Auf Basis der Forschungsarbeiten von Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann

Seit dem 17. Januar 2025 gilt er verbindlich in allen EU-Mitgliedstaaten: der Digital Operational Resilience Act, kurz DORA. Für Banken, Versicherungen, Wertpapierfirmen und Dutzende weitere Finanzakteure bedeutet das: ein fundamental neuer rechtlicher Rahmen für IT-Sicherheit und digitale Betriebsfähigkeit – direkt anwendbar, ohne nationalen Umsetzungsakt, mit empfindlichen Sanktionen bei Verstößen.

Was bisher in Deutschland als behördliches Rundschreiben galt – die BAIT für Banken, die VAIT für Versicherer – wurde durch eine EU-Verordnung abgelöst, die deutlich konkreter, verbindlicher und strenger ist. Teichmann hat DORA in mehreren wissenschaftlichen Beiträgen systematisch analysiert. Die Botschaft für die Praxis ist klar: Wer DORA als bloße Fortschreibung bisheriger IT-Anforderungen versteht, unterschätzt das Ausmaß des Wandels.

Was DORA ist – und warum er entstand

Der Digital Operational Resilience Act (Verordnung EU 2022/2554) ist das Ergebnis einer langen Erkenntnis: Die Finanzbranche ist systemkritisch – und gleichzeitig technologisch so abhängig wie keine andere. Ein schwerwiegender IT-Ausfall bei einer Großbank oder einem zentralen Zahlungsdienstleister kann die Stabilität des gesamten Finanzsystems gefährden. Bisherige Regulierung war fragmentiert: unterschiedliche nationale Vorgaben, sektorale Leitlinien, uneinheitliche Standards. DORA schafft erstmals einen harmonisierten, verbindlichen EU-Rahmen für die digitale operative Resilienz des gesamten Finanzsektors (Teichmann, Digital Operational Resilience Act – EU-weit einheitliche IT-Sicherheitsregeln für Finanzinstitute, BB 2025, S. 2760–2770).

Die politische Dringlichkeit war real: Die Europäische Zentralbank warnte im Financial Stability Review 2022 vor erhöhten Cyberrisiken und wachsendem Investitionsbedarf in IT-Sicherheit. Staatlich gesteuerte Hackerangriffe im Zuge geopolitischer Konflikte, Ransomware-Angriffe auf systemrelevante Infrastrukturen und die zunehmende Abhängigkeit vom Cloud-Computing machten klar, dass punktuelle nationale Regelungen nicht ausreichen.

DORA verfolgt dabei ein doppeltes Ziel: präventiv sollen Finanzunternehmen robuste IKT-Risikomanagement-Rahmenwerke implementieren, um Vorfälle zu vermeiden oder deren Auswirkungen zu begrenzen. Reaktiv sollen einheitliche Prozesse für Incident Response und Krisenmanagement sicherstellen, dass im Ernstfall schnell und koordiniert gehandelt wird (Teichmann, BB 2025, S. 2760–2770).

Wer betroffen ist: Nahezu der gesamte Finanzsektor

Der Anwendungsbereich von DORA ist bemerkenswert weit. Erfasst werden über 20 Arten von Finanzunternehmen, darunter Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Versicherungs- und Rückversicherungsunternehmen, Verwaltungsgesellschaften von Investmentfonds, Zentralverwahrer, zentrale Gegenparteien, Krypto-Dienstleister nach MiCA, Ratingagenturen sowie Handelsplätze und andere Finanzmarktinfrastrukturen (Teichmann, BB 2025, S. 2760–2770).

Besonders wichtig: DORA erfasst nicht nur die Finanzunternehmen selbst, sondern adressiert über das Drittparteienmanagement auch deren IT-Dienstleister – Cloud-Anbieter, Rechenzentrumsbetreiber, Softwareanbieter. Kritische IKT-Drittanbieter können sogar einer direkten europäischen Aufsicht unterstellt werden. Dies ist eine der weitreichendsten Neuerungen von DORA: Erstmals wird die gesamte Lieferkette der IT-Versorgung systemisch reguliert.

