DORA umsetzen: Pflichten, Fristen und Nachweise im Überblick

Schritt 1: Einstufung des Unternehmens

DORA erfasst 20 Arten von Finanzunternehmen (Art. 2 Abs. 1 Buchst. a–t) sowie IKT-Drittdienstleister (Buchst. u); Ausnahmen regelt Art. 2 Abs. 3. Am Anfang steht daher die Frage, welcher Art das eigene Unternehmen angehört. Davon hängt ab, ob der volle IKT-Risikomanagementrahmen nach Art. 5 bis 15 gilt oder der vereinfachte Rahmen nach Art. 16, und ob als Kleinstunternehmen einzelne Erleichterungen greifen.

In Deutschland ergänzt das Finanzmarktdigitalisierungsgesetz (FinmadiG) die Verordnung. Über §§ 1a Abs. 2a, 65a KWG bezieht es Institute nach § 1 Abs. 1b KWG ein (z. B. Finanzierungsleasing, Factoring). Für sie gelten die Meldepflichten seit dem 17. Januar 2025, die übrigen Vorgaben ab dem 1. Januar 2027; sie wenden den vereinfachten Rahmen nach Art. 16 an und führen kein TLPT durch. Für Finanzunternehmen nach Art. 2 Abs. 2 DORA sieht § 28 BSIG eine Bereichsausnahme von zentralen BSIG-Pflichten vor; maßgeblich ist für sie DORA.

Schritt 2: IKT-Risikomanagement aufbauen

Der IKT-Risikomanagementrahmen wird durch die Delegierte Verordnung (EU) 2024/1774 konkretisiert. Sie verlangt eine Reihe dokumentierter Strategien, Richtlinien und Verfahren und legt für zentrale Dokumente Mindestinhalte fest – etwa wöchentliche Schwachstellenscans bei kritischen Assets, die Verwendung anonymisierter, pseudonymisierter oder randomisierter Testdaten oder Sitzungssperren.

Praktisch beginnt der Aufbau bei den Geschäftsfunktionen: Welche sind kritisch oder wichtig, und mit welcher Begründung? Darauf bauen der IKT-Bestand, die Bewertung der IKT-Risiken gegen die festgelegte IKT-Risikotoleranz und die Maßnahmen auf. Der Rahmen ist regelmäßig zu überprüfen; Art. 27 der Delegierten Verordnung (EU) 2024/1774 beschreibt den Bericht über diese Überprüfung.

Schritt 3: Informationsregister führen und einreichen

Nach Art. 28 Abs. 3 DORA ist ein Register aller vertraglichen Vereinbarungen über IKT-Dienstleistungen zu führen. Die Vorlagen legt die Durchführungsverordnung (EU) 2024/2956 fest. Das Register ist jährlich einzureichen, Stichtag ist der 31. Dezember des Vorjahres. In Deutschland erfolgt die Einreichung über die Melde- und Veröffentlichungsplattform (MVP) der BaFin, derzeit im Format der EBA-Taxonomie 4.0 (xBRL-CSV; laut BaFin für den Zyklus 2027 keine Änderung angekündigt). Eingereicht wird im jährlich von der BaFin bekanntgegebenen Fenster, spätestens Ende März (2026: 09.03. bis 30.03.); eine verspätete Einreichung ist nicht vorgesehen.

Bei der Erfassung der Dienstleister empfiehlt sich der Abgleich mit der Liste der kritischen IKT-Drittdienstleister: Die Europäischen Aufsichtsbehörden (ESAs) haben am 18. November 2025 erstmals 19 Anbieter als kritisch benannt.

Schritt 4: Vorfälle einstufen und fristgerecht melden

Nicht jede Störung ist meldepflichtig. Nach Art. 8 der Delegierten Verordnung (EU) 2024/1772 ist ein IKT-bezogener Vorfall schwerwiegend, wenn kritische Dienste betroffen sind und zusätzlich entweder ein böswilliger Zugriff mit möglichem Datenverlust vorliegt oder mindestens zwei weitere Wesentlichkeitsschwellen erreicht sind. Die Einstufung ist eine Entscheidung des Unternehmens und sollte nachvollziehbar begründet werden.

Für schwerwiegende Vorfälle gelten nach der Delegierten Verordnung (EU) 2025/301 drei Fristen: die Erstmeldung binnen 4 Stunden nach der Einstufung, spätestens 24 Stunden nach Kenntnis; die Zwischenmeldung binnen 72 Stunden nach der Erstmeldung; die Abschlussmeldung binnen eines Monats nach der letzten Zwischenmeldung. Art. 5 Abs. 4 bis 6 enthält eine Wochenend- und Feiertagsregel, die nicht für alle Unternehmensarten gilt. Die Meldeformulare regelt die Durchführungsverordnung (EU) 2025/302.

In Deutschland werden Meldungen über die MVP-Plattform der BaFin eingereicht, als JSON nach dem ESA-Schema IR-1.2.1 in einer XML-Hülle. Maßgeblich sind die BaFin-Hinweise zu den Meldungen (Stand 15.05.2026) und die Betriebshinweise der ESAs vom 16.09.2026. Sind personenbezogene Daten betroffen, ist zusätzlich die Meldung nach Art. 33 DSGVO zu prüfen.

