DORA-Verordnung: Pflichten für Finanzunternehmen

Q: Was bedeutet die DORA-Verordnung für Finanzunternehmen in Spanien?

Die DORA-Verordnung ist die Verordnung (EU) 2022/2554, auf Englisch Digital Operational Resilience Act . Sie soll gewährleisten, dass Finanzunternehmen ihre wesentlichen Leistungen auch bei Cyberangriffen, Systemausfällen, Datenverlusten oder Störungen eines Technologieanbieters fortführen und geordnet wiederherstellen können.

Die Verordnung über die digitale operationale Resilienz im Finanzsektor, kurz DORA, macht den sicheren Umgang mit Informations- und Kommunikationstechnologie zu einer Aufgabe der Unternehmensleitung. Seit dem 17. Januar 2025 gelten ihre Anforderungen unmittelbar für zahlreiche regulierte Finanzunternehmen in der Europäischen Union. Im Mittelpunkt stehen Vorsorge, belastbare Abläufe bei Störungen, Tests und die Kontrolle externer IKT-Dienstleister.

Was bedeutet die DORA-Verordnung für Finanzunternehmen in Spanien?

Die DORA-Verordnung ist die Verordnung (EU) 2022/2554, auf Englisch Digital Operational Resilience Act. Sie soll gewährleisten, dass Finanzunternehmen ihre wesentlichen Leistungen auch bei Cyberangriffen, Systemausfällen, Datenverlusten oder Störungen eines Technologieanbieters fortführen und geordnet wiederherstellen können.

Die spanische Wertpapieraufsicht Comisión Nacional del Mercado de Valores, kurz CNMV, fasst den Regelungsrahmen in fünf Säulen zusammen:

Management von IKT-Risiken,
Behandlung und Meldung IKT-bezogener Vorfälle,
Tests der digitalen operationalen Resilienz,
Steuerung des Risikos durch IKT-Drittdienstleister und
freiwilliger Austausch von Informationen über Cyberbedrohungen.

DORA gilt verhältnismäßig. Größe, Gesamtrisikoprofil sowie Art, Umfang und Komplexität der Tätigkeiten beeinflussen die konkrete Ausgestaltung. Der Grundsatz der Verhältnismäßigkeit ist jedoch keine allgemeine Befreiung; vereinfachte Anforderungen und Ausnahmen greifen nur dort, wo die Verordnung sie vorsieht.

Welche Unternehmen fallen in den DORA-Anwendungsbereich?

Erfasst werden zahlreiche regulierte Finanzunternehmen. Dazu gehören unter anderem Kredit-, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Versicherer, bestimmte Fondsverwalter, Finanzmarktinfrastrukturen und nach MiCA zugelassene Kryptowerte-Dienstleister. Maßgeblich sind die konkrete Tätigkeit und Zulassung sowie die vollständige Liste und die Ausnahmen in Artikel 2 der Verordnung.

Für ein reguliertes Finanzunternehmen mit Sitz oder Tätigkeit auf Mallorca gilt die DORA-Verordnung in Spanien nach denselben unionsrechtlichen Vorgaben wie auf dem Festland. Eine eigene DORA-Sonderregel für Mallorca besteht nicht; für Aufsicht und Meldung kommt es auf den Unternehmenstyp an.

Unterliegen Technologieanbieter DORA unmittelbar?

Nicht jeder Anbieter von Cloud-, Software- oder Beratungsleistungen an den Finanzsektor wird allein dadurch zum DORA-Finanzunternehmen. Viele Anbieter werden vor allem über die Prüf-, Vertrags- und Kontrollpflichten ihrer Finanzkunden einbezogen. Eine besondere europäische Aufsicht gilt für förmlich als kritisch bezeichnete IKT-Drittdienstleister. Am 18. November 2025 wurden 19 Anbieter als kritisch benannt; die Liste wird jährlich aktualisiert.

Wer trägt die Verantwortung für das IKT-Risikomanagement?

Das Leitungsorgan trägt die Letztverantwortung. Es muss den IKT-Risikomanagementrahmen genehmigen, überwachen und durch regelmäßige spezifische Schulungen über ausreichende Kenntnisse verfügen. Aufgaben können intern verteilt oder an Dienstleister vergeben werden, die regulatorische Gesamtverantwortung bleibt jedoch beim Finanzunternehmen.

Der Rahmen muss umfassend, dokumentiert und belastbar sein. Dazu gehören Strategien, Richtlinien, Verfahren, Protokolle und Werkzeuge für den Schutz von Informationen und IKT-Systemen. Die Überprüfung erfolgt mindestens jährlich und zusätzlich nach schwerwiegenden IKT-bezogenen Vorfällen. Für bestimmte Kleinstunternehmen und Unternehmen mit vereinfachtem Rahmen gelten abweichende Vorgaben.

Zur Vorsorge gehören außerdem eine IKT-Geschäftsfortführungsleitlinie sowie Reaktions-, Wiederherstellungs-, Sicherungs- und Wiederanlaufverfahren. Die gewählten Wiederanlauf- und Wiederherstellungsziele müssen zur Bedeutung der betroffenen Funktionen passen und regelmäßig getestet werden.

