Kurzdefinition: Die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (DORA) bestimmt in Artikel 2 ihren Anwendungsbereich. Erfasst sind zwanzig Arten von Finanzunternehmen — von Kreditinstituten über Wertpapierfirmen bis zu Versicherungs- und Rückversicherungsunternehmen — sowie IKT-Drittdienstleister für die einschlägigen Drittparteien- und Überwachungsregeln. Für bestimmte kleine Akteure gelten Ausnahmen. DORA wird seit dem 17. Januar 2025 angewendet. [N-DORA-2]
Der Normwortlaut
Art. 2 Abs. 1 DORA bestimmt: „Unbeschadet der Absätze 3 und 4 gilt diese Verordnung für folgende Unternehmen“ — und zählt in den Buchstaben a bis u unter anderem Kreditinstitute, Zahlungsinstitute, E-Geld-Institute, Wertpapierfirmen, Anbieter von Krypto-Dienstleistungen, Zentralverwahrer, Handelsplätze, Verwalter alternativer Investmentfonds, Versicherungs- und Rückversicherungsunternehmen, Versicherungsvermittler, Einrichtungen der betrieblichen Altersversorgung sowie IKT-Drittdienstleister auf. Nach Absatz 2 werden die in Absatz 1 Buchstaben a bis t genannten Unternehmen zusammen als „Finanzunternehmen“ bezeichnet. [N-DORA-2]
Wer fällt unter die DORA?
Finanzunternehmen und ihre IKT-Dienstleister. Art. 2 Abs. 1 DORA listet zwanzig Arten von Finanzunternehmen (Buchstaben a bis t) und erfasst zusätzlich IKT-Drittdienstleister (Buchstabe u). Die Regulierung reicht damit von der Bank über die Wertpapierfirma bis zum Versicherer und dessen Cloud-Anbieter. [N-DORA-2]
Gilt die DORA auch für kleine Unternehmen?
Grundsätzlich ja, mit Ausnahmen. Art. 2 Abs. 3 DORA nimmt bestimmte kleine Akteure aus — etwa Einrichtungen der betrieblichen Altersversorgung mit weniger als 15 Versorgungsanwärtern sowie Versicherungsvermittler, die Kleinst-, kleine oder mittlere Unternehmen sind. Für erfasste kleine Unternehmen mildert zudem der Grundsatz der Verhältnismäßigkeit (Art. 4 DORA) die Anforderungen. [N-DORA-2]
Seit wann gilt die DORA?
Seit dem 17. Januar 2025. Die DORA trat am 17. Januar 2023 in Kraft und wird seit dem 17. Januar 2025 angewendet. In Deutschland flankiert das Finanzmarktdigitalisierungsgesetz (FinmadiG) die Umsetzung. [N-DORA-2]
Was bedeutet die Einbeziehung von IKT-Drittdienstleistern?
Dass auch Zulieferer erfasst sind. Mit Buchstabe u bezieht Art. 2 DORA IKT-Drittdienstleister für die einschlägigen Drittparteien- und Überwachungsregeln ein — unabhängig davon, ob sie gruppenintern oder extern sind. Cloud-, Rechenzentrums- und andere IT-Dienstleister der Finanzbranche geraten damit in den Regelungsrahmen, insbesondere über die Vorschriften zum Drittparteienrisiko. [N-DORA-2] [N-DORA-28]
Wie verhält sich die DORA zur NIS-2-Richtlinie?
Als spezielleres Regime. Für die erfassten Finanzunternehmen ist DORA im geregelten IKT-Resilienzbereich die sektorspezifische Regelung; das Verhältnis zu allgemeinen Vorgaben ist pflichtbezogen zu prüfen. Das deutsche BSIG nimmt Finanzunternehmen, die vorrangigen Aufsichtsregimen unterliegen, entsprechend aus dem Vollzug einzelner Pflichten heraus. [N-DORA-2]
Häufige Fehlannahmen
- „DORA betrifft nur Banken.“ Nein. Art. 2 DORA erfasst zwanzig Arten von Finanzunternehmen, darunter Versicherer, Wertpapierfirmen und Krypto-Dienstleister. [N-DORA-2]
- „IT-Dienstleister sind von DORA nicht betroffen.“ Doch. IKT-Drittdienstleister sind nach Art. 2 Abs. 1 Buchstabe u ausdrücklich erfasst. [N-DORA-2]
- „Kleine Finanzunternehmen sind generell ausgenommen.“ Nein. Nur bestimmte kleine Akteure sind nach Art. 2 Abs. 3 DORA ausgenommen; im Übrigen gilt der Grundsatz der Verhältnismäßigkeit. [N-DORA-2]
- „DORA gilt erst in Zukunft.“ Nein. Sie wird bereits seit dem 17. Januar 2025 angewendet. [N-DORA-2]
- „Neben DORA gilt für Finanzunternehmen zusätzlich das volle NIS-2-Regime.“ Nicht pauschal. Für erfasste Finanzunternehmen ist DORA im IKT-Resilienzbereich die speziellere Regelung; Schnittstellen bleiben pflichtbezogen zu prüfen. [N-DORA-2]
- „Versicherungsvermittler fallen immer unter DORA.“ Nein. Kleinst-, kleine und mittlere Versicherungsvermittler sind nach Art. 2 Abs. 3 DORA ausgenommen. [N-DORA-2]
Was die Geschäftsleitung tun sollte
- Betroffenheit klären. Prüfen, ob das Unternehmen einer der zwanzig Arten in Art. 2 Abs. 1 DORA zuzuordnen ist.
- Ausnahmen prüfen. Die Ausnahmen des Art. 2 Abs. 3 DORA und die Verhältnismäßigkeit nach Art. 4 DORA bewerten.
- IKT-Dienstleister einbeziehen. Die Einbeziehung der Drittdienstleister in die eigene Vertrags- und Risikosteuerung berücksichtigen.
- Regime abgrenzen. Das Verhältnis zu NIS-2/BSIG klären, um Doppelregulierung zu vermeiden.
Für die Geschäftsleitung
DORA ist kein reines Bankenthema, sondern das Cyber-Resilienz-Regime des gesamten EU-Finanzsektors — von der Versicherung bis zum Krypto-Dienstleister. Wer zu den zwanzig Arten in Art. 2 gehört, ist seit Januar 2025 in der Pflicht. Der erste Schritt ist die saubere Einordnung: Betroffenheit, Ausnahmen und das Verhältnis zu NIS-2.
Quellen
- [N-DORA-2] Art. 2 DORA (Verordnung (EU) 2022/2554, Geltungsbereich), Abs. 1 bis 4. Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554
- [N-DORA-28] Art. 28 DORA (IKT-Drittparteienrisiko, Allgemeine Prinzipien). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554
