Zum Inhalt springen
Verordnung (EU) 2022/2554Europäische Union

DORA – digitale Resilienz

DORA ist unmittelbar geltendes EU-Recht zum IKT-Risiko im Finanzsektor. Seit dem 17. Januar 2025 müssen Finanzunternehmen einen vom Leitungsorgan verantworteten IKT-Risikomanagementrahmen betreiben, schwerwiegende IKT-Vorfälle melden, ihre Resilienz testen und IKT-Drittparteienrisiken steuern.

Das Wichtigste

  1. 01
    Gilt ab dem 17. Januar 2025; in allen Teilen verbindlich und unmittelbar in jedem Mitgliedstaat anwendbar, ohne nationale Umsetzung (Artikel 64).
  2. 02
    Fünf Säulen: IKT-Risikomanagement, Behandlung und Meldung IKT-bezogener Vorfälle, Testen der digitalen operationalen Resilienz, IKT-Drittparteienrisiko sowie Vereinbarungen über den Informationsaustausch (Kapitel II bis VI).
  3. 03
    Das Leitungsorgan trägt die letztendliche Verantwortung für das Management der IKT-Risiken des Finanzunternehmens (Artikel 5 Absatz 2 Buchstabe a).
  4. 04
    Schwerwiegende IKT-bezogene Vorfälle: Erstmeldung innert 4 Stunden ab Einstufung als schwerwiegend, spätestens 24 Stunden nach Kenntnis; Zwischenmeldung innert 72 Stunden nach der Erstmeldung; Abschlussmeldung innert eines Monats nach der letzten Zwischenmeldung (Delegierte Verordnung (EU) 2025/301, Artikel 5).
  5. 05
    Die Europäischen Aufsichtsbehörden haben am 18. November 2025 die erste Liste der als kritisch eingestuften IKT-Drittdienstleister veröffentlicht.
  6. 06
    Für Schweizer Bankengruppen wird DORA relevant über in der EU zugelassene Tochtergesellschaften, über IKT-Dienstleistungen für EU-Finanzunternehmen und, nach deutschem Recht, über Zweigstellen in Deutschland, wobei das anwendbare Regime vom Geschäft der Zweigstelle abhängt.
Status
Veröffentlicht im Amtsblatt am 27. Dezember 2022 (ABl. L 333); in Kraft getreten am zwanzigsten Tag nach der Veröffentlichung, anwendbar ab dem 17. Januar 2025 (Artikel 64). Die Fristen für die Meldung schwerwiegender IKT-bezogener Vorfälle legt die Delegierte Verordnung (EU) 2025/301 fest. In Deutschland nennt die Bafin Unternehmen, die durch das FinmadiG der DORA unterworfen wurden, darunter Drittstaatenzweigstellen und Zweigstellen nach § 53 KWG: bis zum 1. Januar 2027 nur Meldepflichten, ab diesem Datum IKT-Risikomanagement nach Artikel 16 DORA; wer das Einlagen- und Kreditgeschäft erbringt, ist CRR-Kreditinstitut und fällt seit dem 17. Januar 2025 unter DORA (Bafin-FAQ, Stand Januar 2025). Die BAIT hebt die Bafin mit Ablauf des 31. Dezember 2026 vollständig auf.

