BaFin - Navigation & Service

Springe direkt zu:

IT-Aufsicht Kittiphat/stock.adobe.com

Stand:geändert am 12.08.2025 DORA - Digital Operational Resilience Act

Inhalt

Mit DORA (Level 1), der Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (Digital Operational Resilience Act), hat die Europäische Union eine finanzsektorweite Regulierung für die Themen Cybersicherheit, IKT-Risiken und digitale operationale Resilienz geschaffen. Diese Verordnung trägt wesentlich dazu bei, den europäischen Finanzmarkt gegenüber Cyberrisiken und Vorfällen der Informations- und Kommunikationstechnologie (IKT) zu stärken.

Aktualisierungsübersicht

DatumAktualisierung
12.08.2025Veröffentlichung der Übersicht zu den DORA-Dokumentationsanforderungen in englischer Sprache
01.08.2025Ergänzung von Informationen zum vereinfachten IKT-Risikomanagementrahmen (Art. 16 DORA): IKT-Risikomanagement
03.06.2025Aktualisierung der Tabelle zu den Mindestvertragsinhalten aufgrund der Annahme des geänderten RTS zur Unterauftragsvergabe sowie Hinweisen zu Finanzunternehmen nach Art. 16 DORA und Kleinstunternehmen.
13.05.2025Aktualisierung der FAQ zur Behandlung, Klassifizierung und Berichterstattung IKT-bezogener Vorfälle
07.05.2025BaFin erklärt die Gemeinsamen Leitlinien für die Schätzung der von schwerwiegenden IKT-bezogenen Vorfällen verursachten aggregierten jährlichen Kosten und Verluste für anwendbar.
05.05.2025Aktualisierung der FAQ zur Meldung der Beteiligung sowie der Beendigung der Beteiligung an Vereinbarungen zum freiwilligen Cyber-Informationsaustausch
28.03.2025Aktualisierung der Fristen und Formate zur Einreichung der Informationsregister: Informationsregister und Anzeigepflichten

Eine für alle(s)

So gut wie alle beaufsichtigten Finanzunternehmen des europäischen Finanzsektors fallen unter DORA. Diese Verordnung führt verschiedene Anforderungen hinsichtlich Cybersicherheit, des Umgangs mit IKT-Risiken sowie der digitalen operationalen Resilienz zusammen.

Die BaFin und die Deutsche Bundesbank haben die Umsetzung von DORA begleitet, insbesondere durch Anpassung der Aufsichts- und Verwaltungspraxis und durch Implementierung von eigenen IT-Prozessen und -Systemen im Rahmen von DORA. So ist jetzt beispielsweise die BaFin in Deutschland der nationale Melde-Hub für IKT-Vorfälle im Finanzsektor. Außerdem nimmt die BaFin verpflichtende Anzeigen im Rahmen des IKT-Drittparteienrisikomanagements entgegen und analysiert sie mit Blick auf potenzielle Risiken für den Finanzsektor.
Die BaFin unterstützt beaufsichtigte Finanzunternehmen bei der Umsetzung von DORA – beispielsweise mit Veranstaltungen, Gesprächen mit Expertinnen und Experten und dieser Informationsseite. Hier sind die wichtigsten Informationen zu DORA und deren Umsetzung zusammengestellt. Die Website wird laufend aktualisiert.

Veranstaltungshinweis:IT-Aufsicht im Finanzsektor - das erste Jahr DORA

Am 04. Dezember 2025 findet die BaFin-Veranstaltung " IT-Aufsicht im Finanzsektor - das erste Jahr DORA " als digitale Konferenz statt.

Nähere Informationen finden Sie hier.

Regelungsinhalt

DORA soll die digitale operationale Resilienz des gesamten europäischen Finanzsektors in diesen sechs wesentlichen Bereichen stärken:

Weitere Einzelheiten zu den sechs wesentlichen Bereichen von DORA finden Sie auf den oben verlinkten thematischen Unterseiten. Hinweise zur technischen Umsetzung von regulatorischen Anforderungen über die Melde- und Veröffentlichungsplattform der BaFin finden Sie auf der Unterseite MVP Fachverfahren „Digital Operational Resilience Act (DORA)“.

