Gilt DORA für Sie? Anwendungsbereich, fünf Säulen und Lücken
Beantworten Sie 10–30 kurze Fragen. Sie erhalten Ihren voraussichtlichen DORA-Status mit Begründung, die für Sie relevanten Säulen, Ihren Reifegrad je Säule und die Aufgaben zum Informationsregister. Für Finanzunternehmen, Fintechs und die IKT-Unternehmen, die sie betreuen.
Check startenRegelstand 2026-10-13
Vorläufig, keine RechtsberatungDieses Tool wendet die Verordnung (EU) 2022/2554 nach unserem Verständnis auf Ihre Antworten an. Es ersetzt weder Ihre Rechtsberatung noch Ihre zuständige Behörde und bewertet keine konkreten Dienstleister. Die Regeln werden noch juristisch geprüft – betrachten Sie jedes Ergebnis daher als Ausgangspunkt.
Die fünf Säulen von DORA in einfachen Worten
IKT-Risikomanagement
Kapitel II, Art. 5–16Ein dokumentierter Rahmen, der vom Leitungsorgan gebilligt und verantwortet wird: IKT-Assets kennen, schützen, Probleme erkennen, reagieren, wiederherstellen und daraus lernen.
Management und Meldung von Vorfällen
Kapitel III, Art. 17–23Ein einheitlicher Prozess für IKT-bezogene Vorfälle, Kriterien zur Erkennung schwerwiegender Vorfälle sowie Erst-, Zwischen- und Abschlussmeldungen an die Aufsicht innerhalb fester Fristen.
Testen der Resilienz
Kapitel IV, Art. 24–27Ein jährliches Testprogramm für kritische Systeme; ausgewählte Unternehmen führen zudem mindestens alle drei Jahre bedrohungsorientierte Penetrationstests (TLPT) durch.
IKT-Drittparteienrisiko
Kapitel V, Art. 28–44Eine Strategie für IKT-Drittdienstleister, ein Informationsregister zu jedem IKT-Vertrag, Klauseln nach Artikel 30, Ausstiegspläne und EU-Überwachung kritischer Dienstleister.
Informationsaustausch
Kapitel VI, Art. 45Freiwillige Vereinbarungen zum Austausch von Cyberbedrohungsinformationen mit anderen Unternehmen, mit Mitteilung an Ihre Behörde.
Informationsregister: was es ist
Das Informationsregister erfasst jeden Vertrag Ihrer Organisation über IKT-Dienstleistungen: wer der Dienstleister ist, um welchen Dienst es sich handelt, welche Geschäftsfunktionen davon abhängen, wo Daten verarbeitet werden und welche Unterauftragnehmer dahinterstehen.
Finanzunternehmen führen es auf Einzelebene und in Gruppen zusätzlich auf teilkonsolidierter und konsolidierter Ebene. Die Aufsicht fordert es nach eigenem Zeitplan mit den Vorlagen der Durchführungsverordnung (EU) 2024/2956 an. Meist ist es das Erste, wonach sie fragt.
Für IKT-Dienstleister: was Ihre Bankkunden fragen werden
DORA sieht keine Zulassung für IKT-Dienstleister vor, verändert aber jeden Vertrag, den sie mit Banken, Versicherern, Zahlungs- und Wertpapierinstituten schließen. Rechnen Sie mit einem DORA-Nachtrag mit den Klauseln nach Artikel 30, Fragebögen für das Informationsregister Ihres Kunden, Prüfungs- und Zugangsrechten, Fristen für die Meldung von Vorfällen und – bei kritischen Funktionen – der Teilnahme an deren Resilienztests.
Dienstleister, von denen viele Finanzunternehmen abhängen, können von den Europäischen Aufsichtsbehörden als kritisch eingestuft werden und unterliegen dann einer direkten Überwachung auf EU-Ebene.
Was dieses Tool nicht abdeckt
- Details zu TLPT und nationale TLPT-Rahmenwerke
- Nationale Gesetze, Aufsichtsvorgaben und Meldezeitpläne Ihres Landes
- MiCA, PSD2 und andere sektorspezifische Anforderungen
- Eine Bewertung Ihrer konkreten IKT-Dienstleister oder Verträge
- Ob DORA für einen bestimmten Vertrag gilt – dafür sind Ihr Vertrag und Ihre Rechtsberatung nötig
Quellen
Regelversion 2026-10-13. Alle Artikel, Listen und Fristen stehen unter dem Vorbehalt der juristischen Prüfung.
| Quelle | Inhalt | Geprüft |
|---|---|---|
| DORA | Verordnung (EU) 2022/2554 (DORA) | — |
| RTS ICT | Delegierte Verordnung (EU) 2024/1774 der Kommission — Rahmen für das IKT-Risikomanagement und vereinfachter Rahmen (RTS) | — |
| ROI ITS | Durchführungsverordnung (EU) 2024/2956 der Kommission — Standardvorlagen für das Informationsregister (ITS) | — |
| RTS INC | Delegierte Verordnung (EU) 2024/1772 der Kommission — Klassifizierung IKT-bezogener Vorfälle (RTS) | — |
| ESAS CTPP | Europäische Aufsichtsbehörden — DORA-Überwachung kritischer IKT-Drittdienstleister | — |
FAQ
Gilt DORA für mein Unternehmen?