Was verlangt wird

  1. 01
    IKT-Risikomanagementrahmen
    Ein solider, umfassender und gut dokumentierter IKT-Risikomanagementrahmen als Teil des Gesamtrisikomanagementsystems, mindestens einmal jährlich überprüft (Artikel 6 Absätze 1 und 5). Finanzunternehmen, die keine Kleinstunternehmen sind, übertragen das IKT-Risiko einer unabhängigen Kontrollfunktion und trennen IKT-Risikomanagement, Kontrollfunktionen und interne Revision (Artikel 6 Absatz 4).
  2. 02
    Governance und Verantwortung
    Das Leitungsorgan definiert, genehmigt, überwacht und verantwortet den IKT-Risikomanagementrahmen, legt die Strategie für die digitale operationale Resilienz einschliesslich der Toleranzschwelle für das IKT-Risiko fest, genehmigt die IKT-Geschäftsfortführungsleitlinie und die IKT-Revisionspläne und stellt das Budget bereit (Artikel 5 Absatz 2). Seine Mitglieder halten ausreichende Kenntnisse zum IKT-Risiko aktuell, auch durch regelmässige Schulungen (Artikel 5 Absatz 4).
  3. 03
    Vorfallmanagement und Meldung
    Ein Prozess zur Erkennung, Behandlung und Meldung IKT-bezogener Vorfälle (Artikel 17). Schwerwiegende IKT-bezogene Vorfälle werden der zuständigen Behörde als Erstmeldung, Zwischenmeldung und Abschlussmeldung gemeldet (Artikel 19 Absatz 4), innert der Fristen der Delegierten Verordnung (EU) 2025/301.
  4. 04
    Testen der digitalen operationalen Resilienz
    Finanzunternehmen, die keine Kleinstunternehmen sind, unterhalten ein Testprogramm und testen alle IKT-Systeme und -Anwendungen, die kritische oder wichtige Funktionen unterstützen, mindestens einmal jährlich (Artikel 24). Von der zuständigen Behörde nach Artikel 26 Absatz 8 bestimmte Finanzunternehmen führen mindestens alle drei Jahre bedrohungsorientierte Penetrationstests (TLPT) an Live-Produktionssystemen durch (Artikel 26).
  5. 05
    IKT-Drittparteienrisiko
    Das IKT-Drittparteienrisiko wird als Teil des IKT-Risikos gesteuert: ein Informationsregister zu allen vertraglichen Vereinbarungen über IKT-Dienstleistungen, eine Prüfung vor Vertragsabschluss und Ausstiegsstrategien für Dienstleistungen, die kritische oder wichtige Funktionen unterstützen (Artikel 28), sowie zwingende Vertragsbestimmungen in einem einzigen schriftlichen Dokument (Artikel 30).
  6. 06
    Kritische IKT-Drittdienstleister
    Die Europäischen Aufsichtsbehörden stufen IKT-Drittdienstleister als kritisch ein und überwachen sie (Artikel 31). Ein als kritisch eingestufter Dienstleister mit Sitz in einem Drittland darf nur genutzt werden, wenn er innert zwölf Monaten nach der Einstufung ein Tochterunternehmen in der Union gegründet hat (Artikel 31 Absatz 12).

Was es für Verwaltungsrat und Geschäftsleitung bedeutet

  1. 01
    Das Leitungsorgan trägt die letztendliche Verantwortung für das IKT-Risiko und legt die Toleranzschwelle für das IKT-Risiko als Teil der Strategie für die digitale operationale Resilienz fest (Artikel 5 Absatz 2 Buchstaben a und d).
  2. 02
    Das Leitungsorgan braucht Meldekanäle zu IKT-Drittdienstleistungsvereinbarungen, geplanten wesentlichen Änderungen und mindestens zu schwerwiegenden IKT-bezogenen Vorfällen samt Auswirkungen und Massnahmen (Artikel 5 Absatz 2 Buchstabe i).
  3. 03
    Die Mitglieder des Leitungsorgans halten ihre Kenntnisse zum IKT-Risiko durch regelmässige Schulungen aktuell (Artikel 5 Absatz 4); Schulungen zu IKT-Sicherheit und Resilienz sind für alle Beschäftigten und die Geschäftsleitung obligatorisch (Artikel 13 Absatz 6).
  4. 04
    Meldefristen in Stunden verlangen einen vorab festgelegten Einstufungs- und Eskalationsweg; für Kreditinstitute gilt die Erleichterung für Wochenenden und Feiertage bei Erstmeldung und Zwischenmeldung nicht (Delegierte Verordnung (EU) 2025/301, Artikel 5 Absatz 5).
In MRM-Solution