Wann wird ein IKT-Vorfall meldepflichtig?

Finanzunternehmen müssen IKT-bezogene Vorfälle erfassen und klassifizieren. Ein technischer Fehler ist nicht automatisch ein schwerwiegender und meldepflichtiger DORA-Vorfall. Bei der Einstufung zählen unter anderem betroffene Kunden und Gegenparteien, Dauer und Ausfallzeit, geografische Ausbreitung, Datenverluste, die Kritikalität betroffener Dienste sowie wirtschaftliche Auswirkungen. Die Delegierte Verordnung (EU) 2024/1772 enthält dazu Schwellen und Kombinationsregeln.

Erst nach der Einordnung als schwerwiegender IKT-bezogener Vorfall greifen die verbindlichen Meldefristen. Bedeutende Cyberbedrohungen können dagegen freiwillig gemeldet werden.

Meldestufe	Frist
Erstmeldung	So früh wie möglich, spätestens vier Stunden nach Einstufung und höchstens 24 Stunden nach Kenntnis
Zwischenbericht	Spätestens 72 Stunden nach der Erstmeldung
Abschlussbericht	Spätestens einen Monat nach dem Zwischenbericht oder dessen letzter Aktualisierung

Wird ein Vorfall erst nach Ablauf der ersten 24 Stunden als schwerwiegend eingestuft, beginnt die Vierstundenfrist mit dieser späteren Einstufung. Deshalb braucht das Unternehmen einen klaren Prozess, der technische Erkenntnisse zügig in die regulatorische Klassifizierung überführt. Der Zwischenbericht ist auch dann fällig, wenn sich Lage oder Bewältigung nicht verändert haben; bei Wiederaufnahme des regulären Betriebs ist ohne unangemessene Verzögerung ein aktualisierter Zwischenbericht einzureichen. Kann eine Frist nicht eingehalten werden, muss dies der Aufsicht spätestens bis zum jeweiligen Fristende mit Begründung mitgeteilt werden.

Fällt ein Fristende auf ein Wochenende oder einen Feiertag im Mitgliedstaat des meldenden Unternehmens, erlaubt Artikel 5 Absatz 4 der Delegierten Verordnung (EU) 2025/301 grundsätzlich die Abgabe vor Mittag des nächsten Werktags. Für Erst- und Zwischenmeldungen gilt diese Erleichterung jedoch nicht für Kreditinstitute, zentrale Gegenparteien, Handelsplatzbetreiber und als wesentlich oder wichtig nach NIS-2 eingestufte Finanzunternehmen. Die Aufsicht kann sie für weitere bedeutende oder systemrelevante Finanzunternehmen ausschließen; diese Einschränkungen betreffen nicht die Abschlussmeldung.

Welche Resilienztests verlangt DORA?

Finanzunternehmen, die keine Kleinstunternehmen sind, benötigen nach Artikel 24 ein umfassendes risikobasiertes Testprogramm. Kleinstunternehmen müssen nach Artikel 25 Absatz 3 ebenfalls angemessene Tests vornehmen, verbinden dabei aber einen risikobasierten Ansatz mit einer an Ressourcen, Dringlichkeit und Kritikalität ausgerichteten Testplanung. Außer Kleinstunternehmen müssen Finanzunternehmen alle IKT-Systeme und Anwendungen, die kritische oder wichtige Funktionen unterstützen, mindestens jährlich angemessen testen. Je nach Risiko kommen Schwachstellenbewertungen, Open-Source-Analysen, Netzwerksicherheitsbewertungen, Szenario- und Kompatibilitätstests, End-to-End-Tests oder Penetrationstests in Betracht. Daneben verlangt Artikel 11 Absatz 6 mindestens jährliche Tests der IKT-Geschäftsfortführungs-, Reaktions- und Wiederherstellungspläne; diese Vorschrift enthält keine allgemeine Ausnahme für Kleinstunternehmen. Abweichende Vorgaben des vereinfachten Rahmens nach Artikel 16 bleiben vorbehalten.

Davon zu unterscheiden ist der bedrohungsbasierte Penetrationstest, auf Englisch threat-led penetration testing oder TLPT. Nur Finanzunternehmen, die von ihrer zuständigen Behörde bestimmt wurden, müssen einen solchen Test durchführen. Grundsätzlich ist ein TLPT mindestens alle drei Jahre durchzuführen; die zuständige Behörde kann diese Frequenz risikobasiert vermindern oder erhöhen. Die Drei-Jahres-Angabe ist daher keine allgemeine Testfrequenz für alle DORA-Unternehmen.

Welche Pflichten gelten bei IKT-Drittdienstleistern?

Die Auslagerung einer IKT-Leistung entbindet das Finanzunternehmen nicht von seinen Pflichten. Vor Vertragsschluss sind insbesondere die Kritikalität der unterstützten Funktion, sämtliche relevanten Risiken, die Eignung des Anbieters nach eigener Sorgfaltsprüfung, Interessenkonflikte und Konzentrationsrisiken zu beurteilen. Unterstützt der Dienst eine kritische oder wichtige Funktion, ist außerdem eine dokumentierte Ausstiegsstrategie erforderlich.