In Deutschland wurden VAIT, KAIT und ZAIT mit Wirkung zum 17. Januar 2025 außer Kraft gesetzt. Die BAIT bleiben übergangsweise bis Ende 2026 für bestimmte kleinere Institute in Kraft. Für die große Mehrheit der Finanzinstitute gilt bereits heute: DORA ist das primäre Regelwerk (Teichmann, DORA – Teil 1: Ein einheitlicher Rechtsrahmen für die IT- und Cybersicherheit, ZRFC 2025, S. 172–175).

Die fünf Säulen von DORA

Erste Säule: IKT-Risikomanagement. Das Herzstück von DORA ist das Gebot eines umfassenden IKT-Risikomanagement-Rahmenwerks. Alle Finanzunternehmen müssen IKT-Risiken laufend identifizieren, analysieren, bewerten, behandeln und überwachen. Das umfasst eine IKT-Strategie als Bestandteil der Gesamtunternehmensstrategie, klare Verantwortlichkeiten auf Vorstandsebene, systematisches Schwachstellenmanagement, Datenverschlüsselung, Netzwerksegmentierung und Firewall-Management. Besonders neu: DORA verlangt ausdrücklich, dass auch Legacy-Systeme und neue Technologien besonders geprüft werden – die Verordnung erkennt an, dass viele Finanzinstitute mit veralteter IT-Infrastruktur arbeiten, und macht das Risikomanagement dieser Altsysteme zur expliziten Pflicht.

Zweite Säule: Meldepflichten für IKT-Vorfälle. DORA führt ein harmonisiertes, dreistufiges Meldeverfahren für schwerwiegende IKT-Vorfälle ein. Innerhalb von vier Stunden nach Klassifizierung muss eine Erstmeldung an die BaFin erfolgen. Innerhalb von 72 Stunden folgt eine Zwischenmeldung, innerhalb eines Monats ein Abschlussbericht. Was als schwerwiegend gilt, definiert DORA anhand konkreter Kriterien: Anzahl betroffener Kunden, Ausmaß der Betriebsunterbrechung, Reputationsschäden, finanzielle Auswirkungen. DORA geht als lex specialis vor – die Meldung an die BaFin ersetzt grundsätzlich die NIS-2-Meldung an das BSI (Teichmann, BB 2025, S. 2760–2770).

Dritte Säule: Resilienztests. DORA führt verbindliche, regelmäßige Tests der digitalen Betriebsfähigkeit ein. Alle Finanzunternehmen müssen grundlegende Resilienz-Tests mindestens jährlich durchführen: Schwachstellenanalysen, netzwerkbasierte Tests, Überprüfung physischer Sicherheit, szenariobasierte Tests. Für bedeutende Institute kommt Entscheidendes hinzu: bedrohungsorientierte Penetrationstests (Threat-Led Penetration Tests, TLPT), die mindestens alle drei Jahre von akkreditierten externen Prüfern auf Basis aktueller Bedrohungsszenarien durchgeführt werden müssen (Teichmann, DORA – Teil 2: IKT-Risikomanagement, Resilienztests und Drittparteienkontrolle, ZRFC 2025, S. 273–278).

Vierte Säule: Management von IKT-Drittparteirisiken. Dies ist die vielleicht wirkungsmächtigste Neuerung für die Praxis. DORA verlangt, dass Finanzunternehmen ihre gesamte Abhängigkeit von externen IT-Dienstleistern systematisch managen – mit Mindestanforderungen an Verträge, laufende Überwachung, Ausstiegsstrategien und Risikokonzentrationsanalysen. Verträge mit IKT-Dienstleistern müssen künftig Mindestklauseln enthalten: vollständige Beschreibung der Dienstleistungen, Leistungskennzahlen, Sicherheitsanforderungen, Prüfrechte des Finanzunternehmens und der Aufsicht sowie Regelungen zur Betriebskontinuität und zum Ausstieg. Bestehende Verträge müssen entsprechend angepasst werden. Für IKT-Anbieter, die als kritisch eingestuft werden, schafft DORA ein gänzlich neues Instrument: die direkte europäische Aufsicht durch EBA, EIOPA oder ESMA (Teichmann, ZRFC 2025, S. 273–278).

