DORA für kleinere Finanzdienstleister: Was gilt für Ihre Software?
DORA gilt seit 17.01.2025 für fast alle beaufsichtigten Finanzunternehmen, auch kleine, und verlangt von ihrer Software vor allem Risikomanagement, geprüfte Dienstleisterverträge, Vorfallmeldungen und Tests. Kleine und mittlere Versicherungsvermittler sind ausgenommen.
Der Digital Operational Resilience Act, kurz DORA, ist eine EU-Verordnung und gilt deshalb ohne Umsetzungsgesetz unmittelbar in Deutschland. Die Aufsicht führt die BaFin. Für kleinere Institute ist die Verordnung oft weniger ein IT-Projekt als eine Frage der Nachweise: Gibt es eine Übersicht aller IT-Dienstleister? Steht in den Verträgen, was DORA verlangt? Kann die eigene Anwendung zeigen, wann ein Vorfall begann und wen er betraf?
Die folgende Übersicht ordnet die Pflichten aus Sicht von Software und Dienstleistern und endet mit vier ersten Schritten. Sie richtet sich an Geschäftsleitungen und IT-Verantwortliche von Zahlungs- und E-Geld-Instituten, Wertpapierinstituten, Kapitalverwaltungsgesellschaften, Versicherern und FinTechs. Wie wir für diese Branche entwickeln, steht auf der Seite für Finanzdienstleister.
Rechtsrahmen
Was DORA regelt und seit wann es gilt
DORA ist die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor. Sie gilt nach Art. 64 seit 17.01.2025. Ihr Ziel: Finanzunternehmen sollen Ausfälle, Angriffe und Störungen ihrer Informations- und Kommunikationstechnik (IKT) verkraften, schnell erkennen und beheben können.
Die Verordnung gliedert sich in fünf Pflichtenbereiche:
IKT-Risikomanagement (Art. 5 bis 16): Rahmenwerk, Schutz, Erkennung, Reaktion und Wiederherstellung, Datensicherung.
Behandlung und Meldung von Vorfällen (Art. 17 bis 23).
Tests der digitalen Resilienz (Art. 24 bis 27).
Risiken durch IKT-Drittdienstleister (Art. 28 bis 44), mit Vertragspflichten und Informationsregister.
Informationsaustausch zu Cyberbedrohungen (Art. 45), freiwillig.
Die Details stehen in technischen Standards, die die EU-Kommission als eigene Verordnungen erlassen hat. Für kleinere Institute sind vor allem drei wichtig: die Delegierte Verordnung (EU) 2024/1772 zur Einstufung von Vorfällen, die Delegierte Verordnung (EU) 2025/301 zu Inhalt und Fristen der Meldungen und die Durchführungsverordnung (EU) 2024/2956 mit den Vorlagen für das Informationsregister.
Anwendungsbereich
Wer betroffen ist und wo Erleichterungen gelten
Art. 2 Abs. 1 zählt die erfassten Unternehmen auf, darunter Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Anbieter von Krypto-Dienstleistungen, Verwalter alternativer Investmentfonds, Versicherungen und Rückversicherungen sowie Versicherungsvermittler. Art. 2 Abs. 3 nimmt einige davon wieder aus. Für den Mittelstand am wichtigsten ist Buchstabe e: Versicherungs-, Rückversicherungs- und Nebentätigkeitsvermittler, bei denen es sich um Kleinst-, kleine oder mittlere Unternehmen handelt, fallen nicht unter DORA. Ein Maklerbüro mit 30 Mitarbeitern ist also nicht betroffen. Mittelbar kann es DORA trotzdem spüren, etwa wenn ein Versicherer, mit dem es zusammenarbeitet, für Portale oder Schnittstellen Sicherheitsvorgaben macht. Das regelt dann der Vertrag mit dem Versicherer, nicht die Verordnung.
Für alle, die betroffen sind, gilt der Grundsatz der Verhältnismäßigkeit aus Art. 4: Größe, Risikoprofil und Art der Geschäfte bestimmen, wie umfangreich die Umsetzung ausfällt. Konkreter wird es an zwei Stellen:
Vereinfachter Rahmen nach Art. 16: Kleine und nicht verflochtene Wertpapierfirmen, nach PSD2 ausgenommene Zahlungsinstitute, nach der E-Geld-Richtlinie ausgenommene E-Geld-Institute und kleine Einrichtungen der betrieblichen Altersversorgung müssen die Art. 5 bis 15 nicht anwenden. Sie brauchen stattdessen einen vereinfachten, dokumentierten Rahmen, der unter anderem Überwachung, Abhängigkeiten von Dienstleistern, Notfallpläne mit Datensicherung und Wiederherstellung und regelmäßige Tests umfasst.
