Finanzsektor · VO (EU) 2022/2554 · FinmadiG
DORA – wer betroffen ist und was gilt
Der Digital Operational Resilience Act ist seit dem 17.01.2025 anwendbar und gilt als EU-Verordnung unmittelbar. In Deutschland ergänzt ihn das Finanzmarktdigitalisierungsgesetz (FinmadiG). Diese Seite ordnet ein, wer erfasst ist, welche Pflichten bestehen und welche Fristen laufen – mit Fundstellen.
Unverbindlich testen – keine Verpflichtung, keine automatische Vertragsbindung.
Fachlich geprüft von Dr. Stefan Spörrer, LL.M. – Wirtschaftsjurist, geprüfter Datenschutzbeauftragter und Gründer von MGMSYS · Aktualisiert: Oktober 2026
Auf einen Blick
DORA richtet sich an 20 Arten von Finanzunternehmen und an IKT-Drittdienstleister. Wie viel ein Haus umsetzen muss, hängt von der Einordnung ab: voller Rahmen nach Art. 5 bis 15 oder vereinfachter Rahmen nach Art. 16, Kleinstunternehmen mit einzelnen Erleichterungen. Konkretisiert wird die Verordnung durch delegierte und Durchführungsverordnungen sowie Leitlinien der ESAs.
- Anwendbar seit dem 17.01.2025 (Art. 64 DORA), unmittelbar geltend; in Deutschland ergänzt durch das FinmadiG.
- Adressaten: 20 Arten von Finanzunternehmen (Art. 2 Abs. 1 Buchst. a–t) und IKT-Drittdienstleister (Buchst. u); Ausnahmen in Art. 2 Abs. 3.
- Für bestimmte Unternehmen gilt statt Art. 5 bis 15 der vereinfachte IKT-Risikomanagementrahmen nach Art. 16.
- Schwerwiegende IKT-Vorfälle: Erstmeldung binnen 4 Stunden nach Einstufung, spätestens 24 Stunden nach Kenntnis; Zwischenmeldung binnen 72 Stunden nach der Erstmeldung; Abschlussmeldung binnen eines Monats nach der letzten Zwischenmeldung (Del. VO (EU) 2025/301).
- Das Informationsregister ist jährlich einzureichen, in Deutschland über die MVP-Plattform der BaFin; Stichtag ist der 31.12. des Vorjahres, eingereicht wird im jährlich von der BaFin bekanntgegebenen Fenster, spätestens Ende März (2026: 09.03. bis 30.03.). Eine verspätete Einreichung ist nicht vorgesehen.
- Institute nach § 1 Abs. 1b KWG (z. B. Finanzierungsleasing, Factoring) sind über das FinmadiG einbezogen (§§ 1a Abs. 2a, 65a KWG): Meldepflichten seit dem 17.01.2025, übrige Vorgaben ab dem 01.01.2027; sie wenden den vereinfachten Rahmen nach Art. 16 an und führen kein TLPT durch.
- Für Finanzunternehmen nach Art. 2 Abs. 2 DORA sieht § 28 BSIG eine Bereichsausnahme von zentralen BSIG-Pflichten vor; maßgeblich ist für sie DORA.
Primärquellen: VO (EU) 2022/2554 – DORA (EUR-Lex) · BaFin – DORA · Del. VO (EU) 2025/301 (EUR-Lex) · ESAs – Benennung kritischer IKT-Drittdienstleister (18.11.2025)
Stand: Oktober 2026 · Überblick ohne Gewähr, ersetzt keine Rechtsberatung im Einzelfall.
Anwendungsbereich
Wer unter DORA fällt – Art. 2 Abs. 1 Buchst. a bis u
Art. 2 Abs. 1 DORA zählt in den Buchstaben a bis t zwanzig Arten von Finanzunternehmen auf. Buchstabe u erfasst IKT-Drittdienstleister als eigene Adressatengruppe.