DORA gilt für die 20 in Artikel 2 Absatz 1 genannten Arten von Finanzunternehmen – Banken, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Anbieter von Krypto-Dienstleistungen, Versicherer, Einrichtungen der betrieblichen Altersversorgung und weitere –, sofern keine Ausnahme nach Artikel 2 Absatz 3 greift. IKT-Dienstleister werden über die Verträge ihrer Finanzkunden erfasst. Dieser Check liefert in wenigen Minuten eine vorläufige Antwort.
Welche Unternehmen fallen in den Anwendungsbereich von DORA?
Kreditinstitute, Zahlungsinstitute, Kontoinformationsdienstleister, E-Geld-Institute, Wertpapierfirmen, Anbieter von Krypto-Dienstleistungen und Emittenten vermögenswertereferenzierter Token, Zentralverwahrer, zentrale Gegenparteien, Handelsplätze, Transaktionsregister, Verwalter alternativer Investmentfonds, OGAW-Verwaltungsgesellschaften, Datenbereitstellungsdienste, Versicherungs- und Rückversicherungsunternehmen, Versicherungsvermittler, Einrichtungen der betrieblichen Altersversorgung, Ratingagenturen, Administratoren kritischer Referenzwerte, Schwarmfinanzierungsdienstleister, Verbriefungsregister sowie IKT-Drittdienstleister.
Was sind die fünf Säulen von DORA?
IKT-Risikomanagement, Management, Klassifizierung und Meldung IKT-bezogener Vorfälle, Testen der digitalen operationalen Resilienz, Management des IKT-Drittparteienrisikos sowie Austausch von Informationen über Cyberbedrohungen.
Was ist das DORA-Informationsregister und wer muss es führen?
Es ist eine strukturierte Aufstellung aller vertraglichen Vereinbarungen über IKT-Dienstleistungen. Jedes Finanzunternehmen im Anwendungsbereich führt es auf Einzelebene und in Gruppen auf teilkonsolidierter und konsolidierter Ebene und legt es seiner zuständigen Behörde auf Anfrage vor.
Gilt DORA für Softwareanbieter und Cloud-Provider, die Banken beliefern?
Nicht als Zulassungspflicht, sondern über Verträge: Banken und andere Finanzunternehmen müssen die Klauseln nach Artikel 30 in ihre IKT-Verträge aufnehmen und ihre Dienstleister prüfen. Dienstleister, von denen viele Finanzunternehmen abhängen, können als kritisch eingestuft und auf EU-Ebene überwacht werden.
Welche Fristen gelten unter DORA für die Meldung von Vorfällen?
Für schwerwiegende IKT-bezogene Vorfälle sehen die technischen Standards eine Erstmeldung innerhalb von Stunden nach der Einstufung als schwerwiegend vor, einen Zwischenbericht innerhalb von Tagen und einen Abschlussbericht nach etwa einem Monat. Die genauen Fristen stehen in den Durchführungsrechtsakten und werden in diesem Tool noch juristisch geprüft.
Wie verhält sich DORA zu NIS2?
Für Finanzunternehmen ist DORA der spezifische Rechtsakt (lex specialis): Seine Regeln zu IKT-Risiken und Vorfällen gelten anstelle der Cybersicherheitsanforderungen von NIS2. Nicht-finanzielle Tätigkeiten derselben Gruppe können dennoch unter NIS2 fallen.
Kann YuSMP bei einer DORA-Gap-Analyse helfen?
Ja. Wir unterstützen Finanzunternehmen und IKT-Dienstleister beim Aufbau des Informationsregisters, bei der Anpassung von Verträgen, bei der Einrichtung von Prozessen für Vorfälle und bei Resilienztests. Wir arbeiten unter NDA.
Passende Leistungen
Penetrationstests und Sicherheitsaudits
Schwachstellenanalysen und Pentests für Ihr Programm zum Testen der Resilienz.
Cloud und DevOps
Backups, Wiederherstellung, Monitoring und Infrastructure as Code mit Nachweisen.
Unternehmenssoftware-Entwicklung
Register, Workflows und Integrationen für Compliance-Teams.
SOC 2 Readiness für SaaS
Kontrollen und Nachweise, die Ihre Finanzkunden verlangen.