DORA-Compliance: Eine umfassende Checkliste für Finanzunternehmen

Finanzunternehmen stehen unter wachsendem regulatorischem Druck, sich gegen IT-Störungen zu schützen. Weil Banken, Versicherer und andere Finanzunternehmen auf komplexe digitale Systeme und externe Technologieanbieter angewiesen sind, ist das Risiko eines Cybervorfalls höher denn je. Der Digital Operational Resilience Act (DORA) antwortet darauf mit strengeren, EU-weit einheitlichen Standards, die sicherstellen, dass Finanzunternehmen Technologieausfällen standhalten – und sich schnell davon erholen können.

Dieser Artikel führt Sie durch eine praxisnahe DORA-Checkliste, damit Ihr Unternehmen die Anforderungen Schritt für Schritt erfüllt. Ob Bank, Versicherer, Technologieanbieter oder Aufsichtsfunktion – am Ende haben Sie ein klares Bild des Geltungsbereichs und eine Checkliste, die von der ersten Lückenanalyse bis zur laufenden Überwachung reicht.

DORA verstehen

DORA (Verordnung (EU) 2022/2554) ist eine EU-Verordnung, die den Finanzsektor vor digitalen Störungen schützen soll. Sie trat im Januar 2023 in Kraft und ist seit dem 17. Januar 2025 in vollem Umfang anwendbar. Sie stellt sicher, dass Banken, Wertpapierfirmen, Versicherer, Zahlungsdienstleister und andere Finanzunternehmen auch bei größeren IT-Störungen weiterarbeiten können – und verschiebt den regulatorischen Fokus von der reinen Finanzstabilität hin zur betrieblichen Widerstandsfähigkeit in einer zunehmend digitalen Welt.

Erst die Grundlagen: Für einen verständlichen Überblick darüber, was DORA ist, wen sie betrifft und welche Fristen gelten, lesen Sie unseren Leitfaden zur DORA-Verordnung. Wie eine Prüfung tatsächlich abläuft, erklärt unser DORA-Compliance-Guide.

Wer ist betroffen?

DORA hat eine weitreichende Wirkung und erfasst rund 22.000 Unternehmen aus dem Finanz- und Technologiesektor.

Finanzunternehmen im Anwendungsbereich:

• Banken und Kreditinstitute
• Versicherungs- und Rückversicherungsunternehmen
• Fondsmanager (AIFMs, OGAW-Verwaltungsgesellschaften)
• Anbieter von Krypto-Dienstleistungen
• Zahlungsabwickler und E-Geld-Institute
• Handelsplätze und Marktbetreiber
• Zentralverwahrer (CSDs) und zentrale Gegenparteien (CCPs)
• Wertpapierfirmen und Finanzintermediäre
• Pensionsfonds und Ratingagenturen

IKT-Dienstleister:

• Cloud-Computing-Anbieter
• Anbieter von Kernbanken- und Finanzsoftware
• Anbieter von Datenanalyse und Cybersicherheit
• Hosting-Dienste und Rechenzentren

DORA schafft außerdem einen EU-weiten Aufsichtsrahmen für IKT-Drittanbieter, die von den Aufsichtsbehörden als „kritisch" eingestuft werden. Die Aufsichtsbehörden (EBA, ESMA, EIOPA sowie nationale Regulierungsbehörden) setzen die Einhaltung durch und beaufsichtigen diese kritischen Technologielieferanten.

Warum Compliance wichtig ist

Die Einhaltung von DORA ist aus drei Gründen unerlässlich – aus rechtlichen, betrieblichen und reputationsbezogenen Gründen:

• Rechtliche Verpflichtung. DORA ist EU-weit rechtsverbindlich, und bei schwerwiegenden Verstößen drohen Geldbußen von bis zu 2 % des weltweiten Jahresumsatzes.
• Stärkerer Betrieb. Kontinuierliche Risikoüberwachung, Notfallplanung und Belastbarkeitstests helfen Ihnen, Cyberangriffe, IT-Ausfälle und Serviceunterbrechungen zu vermeiden.
• Reputation und Vertrauen. Wer zeigt, dass er Sicherheit und Stabilität ernst nimmt, schafft Vertrauen bei Kunden und Aufsichtsbehörden – und vermeidet den Reputationsschaden, den ein größerer IT-Vorfall mit sich bringt.