Erfasst sind unter anderem Kreditinstitute, Zahlungs- und E-Geld-Institute, Kontoinformationsdienstleister, Wertpapierfirmen, Anbieter von Krypto-Dienstleistungen, Zentralverwahrer, zentrale Gegenparteien, Handelsplätze, Transaktionsregister, Verwalter alternativer Investmentfonds, Verwaltungsgesellschaften, Versicherungs- und Rückversicherungsunternehmen samt Vermittlern, Einrichtungen der betrieblichen Altersversorgung, Ratingagenturen, Administratoren kritischer Referenzwerte, Schwarmfinanzierungsdienstleister und Verbriefungsregister. Maßgeblich ist der Wortlaut des Art. 2 Abs. 1 – die Zuordnung sollte für jede erlaubnispflichtige Tätigkeit einzeln geprüft werden.
| Einordnung | Was gilt | Fundstelle |
|---|---|---|
| Finanzunternehmen (voller Rahmen) | IKT-Risikomanagement nach Art. 5 bis 15, konkretisiert durch die Del. VO (EU) 2024/1774; Vorfälle, Tests, Drittparteienrisiko | Art. 2 Abs. 1 Buchst. a–t DORA |
| Vereinfachter Rahmen | IKT-Risikomanagementrahmen nach Art. 16 statt Art. 5 bis 15 | Art. 16 DORA |
| Kleinstunternehmen | einzelne Erleichterungen, z. B. keine Meldung der jährlichen Kosten und Verluste nach Art. 11 Abs. 10 (ebenso nicht im vereinfachten Rahmen nach Art. 16), risikobasiertes Testen nach Art. 25 Abs. 3 | Art. 3 und einzelne Pflichtnormen DORA |
| IKT-Drittdienstleister | eigene Adressatengruppe; bei Benennung als kritisch Überwachung durch die ESAs | Art. 2 Abs. 1 Buchst. u, Art. 31 ff. DORA |
| Ausnahmen | vom Anwendungsbereich ausgenommene Gruppen | Art. 2 Abs. 3 DORA |
Ausnahmen nach Art. 2 Abs. 3
Art. 2 Abs. 3 nimmt einzelne Gruppen ausdrücklich aus – etwa Einrichtungen der betrieblichen Altersversorgung mit insgesamt weniger als 15 Versorgungsanwärtern, Versicherungsvermittler, die Kleinstunternehmen oder KMU sind, sowie Postgiroämter. Wer sich auf eine Ausnahme stützt, sollte die Einordnung dokumentieren: Sie ist im Prüfungsfall zu begründen.
Vereinfachter Rahmen nach Art. 16
Für bestimmte Unternehmen – unter anderem kleine und nicht verflochtene Wertpapierfirmen sowie ausgenommene Zahlungs- und E-Geld-Institute – tritt an die Stelle der Art. 5 bis 15 ein vereinfachter IKT-Risikomanagementrahmen. Die Einordnung entscheidet darüber, welche Dokumente und Verfahren vorzuhalten sind; sie sollte deshalb am Anfang der Umsetzung stehen.
Deutschland
FinmadiG – Institute nach § 1 Abs. 1b KWG mit gestaffeltem Zeitplan
Das Finanzmarktdigitalisierungsgesetz ist das deutsche Begleitgesetz zu DORA. Über §§ 1a Abs. 2a, 65a KWG bezieht es Institute nach § 1 Abs. 1b KWG ein, die nicht bereits unter Art. 2 DORA fallen.