DORA findet seit dem 17. Januar 2025 Anwendung.

Die drei Europäischen Aufsichtsbehörden – die EU-Wertpapieraufsichtsbehörde (European Securities and Markets Authority – ESMA), die EU-Bankenaufsichtsbehörde (European Banking Authority – EBA) und die EU-Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung (European Insurance and Occupational Pensions Authority – EIOPA), haben gemeinsam dazu technische Regulierungsstandards, Implementierungsstandards und Leitlinien erarbeitet, um die Anwendung von DORA in allen Sektoren weiter zu konkretisieren, vgl. die Tabelle DORA - Level 2 und 3 unten.

Neben DORA wurde zeitgleich eine DORA-Änderungsrichtlinie mit dem Ziel veröffentlicht, sektorale europäische Richtlinien konsistent mit den Anforderungen von DORA zu halten. So wurden beispielsweise TLPT unter DORA in den SREP-Prozess der Eigenkapitalrichtlinie (Capital Requirements Directive – CRD) aufgenommen. Die DORA-Änderungsrichtlinie ändert die europäischen Richtlinien 2009/65/EG (OGAW-Richtlinie), 2009/138/EG (Solvency II Richtlinie), 2011/61/EU (AIFM-Richtlinie), 2013/36/EU (Eigenkapitalrichtlinie; CRD), 2014/59/EU (Abwicklungsrichtlinie), 2014/65/EU (MiFID II), (EU) 2015/2366 (PSD II) und (EU) 2016/2341 (EbAV-II-Richtlinie).

Zum Hintergrund

Das Europäische Parlament und der Europäische Rat haben am 14. Dezember 2022 DORA, die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (Digital Operational Resilience Act), beschlossen. Die Verordnung wurde am 27. Dezember 2022 im Amtsblatt der europäischen Union veröffentlicht und wird seit dem 17. Januar 2025 angewendet.

Die Europäische Kommission hatte den Legislativvorschlag zu DORA am 24. September 2020 als Teil des Pakets zur Digitalisierung des Finanzsektors vorgelegt. Dieses Paket umfasst auch einen Rechtsakt über Märkte für Kryptowerte (Markets in Crypto-Assets Regulation – MiCAR, Verordnung (EU) 2023/1114), einen Vorschlag über eine Pilotregelung für auf Distributed-Ledger-Technologie (DLT) basierende Marktinfrastrukturen sowie eine Strategie für ein digitales Finanzwesen.

Übrigens: Der deutsche Finanzsektor und die Aufsicht waren schon gut auf DORA vorbereitet, denn einzelne Instrumente, die die BaFin in der Vergangenheit bereits geschaffen hat, um die IKT-Sicherheit des deutschen Finanzsektors zu erhöhen, finden sich in DORA wieder: harmonisierte Anforderungen an das IKT-Risikomanagement für die einzelnen Finanzsektoren (BAIT, ZAIT, VAIT, KAIT), vereinheitlichte Auslagerungsanzeigen, Überwachungsrahmen für IT-Mehrmandantendienstleister und vereinheitlichte Strukturen für das Meldewesen von IKT-bezogenen Vorfällen.

Umsetzung in Deutschland

Das Gesetz über die Digitalisierung des Finanzmarktes (Finanzmarktdigitalisierungsgesetz – FinmadiG) wurde am 27. Dezember 2024 im Bundesgesetzblatt veröffentlicht und ist noch 2024 in Kraft getreten. Dieses Gesetz dient der zusammengefassten Durchführung bzw. Umsetzung der Europäische Verordnung MiCAR, der Neufassung der EU-Geldtransferverordnung (Transfer of Funds Regulation, Verordnung (EU) 2023/1113) sowie des europäischen DORA-Pakets (Digital Operational Resilience Act, Verordnung (EU) 2022/2554 und Richtlinie (EU) 2022/2556).