IKT-Verträge müssen schriftlich und dauerhaft zugänglich sein. Zu den Mindestinhalten zählen insbesondere Leistungsbeschreibung und Leistungsorte, Datenschutz, Datenrückgabe, Unterstützung bei Vorfällen, Zusammenarbeit mit der Aufsicht und Kündigungsrechte. Für kritische oder wichtige Funktionen gelten zusätzliche Anforderungen an Leistungsniveaus, Prüfung, Audit und Ausstieg.

Was gehört in das Informationsregister?

Finanzunternehmen müssen auf Einzel-, teilkonsolidierter und konsolidierter Ebene ein Informationsregister über sämtliche vertraglichen Vereinbarungen zur Nutzung von IKT-Diensten führen. Es beschränkt sich nicht auf kritische Anbieter. Die Aufsicht kann das vollständige Register oder Teile davon anfordern.

Wie werden Vorfälle nach der DORA-Verordnung in Spanien gemeldet?

Der richtige Meldeweg richtet sich nach dem Finanzsektor und der bestehenden Aufsichtszuordnung. Die CNMV stellt Informationen und Verfahren für die von ihr beaufsichtigten Unternehmen bereit. Der Banco de España nutzt seit dem 27. Februar 2025 eigene DORA-Verfahren für die von ihm beaufsichtigten Kredit-, Zahlungs- und E-Geld-Unternehmen sowie Kontoinformationsdienste. Für den Aufsichtsbereich der Dirección General de Seguros y Fondos de Pensiones (DGSFP) besteht ein eigener Vorfallmeldeweg. Bedeutende Kreditinstitute melden nach Artikel 19 Absatz 1 DORA an die zuständige nationale Behörde, die den Bericht unverzüglich an die Europäische Zentralbank weiterleitet.

Der Sitz des Unternehmens allein bestimmt das Portal nicht. Vor einer Meldung ist deshalb zu klären, welche Behörde für den konkreten Unternehmenstyp zuständig ist. Ein belastbarer interner Ablauf verbindet Vorfallerkennung, Klassifizierung, Eskalation an die Unternehmensleitung, fristgerechte Meldung und fortlaufende Dokumentation.

Dürfen Finanzunternehmen Informationen über Cyberbedrohungen austauschen?

DORA erlaubt einen freiwilligen Informationsaustausch in vertrauenswürdigen Gemeinschaften. Dabei müssen Geschäftsgeheimnisse, personenbezogene Daten und Wettbewerbsregeln geschützt werden. Die Teilnahme und auch deren Ende sind der zuständigen Behörde mitzuteilen.

Häufige Fragen (FAQ)

Gilt DORA nur für Banken?

Nein. Der Anwendungsbereich umfasst zahlreiche regulierte Finanzunternehmen, darunter auch Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Versicherer, bestimmte Fondsverwalter, Marktinfrastrukturen und zugelassene Kryptowerte-Dienstleister. Die konkrete Einordnung richtet sich nach Tätigkeit, Zulassung und den Ausnahmen der Verordnung.

Ist jeder Systemausfall innerhalb von 24 Stunden zu melden?

Nein. Zuerst ist der Vorfall nach den DORA-Kriterien und Schwellen zu klassifizieren. Die Meldefristen gelten für schwerwiegende IKT-bezogene Vorfälle; bedeutende Cyberbedrohungen können freiwillig gemeldet werden.

Muss jedes DORA-Unternehmen alle drei Jahre einen TLPT durchführen?

Nein. Bedrohungsbasierte Penetrationstests betreffen nur Finanzunternehmen, die von der zuständigen Behörde bestimmt werden. Für andere als Kleinstunternehmen besteht daneben das allgemeine risikobasierte Testprogramm mit angemessenen jährlichen Tests der Systeme, die kritische oder wichtige Funktionen unterstützen. Kleinstunternehmen bleiben zu den risikobasiert geplanten Tests nach Artikel 25 Absatz 3 verpflichtet. Die gesonderten Planprüfpflichten nach Artikel 11 Absatz 6 beziehungsweise die Vorgaben des vereinfachten Rahmens bleiben unberührt.

Kann ein Finanzunternehmen die DORA-Verantwortung an einen Cloud-Anbieter übertragen?

Nein. Ein Dienstleister kann Aufgaben übernehmen, doch das Finanzunternehmen bleibt für die Einhaltung der Verordnung verantwortlich. Es muss Risiken vor Vertragsschluss beurteilen, passende Vertragsrechte sichern, den Anbieter überwachen und bei kritischen oder wichtigen Funktionen einen geordneten Ausstieg vorbereiten.

Welche spanische Behörde erhält die Vorfallsmeldung?

Das hängt vom Unternehmenstyp und seiner Aufsichtszuordnung ab. Für ihren jeweiligen Bereich stellen CNMV, Banco de España und DGSFP eigene Informationen und Meldewege bereit; bei bedeutenden Kreditinstituten leitet die nationale Behörde die Meldung unverzüglich an die EZB weiter. Der Unternehmenssitz ist nicht das alleinige Zuordnungskriterium.