Anforderungen an das Management von IKT-Risiken festzulegen.
Auf dieser Seite erfahren Sie, welche Unternehmen von DORA betroffen sind, welche Anforderungen sich daraus ergeben und wie Finanzinstitute die regulatorischen Vorgaben effizient umsetzen können.
Was ist DORA?
DORA (Digital Operational Resilience Act) ist die europäische Verordnung zur digitalen operationalen Resilienz von Finanzunternehmen. Die Verordnung definiert Anforderungen an den Umgang mit Informations- und Kommunikationstechnologie (IKT), digitalen Störungen sowie Cyberbedrohungen. DORA stärkt somit die digitale Betriebsstabilität des europäischen Finanzsystems.
Die Verordnung (EU) 2022/2554 trat im Januar 2023 in Kraft und ist seit dem 17. Januar 2025 anzuwenden.
Sie möchten mehr über den regulatorischen Hintergrund erfahren?
Die wichtigsten Fakten zu DORA:
- EU-Verordnung zur digitalen operationalen Resilienz
- Seit dem 17. Januar 2025 anwendbar
- Betrifft Banken, Versicherungen und weitere Finanzunternehmen
- Anforderungen an IKT-Risikomanagement, Vorfallmanagement, Resilienztests und IKT-Drittparteienrisikomanagement
- Ziel ist die Stärkung der Widerstandsfähigkeit gegenüber digitalen Störungen, Cyberangriffen und IT-Ausfällen
Welche Unternehmen sind von DORA betroffen?
DORA gilt kraft Verordnung unmittelbar für eine Vielzahl von Unternehmen: Dazu gehören insbesondere:
- Sparkassen
- Genossenschaftsbanken
- Privatbanken
- Versicherungsunternehmen
- Wertpapierfirmen
- Ratingagenturen
- weitere regulierte Finanzunternehmen gemäß DORA
Durch das Finanzmarktdigitalisierungsgesetz (FinmadiG) und entsprechende Anpassungen im Kreditwesengesetz (KWG) wurde der Geltungsbereich in Deutschland zusätzlich konkretisiert und erweitert.
Weiterführende Informationen:
Welche Anforderungen stellt DORA?
IKT-Risikomanagement
Identifikation, Bewertung und Steuerung von Risiken innerhalb der Informations- und Kommunikationstechnologie, um die Sicherheit und Stabilität kritischer Systeme zu gewährleisten.
Digitale Resilienztests
Regelmäßige Überprüfung der Widerstandsfähigkeit von Systemen und Prozessen durch geeignete Test- und Prüfverfahren zur Sicherstellung der digitalen Resilienz.
IKT-Drittparteienrisikomanagement
Steuerung und Überwachung von Risiken, die durch IKT-Dienstleister, wie z.B. Cloud-Anbieter oder andere externe Partner innerhalb der Lieferkette entstehen.
Management von IKT-Vorfällen
Erfassung, Bewertung und Behandlung von Sicherheits- und IKT-Vorfällen sowie die Einhaltung aufsichtsrechtlicher Meldepflichten und Dokumentationsanforderungen.
Business Continuity Management
Sicherstellung der Fortführung kritischer Geschäftsprozesse bei Ausfällen, Krisen oder Cybervorfällen durch geeignete Notfall- und Wiederanlaufkonzepte.
Governance und Verantwortlichkeiten
Klare Zuständigkeiten, angemessene Kontrollmechanismen und die aktive Einbindung der Leitungsorgane in das Management digitaler Risiken.
Erweiterter DORA-Anwendungsbereich durch FinmadiG und KWG zum 01.01.2027
Mit dem Finanzmarktdigitalisierungsgesetz (FinmadiG) und den daraus resultierenden Anpassungen des Kreditwesengesetzes (KWG) wurde der Geltungsbereich von DORA in Deutschland weiter konkretisiert und erweitert.
An bestimmte nach dem KWG regulierte Finanzunternehmen, die nicht unmittelbar in den Geltungsbereich von DORA fallen, werden somit zumindest vereinfachte Anforderungen gestellt. Die Umsetzungsfrist für diese Anforderungen endet bereits am 31.12.2026.
Betroffen sind insbesondere:
- Bürgschaftsbanken
- Drittstaatenzweigstellen
- Finanzdienstleistungsinstitute
- Finanzierungsleasing- und Factoring-Unternehmen
- Wohnungsbauunternehmen mit Spareinrichtung
- Zweigstellen nach § 53 KWG
Für betroffene Institute empfiehlt sich daher eine zeitnahe Überprüfung des aktuellen Umsetzungsstands und möglicher Handlungsfelder.