Wichtige Begriffe

• IKT-Risiko: jede technologiebezogene Bedrohung, die Ihren Betrieb stören könnte – Cyberangriffe, Systemausfälle, Datenschutzverletzungen, kurz alles, was die Sicherheit oder Verfügbarkeit Ihrer IT-Systeme und Daten gefährdet.
• Kritische oder wichtige Funktionen: Tätigkeiten, die für die Stabilität eines Unternehmens wesentlich sind und deren Ausfall den Betrieb oder die Kunden erheblich beeinträchtigen würde (etwa Online-Banking oder die Transaktionsverarbeitung eines Zahlungsdienstleisters). Sie genießen besonderen Schutz und engere Aufsicht.
• Schwerwiegende IKT-Vorfälle und Meldepflichten: DORA schreibt strenge Melderegeln vor. Ein bedeutender Vorfall erfordert oft eine Erstmeldung innerhalb von Stunden, einen Zwischenbericht innerhalb weniger Tage und einen Abschlussbericht innerhalb eines Monats – Sie brauchen also einen klaren Prozess, um Vorfälle rechtzeitig zu erkennen, zu bewerten und zu melden.

Die DORA-Checkliste: Schritt für Schritt

Die Einhaltung kann einschüchternd wirken, doch die Unterteilung in überschaubare Schritte macht sie klar und umsetzbar. Die folgenden sieben Schritte führen Ihr Unternehmen von der Vorbereitung über die Umsetzung bis zur laufenden Compliance.

1. Aktuellen Compliance-Status bewerten

Beginnen Sie damit, Ihren Ist-Zustand an den Kernanforderungen von DORA zu messen. Stellen Sie ein bereichsübergreifendes Team (IT, Cybersicherheit, Compliance, Betrieb) zusammen, das eine Lückenanalyse durchführt. Prüfen Sie zum Beispiel, ob Sie eine solide Bestandsaufnahme Ihrer kritischen Geschäftsdienste und klar dokumentierte Eskalationsverfahren für Vorfälle haben. Sehen Sie sich bestehende Sicherheitskontrollen, Prüfungsergebnisse und informelle Prozesse an, die mehr Struktur brauchen. Eine gründliche Bestandsaufnahme legt die risikoreichen Lücken offen, die sofortige Aufmerksamkeit erfordern.

2. Regulatorische Anforderungen abbilden

Übersetzen Sie DORA in konkrete Verpflichtungen für Ihr Unternehmen. Arbeiten Sie jeden Bereich durch – IKT-Risikomanagement, Vorfallmeldung, Belastbarkeitstests, Drittanbieterrisiko und Informationsaustausch – und skizzieren Sie die jeweils erforderlichen Compliance-Praktiken. Integrieren Sie diese nach Möglichkeit in Rahmenwerke, die Sie bereits nutzen, etwa ISO/IEC 27001, PSD2 oder die EBA-Leitlinien. Wenn Sie beispielsweise bereits eine Richtlinie zur Reaktion auf Vorfälle haben, stellen Sie sicher, dass sie nun auch die von DORA vorgeschriebenen externen Meldepflichten und Fristen abdeckt.

3. Umfassenden Rahmen für das Risikomanagement aufbauen

Bringen Sie Ihr IKT-Risikomanagement auf DORA-Niveau: Identifizieren Sie Ihre Hauptrisiken (Cyberangriffe, Technologieausfälle, Schwachstellen bei Dritten), bewerten Sie deren Auswirkungen auf kritische Dienste und legen Sie Gegenmaßnahmen fest – etwa Zugangskontrollen, Netzwerküberwachung und Playbooks für Vorfälle. Stellen Sie sicher, dass der Rahmen das Drittanbieterrisiko berücksichtigt, indem Sie die Widerstandsfähigkeit von Anbietern bewerten und die Meldung von Vorfällen vertraglich vorschreiben – mit der Geschäftsleitung in der Aufsichtsrolle.