Wie MRM-Solution unterstützt

  1. 01Die Anforderungen ins Register jeder Weisung übernehmen, jede Zeile mit ihrer Herkunft, und eine Zeile erst zählen, wenn eine Person sie freigegeben hat.
  2. 02Pro Anforderung sehen, ob Weisung, Prozess und Governance sowie Kontrollen sie tragen: drei Lampen, und es zählt die schwächste.
  3. 03Kontrollen an die Aktivitäten hängen, die sie absichern, Tests erfassen oder Ergebnisse im eigenen Tabellenformat importieren und Mängel bis zur Behebung verfolgen.
  4. 04Einen unveränderbaren Audit Trail führen: wer was wann in welcher Rolle geändert hat, dazu ein Änderungsprotokoll pro Weisung.
Demo buchen

Fragen aus der Geschäftsleitung

Gilt DORA für eine Schweizer Bank?

DORA gilt für die in Artikel 2 genannten Finanzunternehmen unter der Aufsicht der zuständigen Behörden der Mitgliedstaaten. Für eine Schweizer Bankengruppe gilt sie unmittelbar für in der EU zugelassene Tochtergesellschaften wie ein Kreditinstitut oder eine Wertpapierfirma. Für Zweigstellen in Deutschland nennt die Bafin Drittstaatenzweigstellen und Zweigstellen nach § 53 KWG unter den Unternehmen, die durch das FinmadiG der DORA unterworfen wurden (bis zum 1. Januar 2027 nur Meldepflichten, danach IKT-Risikomanagement nach Artikel 16), und hält fest, dass, wer das Einlagen- und Kreditgeschäft erbringt, als CRR-Kreditinstitut seit dem 17. Januar 2025 unter DORA fällt. Schweizer Gesellschaften, die IKT-Dienstleistungen für EU-Finanzunternehmen erbringen, sind IKT-Drittdienstleister im Sinne der Verordnung.

Was müssen wir nach einem schwerwiegenden IKT-Vorfall melden, und wie schnell?

Eine Erstmeldung so früh wie möglich, innert 4 Stunden ab Einstufung des Vorfalls als schwerwiegend und spätestens 24 Stunden nach Kenntnis; eine Zwischenmeldung spätestens 72 Stunden nach der Erstmeldung; eine Abschlussmeldung spätestens einen Monat nach der letzten Zwischenmeldung (Delegierte Verordnung (EU) 2025/301, Artikel 5). Berührt ein schwerwiegender Vorfall die finanziellen Interessen von Kunden, sind diese unverzüglich zu informieren (Artikel 19 Absatz 3).

Was ändert DORA für unsere IKT-Auslagerungsverträge?

Jede Vereinbarung über IKT-Dienstleistungen gehört ins Informationsregister (Artikel 28 Absatz 3), Verträge müssen die Bestimmungen von Artikel 30 in einem einzigen schriftlichen Dokument enthalten, und Dienstleistungen für kritische oder wichtige Funktionen brauchen Ausstiegsstrategien (Artikel 28 Absatz 8). Bei Dienstleistern mit Sitz in einem Drittland sind zudem die Einhaltung der EU-Datenschutzvorschriften und die wirksame Rechtsdurchsetzung in diesem Land zu berücksichtigen (Artikel 29 Absatz 2); ein als kritisch eingestufter Drittlanddienstleister braucht innert zwölf Monaten ein Tochterunternehmen in der EU (Artikel 31 Absatz 12).

Quellen

Zusammenfassung zur Orientierung, keine Rechtsberatung. Massgebend ist der offizielle Text.
Regulierungs-Hub

Verwandte Regulierungen

Alle Regulierungen →
Glossar

Verwandte Begriffe

Alle Glossarbegriffe →

Zu schön, um wahr zu sein? Dann sollten wir reden.

30 Minuten. Ihr Anwendungsfall, maximale Wirkung.

info@mrm-solution.com
Interessengebiet