Kleinstunternehmen: Für Unternehmen mit weniger als zehn Beschäftigten und höchstens 2 Millionen Euro Jahresumsatz oder Bilanzsumme sieht DORA an einzelnen Stellen Erleichterungen vor. Ein Beispiel steht in Art. 30 Abs. 3: Kleinstunternehmen dürfen Prüfrechte gegenüber Dienstleistern an einen unabhängigen Dritten übertragen.
Eine Befreiung von den Meldepflichten oder vom Informationsregister folgt aus der Größe nicht.
In der Anwendung
IKT-Risikomanagement in der eigenen Anwendung
DORA schreibt keine Technik vor, verlangt aber Fähigkeiten, die sich in der Software zeigen müssen. Für eine selbst betriebene Fachanwendung, ein Kundenportal oder eine App-Schnittstelle heißt das praktisch:
Bestand kennen: Welche Anwendungen, Server, Datenbanken und externen Dienste stützen welche Geschäftsfunktion? Ohne diese Zuordnung lässt sich weder ein Risiko bewerten noch ein Vorfall einstufen.
Zugriffe begrenzen und nachvollziehen: Rollen und Rechte nach dem Prinzip der geringsten Rechte, starke Anmeldung für Administratoren, Protokolle über Anmeldungen und Änderungen an Rechten.
Erkennen: Überwachung von Verfügbarkeit, Fehlerraten und ungewöhnlichen Zugriffen, mit Alarmen an Menschen, die reagieren können.
Wiederherstellen: Datensicherungen nach Art. 12, die getrennt vom Produktivsystem liegen und deren Wiederherstellung regelmäßig getestet wird, mit festgelegten Zielen, wie lange ein Ausfall dauern und wie viele Daten verloren gehen dürfen.
Aktuell halten: Ein Verfahren für Sicherheitsupdates von Betriebssystem, Framework und Bibliotheken, mit dokumentierten Fristen.
Die Kriterien zur Einstufung eines Vorfalls nach Art. 18 setzen Daten voraus, die die Anwendung liefern muss. Gefragt wird unter anderem nach der Zahl betroffener Kunden und Transaktionen, nach Dauer und Ausfallzeit, nach Datenverlusten und nach der Bedeutung der betroffenen Dienste. Wenn die Anwendung nicht protokolliert, welche Mandanten während einer Störung Fehler bekamen, beginnt die Einstufung mit Schätzungen. Wie Zugriffs- und Änderungsprotokolle aufgebaut sind, beschreibt die Seite Sicherheit und Compliance.
Viele der technischen Maßnahmen ähneln dem, was der Cyber Resilience Act von Herstellern digitaler Produkte verlangt. Der Unterschied: DORA verpflichtet das Finanzunternehmen als Betreiber, der CRA den Hersteller. Die Meldepflichten des CRA stehen unter Cyber Resilience Act: Meldepflichten.
Dienstleister
Verträge mit IT-Dienstleistern prüfen
Jeder Vertrag über IKT-Dienstleistungen muss nach Art. 30 schriftlich in einem Dokument festgehalten sein und Mindestinhalte haben. Das gilt für Hosting, Softwarewartung, Cloud-Dienste und externe Entwicklung gleichermaßen. Die folgende Prüfliste fasst Art. 30 Abs. 2 zusammen und eignet sich für einen ersten Abgleich bestehender Verträge:
Vollständige Beschreibung der Leistungen, mit Angabe, ob und unter welchen Bedingungen Unteraufträge zulässig sind.
Orte, an denen die Leistung erbracht und Daten verarbeitet und gespeichert werden, mit Pflicht zur Vorankündigung bei Änderungen.
Regeln zu Verfügbarkeit, Integrität, Vertraulichkeit und Datenschutz.
Zugang zu den Daten, Wiederherstellung und Rückgabe in einem leicht zugänglichen Format, auch bei Insolvenz oder Vertragsende.
Beschreibung der Service-Level.
Pflicht zur Unterstützung bei Vorfällen, kostenlos oder zu vorab festgelegten Kosten.