Praktisch relevant ist das unter anderem für Institute, die Finanzierungsleasing oder Factoring betreiben. Für sie gilt ein gestaffelter Zeitplan: Die Meldepflichten für IKT-bezogene Vorfälle sind seit dem 17.01.2025 zu erfüllen, die übrigen Vorgaben ab dem 01.01.2027. Sie wenden den vereinfachten IKT-Risikomanagementrahmen nach Art. 16 an und führen kein TLPT durch. Die Einordnung sollte schon jetzt geklärt werden.
| Pflichtenblock | Seit / ab | Grundlage |
|---|---|---|
| Meldung IKT-bezogener Vorfälle | seit 17.01.2025 | §§ 1a Abs. 2a, 65a KWG i. V. m. Art. 17 ff. DORA |
| übrige Vorgaben (u. a. IKT-Risikomanagement im vereinfachten Rahmen nach Art. 16, Drittparteienrisiko) | ab 01.01.2027 | §§ 1a Abs. 2a, 65a KWG i. V. m. DORA |
Quelle: BaFin – DORA
Pflichten
Die Pflichten im Überblick
DORA gliedert die Anforderungen in IKT-Risikomanagement, Vorfälle, Tests, Drittparteienrisiko und Informationsaustausch. Die Einzelheiten stehen überwiegend in den technischen Standards und Leitlinien.
IKT-Risikomanagement (Art. 5–16)
Rahmen aus Strategien, Richtlinien und Verfahren, Bestand der IKT-Assets, Einstufung der Geschäftsfunktionen, Risiken gegen eine festgelegte Toleranz. Mindestinhalte regelt die Del. VO (EU) 2024/1774; für den vereinfachten Rahmen gilt Art. 16.
IKT-bezogene Vorfälle (Art. 17–23)
Erfassen, einstufen, melden. Schwerwiegend ist ein Vorfall nach Art. 8 Del. VO (EU) 2024/1772, wenn kritische Dienste betroffen sind und entweder ein böswilliger Zugriff mit möglichem Datenverlust vorliegt oder mindestens zwei weitere Wesentlichkeitsschwellen erreicht sind. Inhalte und Fristen: Del. VO (EU) 2025/301, Formulare: DVO (EU) 2025/302.
Tests und TLPT (Art. 24–27)
Finanzunternehmen außer Kleinstunternehmen brauchen ein Testprogramm (Art. 24); Kleinstunternehmen testen risikobasiert (Art. 25 Abs. 3). Bedrohungsgeleitete Penetrationstests (TLPT) mindestens alle drei Jahre (Art. 26): Wer TLPT durchführen muss, bestimmt die Behörde. Für bestimmte Finanzunternehmen (u. a. G-SRI/A-SRI, große Zahlungs-, E-Geld- und Versicherungsunternehmen) legt Art. 2 Abs. 2 Del. VO (EU) 2025/1190 Schwellen fest, ab denen die Behörde TLPT grundsätzlich verlangt; Ablauf und Teilfristen ebenfalls dort.
Drittparteienrisiko und Informationsregister (Art. 28 ff.)
Register aller vertraglichen Vereinbarungen über IKT-Dienstleistungen nach Art. 28 Abs. 3, Vorlagen nach der DVO (EU) 2024/2956, jährliche Einreichung im EBA-Format (derzeit EBA-Taxonomie 4.0, xBRL-CSV; laut BaFin für den Zyklus 2027 keine Änderung angekündigt). Die ESAs haben am 18.11.2025 erstmals 19 kritische IKT-Drittdienstleister benannt.
Vertragsinhalte (Art. 30)
Mindestinhalte für Verträge über IKT-Dienstleistungen, erweitert für kritische oder wichtige Funktionen. Die Leitlinie für solche Verträge regelt die Del. VO (EU) 2024/1773 – unter anderem Vorabprüfung, Sorgfaltsprüfung, Interessenkonflikte, Leistungsüberwachung und Ausstiegsplan; sie gilt nicht im vereinfachten Rahmen und nicht für Kleinstunternehmen.
Unterauftragsvergabe (Del. VO (EU) 2025/532)
Seit 22.07.2025 in Kraft: Bedingungen für die Weitervergabe von IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen – unter anderem Entscheidung vor Vertragsschluss, Mitteilung wesentlicher Änderungen mit Frist und Kündigungsgründe.