Weitere Informationen zur technischen Umsetzung von DORA bei der BaFin finden Sie hier.

Delegierte Rechtsakte, Regulierungs- und Durchführungsstandards zu DORA sowie gemeinsame Leitlinien (Level 2 und 3)

DORA als europäische Verordnung ist entsprechend dem im Finanzsektor üblichen Lamfalussy-Verfahren der Basisrechtsakt (Level 1). DORA legt grundlegende Anforderungen fest und enthält Ermächtigungen für Konkretisierungen durch delegierte Rechtsakte, technische Regulierungsstandards (Regulatory Technical Standard, RTS) und technische Durchführungsstandards (Implementing Technical Standard, ITS) (Level 2) sowie gemeinsame Leitlinien (Joint Guidelines) der drei ESAs (EBA, EIOPA und ESMA) (Level 3).

Zu DORA gibt es die folgenden Level 2/3-Texte:

DORA - Level 2 und 3

KurztitelLink
IKT-Risikomanagement
RTS (regulärer und vereinfachter) IKT-Risikomanagementrahmen (Art. 15, 16 Abs. 3 DORA)Delegierte Verordnung (EU) 2024/1774
Behandlung, Klassifizierung und Berichterstattung IKT-bezogener Vorfälle
RTS Kriterien für die Klassifizierung von IKT-bezogenen Vorfällen (Art. 18 Abs. 3 DORA)Delegierte Verordnung (EU) 2024/1772
RTS Inhalt und Fristen für Meldungen von schwerwiegenden IKT-bezogenen Vorfällen (Art. 20 lit. a DORA)Delegierte Verordnung (EU) 2025/301
ITS Standardformulare, Vorlagen und Verfahren für Meldungen von schwerwiegenden IKT-bezogenen Vorfällen (Art. 20 lit. b DORA)Durchführungsverordnung (EU) 2025/302
Gemeinsame Leitlinien Schätzung Kosten/Verluste von schwerwiegenden IKT-bezogenen Vorfällen (Art. 11 Abs. 11 DORA)JC 2024 34
Testen der digitalen operationalen Resilienz einschließlich Threat-led Penetration Testing (TLPT)
RTS zu Threat-Led Penetration Testing (TLPT) (Art. 26 Abs. 11 DORA)Delegierte Verordnung (EU) 2025/1190
Management des IKT-Drittparteienrisikos
 
RTS Leitlinie zur Nutzung von IKT-Dienst­leistungen (Art. 28 Abs. 10 DORA)Delegierte Verordnung (EU) 2024/1773
RTS Untervergabe von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen (Art. 30 Abs. 5 DORA)Delegierte Verordnung (EU) 2025/532
Informationsregister und Anzeigepflichten
 
ITS zur Erstellung einer Standardvorlage für das Informationsregister (Art. 28 Abs.9 DORA)Durchführungsverordnung (EU) 2024/2956
Überwachungsrahmen für kritische IKT-Drittdienstleister
 
Delegierter Rechtsakt Kriterien Einstufung IKT-DDL für als für FU kritisch (Art. 31 Abs. 6 i.V.m. Art. 57 DORA)Delegierte Verordnung (EU) 2024/1502
RTS Harmonisierung Voraussetzungen der Durchführung der Überwachungstätigkeiten (Art. 41 DORA)Delegierte Verordnung (EU) 2025/295
RTS zu der Zusammensetzung der JETs (Art. 41 DORA)Delegierte Verordnung (EU) 2025/420
Delegierter Rechtsakt Höhe der zu erhebenden Überwachungsgebühren (Art. 43 Abs. 2 i.V.m. Art. 57 DORA)Delegierte Verordnung (EU) 2024/1505
Gemeinsame Leitlinien Zusammenarbeit zwischen den ESA und zuständigen Behörden (Art. 32 Abs. 7 DORA)JC/GL/2024/36

Außerdem wurde ein Bericht zur Zentralisierung des Meldewesens veröffentlicht.