4. Resilienz- und Wiederherstellungsstrategien umsetzen

DORA schreibt gründliche Tests vor – Schwachstellenanalysen, Penetrationstests und szenariobasierte Notfallwiederherstellungsübungen. Testen Sie Backups regelmäßig gegen Ihre Wiederherstellungszeitziele und schließen Sie einzelne Fehlerquellen aus, indem Sie mehrere Rechenzentren oder redundante Netzwerkanbieter nutzen. Verfeinern Sie Ihre Resilienzstrategien fortlaufend auf Basis von Testergebnissen und realen Vorfällen.

5. Laufende Überwachung und Berichterstattung einrichten

Compliance ist kontinuierlich, keine einmalige Aufgabe. Setzen Sie Werkzeuge zur Echtzeit-Erkennung ein (etwa SIEM), um Anomalien früh zu erkennen, und verfolgen Sie zentrale Kennzahlen wie Vorfallhäufigkeit, Reaktionszeiten und die SLA-Leistung Ihrer Anbieter. Planen Sie regelmäßige interne Audits, berichten Sie klar an Leitung und Aufsichtsbehörden und ziehen Sie die Teilnahme an branchenweiten Informationsaustauschgruppen in Betracht, um neuen Bedrohungen einen Schritt voraus zu sein.

6. Wirksame Governance und Aufsicht sicherstellen

DORA verankert die Verantwortung an der Spitze. Geschäftsleitung und Vorstand müssen den Rahmen für das IKT-Risikomanagement formell genehmigen, die Resilienzkennzahlen regelmäßig prüfen und über kritische Vorfälle informiert bleiben. Vergeben Sie klare Rollen für Risikobewertungen, Vorfalleskalation und Lieferantensteuerung und schenken Sie der Aufsicht über Dritte die Aufmerksamkeit, die DORAs strenge Prüfung kritischer IKT-Anbieter verlangt.

7. Alles dokumentieren und auf Audits vorbereiten

Führen Sie detaillierte Aufzeichnungen, um die Einhaltung nachzuweisen: Richtlinien und Risikobewertungen, Testergebnisse und Vorfallprotokolle sowie Protokolle, die zentrale Compliance-Entscheidungen festhalten. Bewahren Sie Nachweise – etwa Backup-Übungen und Zugriffsprüfungen – sicher und abrufbar auf und führen Sie Scheininspektionen durch, um Ihre Audit-Bereitschaft zu testen. Eine ordentliche Dokumentation ist der stärkste Beleg für Ihr Engagement für digitale Widerstandsfähigkeit.

Verträge entscheiden über vieles davon. Die Schritte 3 und 6 hängen beide an Ihren IKT-Drittanbieter-Verträgen. Was ein DORA-konformer Vertrag enthalten muss und wie Sie bestehende Verträge auf Stand bringen, lesen Sie unter Compliance-Management für Verträge.

Bewährte Praktiken, um DORA-konform zu bleiben

Die Compliance bis zur Frist zu erreichen, ist nur die halbe Miete; sie zu erhalten, während sich Bedrohungen und Ihr Geschäft verändern, ist die eigentliche Herausforderung. Verstehen Sie Compliance als fortlaufenden Kreislauf, nicht als Projekt mit Enddatum.