Kosten und Verluste (JC 2024/34)
Gemeinsame Leitlinien der ESAs zur Schätzung der jährlichen Kosten und Verluste schwerwiegender Vorfälle, anwendbar seit 19.05.2025. Gemeldet wird nur auf Anforderung der Behörde (Art. 11 Abs. 10 DORA); ausgenommen sind Kleinstunternehmen und Unternehmen im vereinfachten Rahmen nach Art. 16.
Informationsaustausch (Art. 45)
Finanzunternehmen können untereinander Informationen über Cyberbedrohungen austauschen. Grundlage sind Vereinbarungen nach Art. 45, die die Vertraulichkeit und den Schutz der Informationen regeln.
| Thema | Konkretisierung |
|---|---|
| IKT-Risikomanagement | Del. VO (EU) 2024/1774 |
| Einstufung von Vorfällen | Del. VO (EU) 2024/1772 |
| Meldeinhalte und Fristen | Del. VO (EU) 2025/301 |
| Meldeformulare | DVO (EU) 2025/302 |
| Informationsregister | DVO (EU) 2024/2956 |
| Leitlinie für Verträge über kritische oder wichtige Funktionen | Del. VO (EU) 2024/1773 |
| Unterauftragsvergabe | Del. VO (EU) 2025/532 |
| TLPT | Del. VO (EU) 2025/1190 |
| Kosten und Verluste schwerwiegender Vorfälle | Gemeinsame Leitlinien der ESAs JC 2024/34 |
Meldungen und das Informationsregister laufen in Deutschland über die MVP-Plattform der BaFin. Für Vorfallmeldungen gilt das JSON-Schema der ESAs (IR-1.2.1) in einer XML-Hülle; maßgeblich sind die BaFin-Hinweise zu den Meldungen (Stand 15.05.2026) und die Betriebshinweise der ESAs vom 16.09.2026. Die Wochenend- und Feiertagsregel nach Art. 5 Abs. 4 bis 6 Del. VO (EU) 2025/301 gilt nicht für alle Unternehmensarten; MGMSYS rechnet mit bundeseinheitlichen Feiertagen.
Verhältnis zu NIS2
DORA und NIS2 – Bereichsausnahme im BSIG
Für Finanzunternehmen nach Art. 2 Abs. 2 DORA sieht § 28 BSIG eine Bereichsausnahme von zentralen BSIG-Pflichten vor; maßgeblich ist für sie DORA.
Risikomanagement, Vorfallmeldung und Drittparteienrisiko richten sich für diese Finanzunternehmen nach DORA und den technischen Standards zur Verordnung. Unternehmen, die neben dem Finanzgeschäft weitere Tätigkeiten ausüben, sollten diese gesondert nach dem BSIG prüfen. Wie die NIS2-Betroffenheit festgestellt wird, zeigt die Seite NIS2-Betroffenheit prüfen.
Fristen
Fristen und Termine im Überblick
Feste Stichtage und laufende Fristen aus DORA, den technischen Standards und dem FinmadiG.
| Frist / Termin | Inhalt | Fundstelle |
|---|---|---|
| 17.01.2025 | DORA anwendbar | Art. 64 DORA |
| 17.01.2025 | Meldepflichten für Institute nach § 1 Abs. 1b KWG (FinmadiG) | §§ 1a Abs. 2a, 65a KWG |
| 19.05.2025 | Leitlinien zu Kosten und Verlusten schwerwiegender Vorfälle anwendbar | JC 2024/34 |
| 22.07.2025 | Del. VO zur Unterauftragsvergabe in Kraft | Del. VO (EU) 2025/532 |
| 18.11.2025 | erste Benennung kritischer IKT-Drittdienstleister durch die ESAs (19 Anbieter) | Art. 31 DORA |
| 01.01.2027 | übrige Vorgaben für Institute nach § 1 Abs. 1b KWG (FinmadiG) | §§ 1a Abs. 2a, 65a KWG |
| jährlich, spätestens Ende März | Einreichung des Informationsregisters (Stichtag 31.12. des Vorjahres) über die MVP-Plattform im von der BaFin bekanntgegebenen Fenster (2026: 09.03. bis 30.03.); eine verspätete Einreichung ist nicht vorgesehen | Art. 28 Abs. 3 DORA, DVO (EU) 2024/2956 |
| 4 h / 24 h | Erstmeldung: 4 Stunden nach Einstufung als schwerwiegend, spätestens 24 Stunden nach Kenntnis | Del. VO (EU) 2025/301 |
| 72 h | Zwischenmeldung nach der Erstmeldung | Del. VO (EU) 2025/301 |
| 1 Monat | Abschlussmeldung nach der letzten Zwischenmeldung | Del. VO (EU) 2025/301 |
| mindestens alle 3 Jahre | TLPT für von der Behörde bestimmte Unternehmen | Art. 26 DORA |
Quelle: Del. VO (EU) 2025/301 (EUR-Lex)
So unterstützt MGMSYS
Das DORA-Modul in MGMSYS
MGMSYS bildet die Pflichten entlang der Einordnung Ihres Hauses ab. Die Entscheidungen – etwa über die Einstufung eines Vorfalls – bleiben bei Ihnen.