Auf den thematischen Unterseiten dieser Informationsseite finden Sie teilweise weitergehende Informationen zu den einzelnen Rechtstexten.

DORA: Veröffentlichungen der BaFin

DORA: Was müssen Sie wissen?

Sollten Sie Fragen rund um das Thema DORA haben, wenden Sie sich bitte an unser zentrales Funktionspostfach:

Kontakt:Fra­gen rund um DO­RA

E-Mail: DORA@bafin.de

Auslegungsfragen zur europäischen Verordnung DORA und den delegierten Verordnungen und Durchführungsverordnungen können bei den europäischen Aufsichtsbehörden (EBA, EIOPA und ESMA) über die bestehenden Prozesse zu Questions & Answers (Q&A) eingereicht werden.
Die Antworten können entweder auf den einzelnen Seiten der ESAs eingesehen werden (EIOPA Search QAs - European Union (europa.eu), EBA Search for Q&As | European Banking Authority (europa.eu), ESMA Search a question | European Securities and Markets Authority (europa.eu)) oder in dem Dashboard für Joint-Q&As (hier: joint Q&As (europa.eu)).

Außerdem vermittelt der folgende Fragenkatalog zu DORA, ohne Anspruch auf Vollständigkeit, einen ersten Überblick über die wichtigsten Fragestellungen zu DORA und deren Umsetzung. Themenspezifische Fragen finden Sie auf den jeweiligen Unterseiten.

Für welche Unternehmen gilt DORA?

DORA ist eine finanzsektorübergreifende europäische Verordnung und bündelt und harmonisiert Regelungen bestehender sektoraler europäischer Verordnungen und Richtlinien.

In den Geltungsbereich der europäischen Verordnung DORA fallen (Artikel 2 Absatz 1 DORA):

a) CRR-Kreditinstitute,
b) Zahlungsinstitute,
c) Kontoinformationsdienstleister,
d) E-Geld-Institute,
e) Wertpapierfirmen,
f) Anbieter von Krypto-Dienstleistungen, die gemäß der Verordnung des Europäischen Parlaments und des Rates über Märkte von Krypto-Werten (MiCAR) zugelassen sind, und Emittenten wertreferenzierter Token,
g) Zentralverwahrer,
h) zentrale Gegenparteien,
i) Handelsplätze,
j) Transaktionsregister,
k) Verwalter alternativer Investmentfonds,
l) Verwaltungsgesellschaften
m) Datenbereitstellungsdienste,
n) Versicherungs- und Rückversicherungsunternehmen,
o) Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit,
p) Einrichtungen der betrieblichen Altersversorgung,
q) Ratingagenturen,
r) Administratoren kritischer Referenzwerte,
s) Schwarmfinanzierungsdienstleister,
t) Verbriefungsregister
u) IKT-Dienstleister (Diese sind allerdings kein Finanzunternehmen, s. Artikel 2 Absatz2 DORA)

Ausnahmen gelten für die folgenden Unternehmen (Artikel 2 Absatz 3 DORA):

a) Verwalter alternativer Investmentfonds im Sinne von Artikel 3 Absatz 2 der Richtlinie 2011/61/EU;
b) Versicherungs- und Rückversicherungsunternehmen im Sinne von Artikel 4 der Richtlinie 2009/138/EG;
c) Einrichtungen der betrieblichen Altersversorgung, die Altersversorgungssysteme mit insgesamt weniger als 15 Versorgungsanwärtern betreiben;
d) gemäß den Artikeln 2 und 3 der Richtlinie 2014/65/EU ausgenommene natürliche oder juristische Personen;
e) Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit, bei denen es sich um Kleinstunternehmen oder kleine oder mittlere Unternehmen handelt;
f) Postgiroämter im Sinne von Artikel 2 Absatz 5 Nummer 3 der Richtlinie 2013/36/EU.