DORA-Anforderungen für KWG-Institute im Überblick
Informationen für Finanzierungsleasing- und Factoring-Unternehmen
Unsere DORA-Leistungen auf einen Blick:
Unsere Services helfen Ihnen, regulatorische Anforderungen wie DORA effizient umzusetzen und Ihre digitale Resilienz zu stärken. Von umfassenden Prüfungen über kompakte Lösungen bis hin zu Testprogrammen und revisionssicheren Arbeitsanweisungen – wir machen Sie fit für jede Herausforderung.
DORA Check360
Mit DORA Check360 stellen Sie sicher, dass Ihr Institut die Anforderungen des Digital Operational Resilience Act (DORA) erfüllt. Wir prüfen Ihre umgesetzten Maßnahmen anhand einer detaillierten Checkliste und bewerten den aktuellen Umsetzungsstand. Dabei identifizieren wir mögliche Lücken und geben Ihnen klare Handlungsempfehlungen.
So minimieren Sie das Risiko von Beanstandungen in Prüfungen und stärken nachhaltig die digitale Widerstandsfähigkeit Ihres Instituts. Unser Ansatz sorgt für Transparenz und Sicherheit – damit Sie regulatorische Anforderungen nicht nur erfüllen, sondern auch effizient umsetzen.
DORA Check Compact360
Nicht jedes Institut benötigt denselben Aufwand für die DORA-Compliance. Unsere kompakte Lösung richtet sich speziell an kleinere Finanzinstitute mit überschaubarer IKT-Struktur. Mit einem gezielten Prüfkatalog von rund 100 Fragen überprüfen wir Ihre Umsetzung strukturiert und prüfungssicher.
Profitieren Sie von unserer Erfahrung aus zahlreichen Projekten und erhalten eine effiziente Lösung, die Aufwand reduziert und Ihre Resilienz erhöht. So sind Sie optimal vorbereitet, ohne unnötige Ressourcen zu binden.
DORA Quick Check360
DORA Quick Check360 bietet eine workshopbasierte, pragmatische Ersteinschätzung Ihrer DORA‑Compliance. In themenbezogenen Fachgesprächen identifizieren wir gemeinsam mit Ihren Experten und Expertinnen kritische Handlungsfelder, Umsetzungsrisiken und Optimierungspotenziale - effizient, fokussiert und prüfungsnah.
Der Quick Check eignet sich insbesondere als Einstieg, Standortbestimmung, Management‑Decision‑Support oder Vorbereitung auf weiterführende Prüfungen.
DORA-Kompass für Leasing- und Factoringgesellschaften
Sind Sie auf die DORA-Anforderungen vorbereitet? Unser DORA-Kompass liefert Ihnen eine fundierte Standortbestimmung, zeigt Compliance-Lücken auf und schafft einen klaren Fahrplan für die fristgerechte und aufsichtskonforme Umsetzung. Praxisnah, effizient und speziell auf Leasing- und Factoringgesellschaften zugeschnitten.
Testprogramm360
Ein robustes Testprogramm ist entscheidend für digitale Resilienz und regulatorische Sicherheit. Mit Testprogramm360 entwickeln oder optimieren wir Ihr Prüfkonzept auf Basis eines bewährten Frameworks, zugeschnitten auf Ihre Systeme und Risiken.
Wir schaffen ein wartungsfähiges, aufsichtskonformes Programm mit klaren Prioritäten und messbaren Werten. So sind Sie nicht nur prüfungssicher, sondern erzielen echten operativen Nutzen und stärken Ihre Widerstandsfähigkeit langfristig.
AAWs Check360
Sind Ihre Arbeitsanweisungen wirklich revisionssicher und optimal auf Ihr Institut zugeschnitten? Mit AAWs Check360 prüfen und überarbeiten wir Ihre Vorgaben, damit sie klar, aktuell und prüfungssicher sind.
Wir helfen, Stolperfallen frühzeitig zu erkennen und zu beseitigen, schaffen klare Zuständigkeiten und sichere Prüfpfade. So vermeiden Sie Beanstandungen und sorgen für eine verlässliche Grundlage Ihrer Prozesse.
Fragen zu DORA? Wir unterstützen Sie gerne.