Fünfte Säule: Informationsaustausch. DORA ermutigt Finanzunternehmen ausdrücklich zum Austausch von Informationen über Cyberbedrohungen untereinander – innerhalb klar definierter rechtlicher Grenzen. Bedrohungsinformationen, Angriffsmuster und Erkenntnisse aus Vorfällen sollen geteilt werden, um die Resilienz des gesamten Sektors zu stärken.

Governance: IT-Resilienz wird Chefsache

Ein zentrales Prinzip von DORA ist die explizite Verantwortung der Unternehmensleitung. Das Leitungsorgan trägt die letzte Verantwortung für das Management der IKT-Risiken. Es muss die IKT-Strategie festlegen und genehmigen, ausreichend fachkundig in IT-Risiken sein und regelmäßige Schulungen erhalten. Ein Vorstandsmitglied, das erklärt, von IT-Sicherheit nichts zu verstehen, genügt den Anforderungen von DORA nicht (Teichmann, DORA – Teil 3: Governance-Verantwortung und Compliance-Risiken, ZRFC 2025, S. 279–283).

Teichmann analysiert, dass die Governance-Anforderungen von DORA im Zusammenspiel mit allgemeinem Gesellschaftsrecht zu einer persönlichen Innenhaftung der Unternehmensleitung führen können, wenn IKT-Pflichten systematisch vernachlässigt wurden und daraus Schäden entstehen (Teichmann, ZRFC 2025, S. 279–283).

Was die Praxis jetzt tun muss

DORA ist für viele Finanzinstitute keine vollständige Neuheit – die Inhalte überschneiden sich erheblich mit BAIT, MaRisk und EBA-Leitlinien. Der entscheidende Unterschied liegt im Verbindlichkeitsgrad und der Detailtiefe. Was früher als Aufsichtserwartung formuliert war, ist jetzt Verordnungsrecht mit direkter Sanktionswirkung.

Konkret müssen Finanzinstitute vor allem drei Lücken schließen. Die erste betrifft das Drittparteienmanagement: Bestehende Verträge mit IT-Dienstleistern müssen auf DORA-Konformität geprüft und angepasst werden – insbesondere Cloud-Verträge, die oft keine ausreichenden Prüfrechte und Ausstiegsklauseln enthalten. Die zweite Lücke liegt im Testregime: Penetrationstests nach TLPT-Standard sind für viele Häuser neu und müssen organisatorisch vorbereitet werden. Die dritte Lücke betrifft die Notfallplanung: DORA verlangt ausdrücklich, dass Szenarien wie Klimaereignisse, Insider-Angriffe und großflächige Stromausfälle in Kontinuitätsplänen berücksichtigt werden – Anforderungen, die viele bisherige BCM-Konzepte nicht abdecken (Teichmann, ZRFC 2025, S. 273–278).

Fazit: DORA ist kein Abhaken – es ist ein Kulturwandel

DORA ist mehr als ein weiteres Regelwerk, das abgehakt werden will. Es ist der Auftrag an den gesamten europäischen Finanzsektor, IT-Sicherheit und digitale Betriebsfähigkeit als strategische Kernaufgabe zu verstehen – nicht als technisches Randthema.

Teichmanns Forschung zeigt: Finanzinstitute, die DORA ernst nehmen und konsequent umsetzen, werden widerstandsfähiger gegen Cyberangriffe, rechtssicherer im Umgang mit der Aufsicht und letztlich vertrauenswürdiger gegenüber Kunden und Geschäftspartnern. DORA ist dabei kein Endpunkt, sondern der Beginn einer neuen Ära der regulierten digitalen Resilienz im Finanzsektor.

Alle Quellenangaben beziehen sich auf veröffentlichte wissenschaftliche Beiträge von Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann. Die vollständige Bibliographie ist im Publikationsverzeichnis (Stand Mai 2026) dokumentiert.