Darüber hinaus hat das FinmadiG den Geltungsbereich der DORA auf weitere Unternehmen erweitert: Versicherungsholdings nach § 7 Nr. 31 und § 294 Absatz 4 VAG (s. § 293 Absatz 5 VAG) und alle Institute nach dem KWG, die nicht schon nach Artikel 2 DORA unter DORA fallen (s. § 1a Absatz 2a i.V.m. § 65a Absatz 3 KWG) müssen DORA umsetzen. Letztere haben die Anforderungen an das Meldewesen nach Kapitel III seit dem 17. Januar 2025 anzuwenden, die übrigen Vorgaben der DORA dann ab dem 01.01.2027.

Müssen auch KWG-Institute, die keine CRR-Kreditinstitute sind, die Anforderungen der DORA erfüllen?

Im Rahmen des Gesetzes über die Digitalisierung des Finanzmarktes (kurz FinmadiG) wurde unter anderem festgelegt, dass DORA in Deutschland für weitere Institute gilt.

§ 1a Absatz 2a KWG wurde wie folgt neu gefasst:
„Für Institute, die nicht nach Artikel 2 der Verordnung (EU) 2022/2554 im Geltungsbereich der Verordnung (EU) 2022/2554 liegen, gelten die Vorgaben der Verordnung (EU) 2022/2554 und die Vorgaben der auf Grundlage der Verordnung (EU) 2022/2554 erlassenen Rechtsakte sowie die Bestimmungen dieses Gesetzes, die auf Vorgaben der Verordnung (EU) 2022/2554 verweisen so, als wären diese Institute CRR-Kreditinstitute. Abweichend von Satz 1 finden
1. anstelle der Vorgaben der Artikel 5 bis 15 der Verordnung (EU) 2022/2554 die Vorgaben des vereinfachten Informations- und Kommunikationstechnologien-Risikomanagementrahmens nach Artikel 16 der Verordnung (EU) 2022/2554 Anwendung,
2. die Vorgaben an die Durchführung der bedrohungsgeleiteten Penetrationstests nach den Artikeln 26 und 27
der Verordnung (EU) 2022/2554 keine Anwendung,
3. die Vorgaben an das IKT-Drittparteienrisikomanagement nach den Artikeln 28 bis 30 der Verordnung (EU) 2022/2554 auf Kleinstunternehmen im Sinne von Artikel 3 Nummer 60 der Verordnung (EU) 2022/2554 keine Anwendung.“

Es wurde ein neuer § 65a KWG eingefügt:
„[…] (3) § 1a Absatz 2a ist ab dem 1. Januar 2027 anzuwenden. Die Anforderungen an das Meldewesen nach Kapitel III der Verordnung (EU) 2022/2554 sind ab dem 17. Januar 2025 anzuwenden.“

Das Meldewesen ist ab dem 17.01.2025 von den betroffenen Instituten anzuwenden. Die übrigen DORA-Regelungen sind mit Ausnahme der bedrohungsgeleiteten Penetrationstests und – im Falle von Kleinstunternehmen - der Vorgaben für das IKT-Drittparteienrisiko ab dem 01.01.2027 anzuwenden. Dabei gilt der vereinfachte IKT-Risikomanagementrahmen nach Art. 16 DORA.

Seit wann wird DORA angewendet?

Die Regelungen von DORA sind seit dem 17. Januar 2025 anwendbar.

Wird es Übergangsfristen im Rahmen von DORA geben?

Die Verordnung ist am 16. Januar 2023 in Kraft getreten und findet nun nach einer zweijährigen Übergangszeit ab seit 17. Januar 2025 Anwendung. Eine weitere Übergangsfrist wird es nicht geben.

Wird es seitens der BaFin Konkretisierungsrundschreiben zu DORA geben?

Da es sich bei der DORA um eine europäische Verordnung handelt, haben die nationalen Aufsichtsbehörden keine eigene Regelungskompetenz. Demnach erfolgen Konkretisierungen auf europäischer Ebene insbesondere über die delegierten Verordnungen, technischen Regulierungsstandards (RTS) und technischen Durchführungsstandards (ITS) sowie Leitlinien.