Von der ersten Einschätzung bis zur nachhaltigen Umsetzung der DORA-Anforderungen begleiten wir Finanzinstitute mit praxiserprobten Prüfungs- und Beratungsansätzen.
Tobias Grollmann
Director | Wirtschaftsprüfer
Ansprechpartner für alle IT-Themen im Financial Services
+49 1733 0904 54
FAQ zu DORA
DORA (Digital Operational Resilience Act) ist die europäische Verordnung zur digitalen operationalen Resilienz von Finanzunternehmen. Ziel ist es, die Widerstandsfähigkeit gegenüber Cyberbedrohungen, IKT-bezogenen Störungen und IKT-Ausfällen zu stärken und einheitliche Anforderungen innerhalb des europäischen Finanzsektors zu schaffen.
Die Verordnung (EU) 2022/2554 trat im Januar 2023 in Kraft und ist seit dem 17. Januar 2025 anwendbar.
IKT steht für Informations- und Kommunikationstechnologie. Darunter fallen unter anderem IT-Systeme, Anwendungen, Netzwerke, Datenverarbeitungssysteme sowie digitale Dienstleistungen, die für die Geschäftstätigkeit eines Finanzunternehmens relevant sind.
Ja. Sparkassen, Genossenschaftsbanken und andere CRR-Kreditinstitute fallen unmittelbar in den Anwendungsbereich der DORA-Verordnung und müssen die Anforderungen seit dem 17. Januar 2025 umsetzen.
Durch das Finanzmarktdigitalisierungsgesetz (FinmadiG) wurde der Geltungsbereich von DORA in Deutschland weiter konkretisiert und erweitert. So werden beispielsweise Landesförderbanken und bestimmte andere staatliche Einrichtungen im DORA-Kontext CRR-Instituten gleichgestellt. Diese Institute unterliegen damit den vollständigen DORA-Anforderungen.
Ja. Auch bestimmte KWG-Institute, die keine CRR-Kreditinstitute sind und nicht bereits unmittelbar unter DORA fallen, müssen DORA-Anforderungen erfüllen. Für diese Institute gelten teilweise vereinfachte Regelungen, wie z.B. die Umsetzung eines vereinfachten IKT-Risikomanagementrahmens.
Weiterführende Informationen:
Soweit es sich um Finanzinstitute handelt, die nach dem Kreditwesengesetz (KWG) beaufsichtigt werden, müssen Leasing- und Factoringgesellschaften aufgrund des Finanzmarktdigitalisierungsgesetzes (FinmadiG) die für sie geltenden, erleichterten Anforderungen aus DORA umsetzen. Dies betrifft insbesondere Finanzierungsleasinggesellschaften.
Für reine Miet- oder Leasinggesellschaften ohne aufsichtsrechtlichen Status als Finanzinstitut ist DORA hingegen grundsätzlich nicht relevant.
Die konkrete aufsichtsrechtliche Einordnung hängt jedoch stets von den individuellen Rahmenbedingungen, der Ausgestaltung des Geschäftsmodells sowie dem jeweiligen Status des Unternehmens ab. Daher ist eine Einzelfallprüfung erforderlich.
Weiterführende Informationen:
Informationen für Finanzierungsleasing- und Factoring-Unternehmen
Für die Umsetzung der vereinfachten Anforderungen gilt eine Frist bis zum 31. Dezember 2026. Die Anforderungen zur Behandlung, Klassifizierung und Meldung IKT-bezogener Vorfälle gelten jedoch bereits seit dem 17. Januar 2025.
Institute, die aufgrund des FinmadiG von Erleichterungen profitieren, müssen die Anforderungen an das IKT-Drittparteienrisikomanagement nur teilweise umsetzen, sofern sie unter die Schwelle für Kleinstunternehmen fallen.
Für nach dem KWG bestimmte Institute, die keine CRR-Institute sind und nicht unmittelbar unter DORA fallen, entfällt die Verpflichtung zur Durchführung von Threat-Led Penetration Tests (TLPT).
Von den vereinfachten Anforderungen können insbesondere folgende Institutsgruppen unter bestimmten Vorraussetzungen betroffen sein:
- Bürgschaftsbanken
- Drittstaatenzweigstellen
- Finanzdienstleistungsinstitute
- Leasing- und Factoringgesellschaften
- Wohnungsbauunternehmen mit Spareinrichtung
- Zweigstellen nach § 53 KWG
Für diese Institute gelten je nach Einzelfall Erleichterungen bei einzelnen DORA-Vorgaben