Pflicht zur Zusammenarbeit mit der Aufsicht.
Kündigungsrechte und Mindestkündigungsfristen.
Bedingungen, unter denen der Dienstleister an den Programmen des Finanzunternehmens zur Sensibilisierung für IKT-Sicherheit und an Schulungen zur digitalen operationalen Resilienz teilnimmt (Art. 30 Abs. 2 Buchstabe i in Verbindung mit Art. 13 Abs. 6). Auch dieser Punkt ist Pflichtinhalt jedes Vertrags.
Stützt die Leistung eine kritische oder wichtige Funktion, verlangt Art. 30 Abs. 3 mehr: Service-Level mit genauen, messbaren Zielen, Notfallpläne des Dienstleisters, die getestet werden, uneingeschränkte Zugangs- und Prüfrechte und eine Ausstiegsstrategie mit verbindlicher Übergangszeit. Warum „99,9 Prozent Verfügbarkeit“ ohne Messpunkt wenig wert ist, steht unter Die SLA-Falle. Die Ausstiegsstrategie hängt eng an Dokumentation und Wissensverteilung beim Dienstleister (siehe Bus-Faktor im Softwareprojekt).
Wie Unterlagen aussehen, die einen Dienstleister überdauern, zeigt eine Beratung für einen großen deutschen Versicherer, rund zehn Monate lang, inzwischen abgeschlossen. Ergebnis waren BPMN-Modelle der Prozesse mit Steckbriefen und Arbeitsanweisungen, abgelegt im hauseigenen Werkzeug des Versicherers und nicht in einem System des Beraters. Laut Case Study bleibt die Dokumentation so als Wissen der Organisation erhalten, wenn der externe Lieferant geht. Dasselbe verlangt eine Ausstiegsstrategie nach Art. 30 Abs. 3: Ein Wechsel darf nicht am Wissen des bisherigen Dienstleisters hängen.
Alle Verträge mit IKT-Dienstleistern gehören außerdem in das Informationsregister nach Art. 28 Abs. 3. Die BaFin fordert das vollständige Register einmal im Jahr an. Für 2026 lag das Einreichungsfenster vom 09.03. bis 30.03.2026, Stichtag für den Inhalt war der 31.12.2025. Eingereicht wird über die Melde- und Veröffentlichungsplattform der BaFin, als xBRL-Datei oder mit der Excel-Vorlage der BaFin. Plant ein Institut einen neuen Vertrag für eine kritische oder wichtige Funktion, muss es die BaFin zeitnah informieren.
Vorfälle
Vorfälle erkennen, dokumentieren, melden
Art. 17 verlangt einen festgelegten Prozess für IKT-bezogene Vorfälle: erkennen, protokollieren, einstufen, beheben, Ursachen analysieren. Schwerwiegende Vorfälle müssen nach Art. 19 der BaFin gemeldet werden, in drei Stufen. Die Fristen stehen in Art. 5 der Delegierten Verordnung (EU) 2025/301:
Erstmeldung: innerhalb von vier Stunden nach der Einstufung als schwerwiegend, spätestens 24 Stunden, nachdem das Unternehmen vom Vorfall Kenntnis erlangt hat.
Zwischenmeldung: spätestens 72 Stunden nach der Erstmeldung, aktualisiert, sobald der reguläre Betrieb wieder läuft.
Abschlussmeldung: spätestens einen Monat nach der letzten Zwischenmeldung.
Fällt eine Frist auf ein Wochenende oder einen Feiertag, darf die Meldung bis 12 Uhr des nächsten Arbeitstags nachgereicht werden. Ein Beispiel: Ein Zahlungsinstitut bemerkt an einem Samstag um 10 Uhr einen Ausfall seines Kundenportals und stuft ihn um 14 Uhr als schwerwiegend ein. Die Erstmeldung wäre um 18 Uhr fällig, darf aber bis Montag 12 Uhr eingehen. Für Kreditinstitute und einige andere Unternehmen gilt diese Verlängerung bei Erst- und Zwischenmeldung nicht.
