DORA-Software – digitale operationale Resilienz im Finanzsektor

Erfasst sind unter anderem Kreditinstitute, Zahlungs- und E-Geld-Institute, Kontoinformationsdienstleister, Wertpapierfirmen, Anbieter von Krypto-Dienstleistungen nach MiCAR, Zentralverwahrer, zentrale Gegenparteien, Handelsplätze, Transaktionsregister, Verwalter alternativer Investmentfonds, Verwaltungsgesellschaften, Versicherungs- und Rückversicherungsunternehmen samt Vermittlern, Einrichtungen der betrieblichen Altersversorgung, Ratingagenturen, Administratoren kritischer Referenzwerte, Schwarmfinanzierungsdienstleister und Verbriefungsregister.

Art. 2 Abs. 3 nimmt einzelne Gruppen ausdrücklich aus – etwa Einrichtungen der betrieblichen Altersversorgung mit insgesamt weniger als 15 Versorgungsanwärtern, Versicherungsvermittler, die Kleinstunternehmen oder KMU sind, sowie Postgiroämter. Wer sich auf eine Ausnahme stützt, sollte die Einordnung dokumentieren: Sie ist im Prüfungsfall zu begründen.

Für kleinere Häuser sieht Art. 16 ein vereinfachtes IKT-Risikomanagement-Rahmenwerk vor. Es gilt unter anderem für kleine und nicht verflochtene Wertpapierfirmen, für nach der Zahlungsdiensterichtlinie ausgenommene Zahlungsinstitute, für nach der Richtlinie 2009/110/EG ausgenommene E-Geld-Institute und für kleine Einrichtungen der betrieblichen Altersversorgung. Statt der Art. 5 bis 15 greifen dann acht Mindestanforderungen – von einem dokumentierten Rahmenwerk über die laufende Überwachung bis zu regelmäßigen Tests und Schulungen.

Eine deutsche Besonderheit erweitert den Kreis: Das Finanzmarktdigitalisierungsgesetz (FinmadiG), verkündet am 27.12.2024, erstreckt DORA auf KWG-Institute, die nicht bereits unter Art. 2 DORA fallen – praktisch relevant für Finanzierungsleasing- und Factoring-Institute, Kryptowerte-Registerführer und Zweigstellen nach § 53 KWG – sowie auf Versicherungsholdings. Für diese national einbezogenen Unternehmen gilt ein gestaffelter Zeitplan: seit dem 17.01.2025 zunächst nur die Meldepflichten aus Kapitel III, ab dem 01.01.2027 die übrigen Vorgaben, dann mit dem vereinfachten Rahmenwerk nach Art. 16 und ohne TLPT.

Im Register ist zu unterscheiden zwischen Vereinbarungen, die kritische oder wichtige Funktionen unterstützen, und allen übrigen. Diese Unterscheidung ist keine Formalie: An ihr hängen die vertraglichen Mindestinhalte, die Anforderungen an Unterauftragsvergabe und die Vorabunterrichtung der Aufsicht.

Finanzunternehmen berichten der zuständigen Behörde mindestens einmal jährlich über die Anzahl neuer Vereinbarungen, die Kategorien von Dienstleistern, die Art der Vereinbarungen sowie die bezogenen Dienstleistungen und Funktionen. Zusätzlich ist die Behörde zeitnah vorab zu unterrichten, wenn eine vertragliche Vereinbarung über kritische oder wichtige Funktionen geplant ist – und ebenso, wenn eine bislang unkritische Funktion kritisch oder wichtig wird.

In Deutschland läuft die Einreichung ausschließlich über die Melde- und Veröffentlichungsplattform der BaFin im Fachverfahren DORA. Zulässig sind zwei Formate: eine strukturierte xBRL-Datei nach der ESA-Taxonomie oder die Excel-Vorlage der BaFin. Referenzstichtag ist der 31. Dezember des Vorjahres; die zuständigen Behörden übermitteln die Register anschließend jeweils bis zum 31. März an die europäischen Aufsichtsbehörden. Für den Meldezyklus 2026 endete das Einreichungsfenster bei der BaFin am 30. März 2026.

Praktisch scheitert das Register selten am guten Willen, sondern an der Datenlage: Verträge liegen in der Rechtsabteilung, Dienstleister im Einkauf, kritische Funktionen in der Fachbereichsdokumentation. Genau diese Zusammenführung leistet MGMSYS – ein gepflegter Datenbestand statt einer jährlichen Sonderaktion.

Besonders zu beachten ist der Sonderfall in Art. 5 Abs. 2: Wird ein Vorfall erst später als 24 Stunden nach Kenntniserlangung als schwerwiegend eingestuft, ist die Erstmeldung innerhalb von vier Stunden nach dieser Einstufung zu übermitteln. Der Zeitpunkt der Klassifizierung ist damit selbst nachweisrelevant und sollte protokolliert werden.

Fällt eine Frist auf ein Wochenende oder einen Feiertag, kann bis 12:00 Uhr des darauffolgenden Arbeitstags gemeldet werden. Diese Erleichterung gilt allerdings nicht für Erst- und Zwischenmeldungen von Kreditinstituten, zentralen Gegenparteien, Handelsplatzbetreibern und weiteren als wesentlich oder wichtig eingestuften Finanzunternehmen; die Aufsicht kann sie zusätzlich weiteren bedeutenden Unternehmen entziehen.

Wer eine Frist nicht halten kann, muss dies der Behörde unverzüglich – spätestens innerhalb der jeweiligen Frist – mitteilen und begründen. In Deutschland laufen die Meldungen über die BaFin als nationalen Melde-Hub, im MVP-Fachverfahren DORA. Nur bei einem Ausfall der Plattform ist ersatzweise eine Meldung per Excel-Vorlage an die BaFin vorgesehen; die Meldung im MVP ist dann nachzuholen.

Die europäischen Aufsichtsbehörden stufen IKT-Drittdienstleister nach Art. 31 DORA als kritisch ein. Maßgeblich sind die systemischen Auswirkungen eines Ausfalls, der systemische Charakter der nutzenden Finanzunternehmen, der Grad der Abhängigkeit bei kritischen oder wichtigen Funktionen sowie die Substituierbarkeit des Anbieters; die Kriterien konkretisiert die Delegierte Verordnung (EU) 2024/1502.

Am 18. November 2025 haben die europäischen Aufsichtsbehörden erstmals eine Liste benannter kritischer IKT-Drittdienstleister veröffentlicht – sie umfasst 19 Unternehmen, darunter mehrere große Cloud- und IT-Dienstleister. Für jeden benannten Anbieter wird eine federführende Überwachungsbehörde bestimmt; die laufende Überwachung erfolgt durch gemeinsame Untersuchungsteams.

Für Finanzunternehmen ist das mittelbar relevant: Wer einen benannten kritischen Dienstleister nutzt, muss diese Abhängigkeit im Informationsregister sauber abbilden und in der Ausstiegs- und Fortführungsplanung berücksichtigen. Die Benennung des Anbieters ersetzt die eigene Sorgfaltspflicht ausdrücklich nicht.