- Einstufung des Unternehmens: voller oder vereinfachter Rahmen (Art. 16), Kleinstunternehmen, Art des Finanzunternehmens, LEI, IKT-Risikotoleranz und Rollen – davon abhängig gelten die Pflichten.
- Dokumentenkatalog mit 81 Strategien, Richtlinien und Verfahren; je nach Einstufung gelten bis zu 63 als Pflicht. Mit Status, Freigabe, Überprüfungstermin und bei zentralen Dokumenten (13) mit Mindestinhalten nach Del. VO (EU) 2024/1774.
- Geschäftsfunktionen mit begründeter Einstufung als kritisch oder wichtig, IKT-Bestand, IKT-Risiken gegen die Toleranz, Maßnahmen und Überprüfung des Rahmens mit Bericht nach Art. 27 Del. VO (EU) 2024/1774 (PDF).
- IKT-Dienstleister mit LEI/EUID und Abgleich mit der ESA-Liste der kritischen IKT-Drittdienstleister; Informationsregister nach DVO (EU) 2024/2956 mit Prüfbericht und Einreichungspaket im EBA-Format (xBRL-CSV, ZIP) zum Hochladen im MVP-Portal.
- Vertragsprüfung: jede Vereinbarung gegen Art. 30 DORA; bei kritischen oder wichtigen Funktionen zusätzlich Art. 28 Abs. 4 und 8, die Del. VO (EU) 2024/1773 (nicht im vereinfachten Rahmen und nicht für Kleinstunternehmen) und – wenn Unterauftragsvergabe zulässig ist – die Del. VO (EU) 2025/532. Eine Lücke lässt sich nur mit Risikoannahme (Person, Frist) speichern.
- Vorfälle: Einstufungsvorschlag mit Begründung je Schwelle, Meldefristen mit Wochenend- und Feiertagsregel (bundeseinheitliche Feiertage), Meldedateien für Erst-, Zwischen-, Abschlussmeldung und Zurückstufung nach ESA-Schema mit BaFin-XML und Prüfbericht je Feld; Verknüpfung mit dem Datenschutzvorfall (Art. 33 DSGVO).
- Jährliche Kosten- und Verlustschätzung nach JC 2024/34 mit Kostenpositionen je Vorfall, CSV/PDF nach Vorlage und Sperre nach Übermittlung.
- Resilienztests (Testprogramm nach Art. 24 außer für Kleinstunternehmen, risikobasiert nach Art. 25 Abs. 3), TLPT mit den Teilfristen der Del. VO (EU) 2025/1190, Informationsaustausch-Vereinbarungen (Art. 45), Fristenkalender über alle Turnusse und Cockpit mit Ampeln.
Grenzen: MGMSYS übermittelt nichts an die Behörde – die Dateien werden erzeugt, hochgeladen wird durch Ihr Haus. Für die freiwillige Meldung erheblicher Cyberbedrohungen wird keine Datei erzeugt, Landesfeiertage fließen nicht in die Fristberechnung ein. Das Modul ersetzt keine Rechtsberatung.