Schritt 5: Verträge und Unterauftragsvergabe prüfen

Jede Vereinbarung ist gegen Art. 30 DORA zu prüfen, der Mindestinhalte für Verträge über IKT-Dienstleistungen festlegt. Bei kritischen oder wichtigen Funktionen kommen Art. 28 Abs. 4 und 8 DORA (u. a. Vorabprüfung, Ausstiegsstrategien), die Delegierte Verordnung (EU) 2024/1773 (nicht im vereinfachten Rahmen und nicht für Kleinstunternehmen) und – wenn Unterauftragsvergabe zulässig ist – die Delegierte Verordnung (EU) 2025/532 hinzu. Die Delegierte Verordnung (EU) 2024/1773 konkretisiert die Leitlinie: Vorabprüfung, Sorgfaltsprüfung, Interessenkonflikte, Leistungsüberwachung und Ausstiegsplan.

Seit dem 22. Juli 2025 ist die Delegierte Verordnung (EU) 2025/532 zur Unterauftragsvergabe in Kraft. Sie verlangt unter anderem eine Entscheidung über die Unterauftragsvergabe vor Vertragsschluss, Bedingungen für Unterauftragnehmer, Mitteilungen über wesentliche Änderungen mit Frist und Kündigungsgründe. Bestehende Verträge sind daraufhin zu prüfen; festgestellte Lücken sollten mit Verantwortlichem und Frist dokumentiert werden.

Schritt 6: Resilienz testen

Finanzunternehmen außer Kleinstunternehmen brauchen ein Testprogramm (Art. 24); Kleinstunternehmen testen risikobasiert (Art. 25 Abs. 3). Bedrohungsgeleitete Penetrationstests (TLPT) nach Art. 26 DORA betreffen dagegen nur bestimmte Unternehmen, die mindestens alle drei Jahre testen. Wer TLPT durchführen muss, bestimmt die Behörde. Für bestimmte Finanzunternehmen (u. a. G-SRI/A-SRI, große Zahlungs-, E-Geld- und Versicherungsunternehmen) legt Art. 2 Abs. 2 Del. VO (EU) 2025/1190 Schwellen fest, ab denen die Behörde TLPT grundsätzlich verlangt.

Die Delegierte Verordnung (EU) 2025/1190 gliedert einen TLPT in Phasen mit Teilfristen – Einleitung, Scoping, Red-Team-Phase, Berichte, Purple-Teaming, Abhilfeplan und Bescheinigung – und verlangt organisatorische Vorkehrungen wie ein Kontrollteam, Geheimhaltung, die Prüfung der Testanbieter und eine Risikobewertung.

Schritt 7: Kosten und Verluste schätzen

Nach Art. 11 Abs. 10 DORA melden Finanzunternehmen der Behörde auf deren Anforderung die geschätzten jährlichen Kosten und Verluste aus schwerwiegenden IKT-bezogenen Vorfällen; ausgenommen sind Kleinstunternehmen und Unternehmen im vereinfachten Rahmen nach Art. 16. Die Gemeinsamen Leitlinien der ESAs JC 2024/34 sind seit dem 19. Mai 2025 anwendbar und regeln das Vorgehen. Da die Anforderung jederzeit kommen kann, empfiehlt es sich, Kostenpositionen je Vorfall schon im laufenden Jahr zu erfassen.

Umsetzung mit MGMSYS

Das DORA-Modul in MGMSYS richtet die Pflichten nach der Einstufung des Unternehmens aus und führt einen Katalog mit 81 Strategien, Richtlinien und Verfahren, von denen je nach Einstufung bis zu 63 als Pflicht gelten – mit Status, Freigabe und Überprüfungstermin, bei zentralen Dokumenten (13) mit Mindestinhalten nach der Delegierten Verordnung (EU) 2024/1774. Geschäftsfunktionen, IKT-Bestand, IKT-Risiken und Maßnahmen werden zusammenhängend gepflegt; die Überprüfung des Rahmens lässt sich als Bericht nach Art. 27 der Delegierten Verordnung (EU) 2024/1774 als PDF ausgeben.

Das Modul führt das Informationsregister mit allen Vorlagen der DVO 2024/2956 und erzeugt einen Prüfbericht sowie ein Einreichungspaket im EBA-Format (xBRL-CSV, ZIP) zum Hochladen im MVP-Portal. Es prüft jede Vereinbarung gegen Art. 30 DORA; bei kritischen oder wichtigen Funktionen zusätzlich gegen Art. 28 Abs. 4 und 8, die Del. VO 2024/1773 (nicht im vereinfachten Rahmen und nicht für Kleinstunternehmen) und – wenn Unterauftragsvergabe zulässig ist – die Del. VO 2025/532. Eine Lücke lässt sich nur mit Risikoannahme (Person, Frist) speichern. Für Vorfälle erstellt es einen Einstufungsvorschlag mit Begründung je Schwelle, berechnet die Meldefristen einschließlich Wochenend- und Feiertagsregel (bundeseinheitliche Feiertage) und erzeugt Meldedateien für Erst-, Zwischen- und Abschlussmeldung sowie Zurückstufung nach ESA-Schema mit BaFin-XML und Prüfbericht. Hinzu kommen die jährliche Kosten- und Verlustschätzung nach JC 2024/34, Resilienztests und TLPT mit den Teilfristen der Del. VO 2025/1190 sowie ein Fristenkalender.

Die Grenzen sind klar: MGMSYS übermittelt nichts an die Behörde – die Dateien werden erzeugt, das Unternehmen lädt sie hoch. Die Einstufungsentscheidung bleibt beim Unternehmen, Landesfeiertage fließen nicht in die Fristberechnung ein, und das Modul ersetzt keine Rechtsberatung.