In welchem Verhältnis stehen die Regelungen von DORA (Verordnung (EU) 2022/2554) zur NIS-2-Richtlinie (Richtlinie (EU) 2022/2555)?

DORA ist gemäß ihrem Artikel 1 Absatz 2 in Bezug auf Finanzunternehmen ein sektorspezifischer Rechtsakt der Union i.S.d. Artikel 4 der NIS-2-Richtlinie. Dies bedeutet, dass die Vorgaben der DORA Anwendungsvorrang gegenüber den NIS-2-Vorgaben zum Cybersicherheitsrisikomanagement und zum Meldewesen für erhebliche Sicherheitsvorfälle haben und diese insoweit verdrängen. Da es sich beim der NIS-2-Richtlinie um eine europäische Richtlinie handelt, muss diese in nationales Recht umgesetzt werden. Dazu bereitet die Bundesregierung unter Federführung des Bundesministeriums des Innern und für Heimat (BMI) ein Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz) vor. Informationen zum Stand des Gesetzgebungsverfahren erhalten Sie hier.

Für wen gelten die BAIT jetzt (seit dem 17.01.2025) noch?

Mit dem Beginn der Anwendung von DORA am 17.01.2025 wurde der Anwendungsbereich der BAIT angepasst. Für alle Aufsichtsobjekte, die 1. bisher die BAIT angewendet haben und 2. (noch) kein IKT-Risikomanagement nach DORA betreiben müssen gelten die BAIT weiterhin. Das betrifft zum einen (I.) Aufsichtsobjekte, die durch das FinmadiG der DORA unterworfen wurden und während einer Übergangsfrist bis zum 01.01.2027 lediglich den Meldepflichten unterliegen, und zum anderen (II.) solche, die gar nicht von DORA erfasst werden.

I.

Unter das FinmadiG und die Übergangsregelung des § 1a Absatz 2a iVm § 65a Absatz 3 KWG (Neufassung gemäß FinmadiG) fallen vor allem:

  • Bürgschaftsbanken,
  • Drittstaatenzweigstellen,
  • Finanzdienstleistungsinstitute (insbesondere Finanzierungsleasing- und Factoringinstitute, Kryptowertpapierregisterführer
  • Wohnungsunternehmen mit Spareinrichtung,
  • Zweigstellen nach § 53 KWG (Stand: Januar 2025).

Ab dem 01.01.2027 müssen diese Aufsichtsobjekte auch ein IKT-Risikomanagement nach Artikel 16 DORA betreiben und werden damit ab diesem Datum nicht mehr von den BAIT erfasst. (Wer das Einlagen- und Kreditgeschäft erbringt, ist ein CRR-Kreditinstitut und fällt nach Artikel 2 Absatz 1 lit. a DORA seit dem 17.01.2025 unter DORA).

II.

Zu den Aufsichtsobjekten, die weder jetzt unter DORA fallen noch sich derzeit in einer Übergangsfrist befinden und ab 01.01.2027 DORA anwenden müssen, gehören beispielsweise Finanzholdings. Für sie gelten die BAIT ebenfalls.

Zusatzinformationen

Rechtsgrundlagen

Mehr zum Thema

Finanzmarktdigitalisierungsgesetz

BaFin-Veranstaltung „IT-Aufsicht im Finanzsektor: Was bedeutet DORA in der Praxis?“ (26.09.2024)

BaFin-Workshops „DORA Informationsregister“ (21.06.2024)

BaFin-Workshop „DORA für IKT-Drittdienstleister“ (29.02.2024)

BaFin-Veranstaltung „IT-Aufsicht im Finanzsektor: Was bedeutet DORA in der Praxis?“ (05.12.2023)

Fanden Sie den Beitrag hilfreich?

Wir freuen uns über Ihr Feedback

Es hilft uns, die Webseite kontinuierlich zu verbessern und aktuell zu halten. Bei Fragen, für deren Beantwortung wir Sie kontaktieren sollen, nutzen Sie bitte unser Kontaktformular.

Wir freuen uns über Ihr Feedback