Alle Funktionen im Detail zeigt die Produktseite DORA – Digital Operational Resilience Act. Ausprobieren können Sie das Modul im Testzugang.
Häufige Fragen
- Seit wann gilt DORA?
DORA ist nach Art. 64 seit dem 17.01.2025 anwendbar. Als EU-Verordnung gilt sie unmittelbar; in Deutschland ergänzt das FinmadiG die Verordnung.
- Wer ist von DORA betroffen?
Art. 2 Abs. 1 DORA erfasst 20 Arten von Finanzunternehmen (Buchst. a–t), etwa Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen und Versicherer, sowie IKT-Drittdienstleister (Buchst. u). Art. 2 Abs. 3 enthält Ausnahmen. In Deutschland bezieht das FinmadiG über §§ 1a Abs. 2a, 65a KWG Institute nach § 1 Abs. 1b KWG ein, z. B. Finanzierungsleasing und Factoring.
- Was bedeutet der vereinfachte Rahmen nach Art. 16?
Für bestimmte Unternehmen tritt an die Stelle der Art. 5 bis 15 ein vereinfachter IKT-Risikomanagementrahmen nach Art. 16 DORA. Meldepflichten bleiben unberührt; TLPT (Art. 26 Abs. 1), die Strategie nach Art. 28 Abs. 2 und die Del. VO (EU) 2024/1773 entfallen. Welche Dokumente und Verfahren vorzuhalten sind, hängt von der Einordnung ab.
- Welche Fristen gelten für die Meldung schwerwiegender Vorfälle?
Nach der Del. VO (EU) 2025/301: Erstmeldung binnen 4 Stunden nach der Einstufung als schwerwiegend, spätestens 24 Stunden nach Kenntnis; Zwischenmeldung binnen 72 Stunden nach der Erstmeldung; Abschlussmeldung binnen eines Monats nach der letzten Zwischenmeldung. Eine Wochenend- und Feiertagsregel (Art. 5 Abs. 4–6) gilt nicht für alle Unternehmensarten.
- Wann ist das Informationsregister einzureichen?
Jährlich, in Deutschland über die MVP-Plattform der BaFin. Eingereicht wird im jährlich von der BaFin bekanntgegebenen Fenster, spätestens Ende März (2026: 09.03. bis 30.03.); Stichtag ist der 31.12. des Vorjahres. Eine verspätete Einreichung ist nicht vorgesehen. Format: derzeit EBA-Taxonomie 4.0 (xBRL-CSV; laut BaFin für den Zyklus 2027 keine Änderung angekündigt), Vorlagen nach der DVO (EU) 2024/2956.
- Gilt für Finanzunternehmen zusätzlich NIS2?
Für Finanzunternehmen nach Art. 2 Abs. 2 DORA sieht § 28 BSIG eine Bereichsausnahme von zentralen BSIG-Pflichten vor; maßgeblich ist für sie DORA. Weitere Tätigkeiten außerhalb des Finanzgeschäfts sollten gesondert nach dem BSIG geprüft werden.
- Übermittelt MGMSYS Meldungen an die BaFin?
Nein. MGMSYS erzeugt die Meldedateien für Vorfälle und das Einreichungspaket des Informationsregisters in den Formaten der Aufsicht; hochgeladen wird im MVP-Portal der BaFin durch Ihr Haus. MGMSYS ersetzt keine Rechtsberatung.
Weiterführend
Zum Nachlesen
Fachbeiträge, die die rechtlichen Anforderungen hinter diesem Thema erklären.
Klären Sie Ihre Einordnung unter DORA
MGMSYS unterstützt Sie von der Einstufung Ihres Hauses über das Informationsregister bis zu Vorfallmeldungen und Tests – die rechtliche Einordnung bleibt bei Ihnen. Der Testzugang ist unverbindlich – keine automatische Vertragsbindung.