Für die Software ergeben sich daraus zwei Anforderungen. Erstens braucht es Zeitstempel für jeden Schritt: Wann lief der erste Alarm auf, wann sah ihn ein Mensch, wann wurde eingestuft? Diese Zeitpunkte bestimmen die Fristen, und die Aufsicht fragt danach. Zweitens müssen die Zahlen für die Meldung schnell vorliegen: betroffene Kunden, fehlgeschlagene Transaktionen, Dauer. Ein Abschnitt im Betriebshandbuch, der beschreibt, mit welcher Abfrage diese Zahlen aus der Anwendung kommen, spart in der Nacht eines Vorfalls Stunden. Für eine überschaubare Fachanwendung rechnen wir mit ein bis zwei Personentagen: die Abfragen schreiben, einmal gegen echte Protokolle testen, die Schritte aufschreiben.
Meldepflichten können an einen Dienstleister ausgelagert werden, die Verantwortung bleibt beim Finanzunternehmen. Die EU-Kommission hat am 19.11.2025 im Digital Omnibus vorgeschlagen, eine gemeinsame Meldestelle bei der ENISA einzurichten, über die auch DORA-Meldungen laufen könnten. Zum Stand dieses Beitrags ist das ein Vorschlag im Gesetzgebungsverfahren, an den geltenden Fristen ändert er nichts.
Checkliste
Vier erste Schritte
Betroffenheit klären: Steht Ihr Unternehmen in Art. 2 Abs. 1, und greift eine Ausnahme nach Abs. 3 oder der vereinfachte Rahmen nach Art. 16?
Dienstleister auflisten: alle Verträge über IKT-Leistungen, mit der Geschäftsfunktion, die sie stützen. Daraus entsteht das Informationsregister.
Verträge abgleichen: jeden Vertrag gegen die neun Punkte oben, bei kritischen oder wichtigen Funktionen zusätzlich gegen Art. 30 Abs. 3.
Meldeweg proben: an einem erfundenen Vorfall durchspielen, ob Zeitstempel, betroffene Kunden und Dauer innerhalb von vier Stunden vorliegen.
Software, die Nachweise liefert
Wir entwickeln Fachanwendungen für Finanzunternehmen und klären mit Ihnen, welche Protokolle, Wiederherstellungstests und Vertragsinhalte DORA für Ihre Anwendung verlangt.
Zur Einordnung
Häufige Fragen
-
Nein. Versicherungsvermittler, die Kleinst-, kleine oder mittlere Unternehmen sind, nimmt Art. 2 Abs. 3 Buchstabe e ausdrücklich aus. Mittelbar können sie DORA trotzdem spüren, wenn ein Versicherer in der Zusammenarbeit eigene Sicherheitsvorgaben macht; das regelt dann der Vertrag.
-
Wenn Ihr Unternehmen unter DORA fällt, muss jeder Vertrag über IKT-Dienstleistungen die Mindestinhalte aus Art. 30 Abs. 2 haben, Hosting eingeschlossen. Dazu gehören Datenstandorte, Unterstützung bei Vorfällen, Rückgabe der Daten und Kündigungsrechte. Viele Standardverträge decken das nicht vollständig ab, ein Abgleich mit der Liste oben zeigt die Lücken.
-
Eine strukturierte Übersicht aller vertraglichen Vereinbarungen mit IKT-Drittdienstleistern, mit Angaben zu Leistung, Dienstleister, unterstützten Funktionen und Unterauftragnehmern. Die Vorlagen stehen in der Durchführungsverordnung (EU) 2024/2956. Die BaFin fordert das Register jährlich an. Für die Einreichung 2026 war Stichtag der 31.12.2025.
Nachweise
Quellen und Stand
Stand: 12.06.2026. Wiedergegeben ist der Rechtsstand zu diesem Datum; das ist keine Rechtsberatung. Artikelangaben nach Verordnung (EU) 2022/2554 und Delegierter Verordnung (EU) 2025/301, Angaben zum Informationsregister laut BaFin. Der Zeitaufwand für den Abschnitt im Betriebshandbuch ist unsere Schätzung, die Angaben zur Versicherer-Beratung stammen aus der Case Study.
Weiterlesen: NIS2 im Mittelstand vom 21.09.2026, wie NIS2 neben DORA steht.
EUR-Lex: Delegierte Verordnung (EU) 2025/301 zu Inhalt und Fristen von Meldungen
EUR-Lex: Delegierte Verordnung (EU) 2024/1772 zur Einstufung von Vorfällen
EUR-Lex: Durchführungsverordnung (EU) 2024/2956 zum Informationsregister
BVI: Information der BaFin zur Einreichungsperiode Informationsregister 2026
MARCODES: Case Study IT-Beratung und Prozess-Architektur für einen großen Versicherer
Artikel teilen