• Richtlinien und Pläne aktuell halten. Überprüfen Sie IKT-Risikorichtlinien, Notfall- und Kontinuitätspläne mindestens jährlich – oder immer dann, wenn sich Ihre IT-Umgebung wesentlich ändert (ein neuer Cloud-Dienst, eine regulatorische Klarstellung).
• Kontinuierlich schulen. Bieten Sie allgemeine Sensibilisierungsschulungen für alle Mitarbeitenden, gezielte Workshops für IT-Teams und regelmäßige Übungen zur Reaktion auf Vorfälle an. Verankern Sie Compliance im Onboarding.
• Technologie nutzen. Systeme zur Vorfallverwaltung erzeugen automatisch Berichte und benachrichtigen Aufsichtsbehörden; Werkzeuge zur Risikobewertung suchen fortlaufend nach Schwachstellen; Plattformen für Drittanbieterrisiken überwachen die Sicherheit von Anbietern; und Werkzeuge für die Vertragsverwaltung zentralisieren Vereinbarungen, automatisieren Verlängerungen und verfolgen Verpflichtungen.
• Regulatorische Updates im Blick behalten. Die europäischen Aufsichtsbehörden werden weiter neue Leitlinien und technische Standards herausgeben – verfolgen Sie Ankündigungen, abonnieren Sie Compliance-Newsletter und treten Sie Arbeitsgruppen zur operativen Resilienz bei.
• Zusammenarbeiten und Informationen teilen. DORA fördert den Austausch von Erkenntnissen über Cyber-Bedrohungen. Aus den Vorfällen anderer zu lernen und an branchenweiten Simulationen teilzunehmen, stärkt die Widerstandsfähigkeit der gesamten Branche.
• Regelmäßig neu bewerten. Nehmen Sie diese Checkliste jährlich oder nach größeren geschäftlichen Veränderungen erneut zur Hand und führen Sie kleine Lückenanalysen durch, damit Sie nicht unbemerkt aus der Compliance driften.

Wie das Vertragsmanagement die Checkliste unterstützt

Mehrere der obigen Schritte – Drittanbieterrisiko (Schritt 3), Governance (Schritt 6) und audit-bereite Dokumentation (Schritt 7) – hängen davon ab, wie gut Sie Ihre IKT-Anbieter-Verträge verwalten. Ein einzelnes Finanzunternehmen kann Hunderte von Lieferantenverträgen halten, die zu unterschiedlichen Zeitpunkten und nach unterschiedlichen Vorlagen unterzeichnet wurden. Einem Prüfer nachzuweisen, dass jeder Vertrag mit einem kritischen Anbieter die DORA-Anforderungen erfüllt – und die zu finden, die es nicht tun –, ist genau das, wofür ein strukturiertes Vertragsmanagement gebaut ist: ein zentrales, durchsuchbares Repository mit Verpflichtungsverfolgung, Audit-Trails und automatischen Erinnerungen an jede Verlängerung, jede Prüfung und jeden Meldetermin.

Häufige Fragen

Was ist eine DORA-Checkliste?

Eine DORA-Checkliste ist eine strukturierte, schrittweise Liste der Maßnahmen, die ein Finanzunternehmen ergreifen muss, um den Digital Operational Resilience Act zu erfüllen – typischerweise von der Lückenanalyse über IKT-Risikomanagement, Belastbarkeitstests und Drittanbieter-Verträge bis zu laufender Überwachung, Governance und Audit-Dokumentation.

Seit wann ist DORA verpflichtend?

DORA trat am 16. Januar 2023 in Kraft und ist seit dem 17. Januar 2025 in vollem Umfang anwendbar. Von den Unternehmen wird nun erwartet, dass sie konform und audit-bereit sind.

Für wen gilt die DORA-Checkliste?

Sie gilt für die rund 22.000 in der EU betroffenen Finanzunternehmen – Banken, Versicherer, Wertpapierfirmen, Zahlungsdienstleister, Anbieter von Krypto-Dienstleistungen und weitere – sowie für die kritischen IKT-Drittanbieter, die sie beliefern.

Was sind die wichtigsten Schritte zur DORA-Compliance?

Ist-Zustand bewerten, DORAs Anforderungen auf Ihre Verpflichtungen abbilden, einen Rahmen für das Risikomanagement aufbauen, Resilienz- und Wiederherstellungsmaßnahmen umsetzen, laufende Überwachung einrichten, Governance auf Vorstandsebene sicherstellen und alles für Audits dokumentieren.

Welche Rolle spielen Verträge bei der DORA-Compliance?

DORA (Artikel 30) legt vertragliche Mindestanforderungen für IKT-Drittanbieter-Vereinbarungen fest – Prüfrechte, Vorfallmeldung, Sicherheits- und Verfügbarkeitsstandards sowie Ausstiegsstrategien. Jeden Vertrag mit einem kritischen Anbieter auf diesen Stand zu bringen und die Nachweise audit-bereit zu halten, ist ein Kernbestandteil der Checkliste.