Regelwerk · DORA – Verordnung (EU) 2022/2554 über die digitale operationale Resilienz

DORA: Finanzunternehmen und Dienstleister auf einer Linie

DORA gilt für Finanzunternehmen und über deren Verträge auch für ihre IT- und Cloud-Dienstleister. Complass führt beide Seiten: vom IKT-Risikomanagement bis zur Anforderungsmatrix Ihrer Finanzkunden.

Kostenlos testen Demo anfragen

Standbild aus dem Kurzfilm „Compliance-Management in 20 Sekunden“ — **Compliance-Management in 20 Sekunden** Projekt, nächster Schritt, Checkliste, Erklärung zur Anwendbarkeit, Audit-Paket. Beispieldaten der Demo-Firma.

Was ist DORA?

DORA ist die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor. Sie regelt einheitlich das IKT-Risikomanagement, die Klassifizierung und Meldung schwerwiegender IKT-bezogener Vorfälle, das Testen der digitalen operationalen Resilienz, das Management des IKT-Drittparteienrisikos einschließlich Informationsregister und Vertragsinhalten sowie die Überwachung kritischer IKT-Drittdienstleister. Delegierte und Durchführungsverordnungen der Kommission legen die Einzelheiten fest.

Stand der Inhalte: 05.10.2026

Bin ich betroffen?

Unmittelbar gilt DORA für Finanzunternehmen nach Art. 2, etwa Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Kapitalverwaltungsgesellschaften, Versicherungs- und Rückversicherungsunternehmen und Anbieter von Krypto-Dienstleistungen. In Deutschland erweitern § 1a Abs. 2 KWG, § 1a Abs. 2a KWG (Meldepflichten seit dem 17. Januar 2025, im Übrigen ab dem 1. Januar 2027) und § 293 Abs. 5 VAG den Kreis. Für Kleinstunternehmen und Unternehmen im vereinfachten Rahmen nach Art. 16 gelten Erleichterungen. Für Finanzunternehmen geht DORA der NIS2-Regulierung als speziellerer Rechtsakt vor, soweit DORA gleichwertige Anforderungen enthält (Art. 4 NIS2-Richtlinie).

IT-, Cloud-, Software- und Managed-Service-Anbieter sind als IKT-Drittdienstleister mittelbar betroffen: Ihre Finanzkunden bleiben voll verantwortlich und müssen Vertragsinhalte nach Art. 30, Audit- und Zugangsrechte, Unterstützung bei Vorfällen, Mitwirkung an Tests und Ausstiegsregelungen von ihnen verlangen. Eine eigene Phase im Modul führt Dienstleister durch diese Anforderungen.

Diese Übersicht ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzes- bzw. Normtext; in Complass prüfen Sie die Betroffenheit geführt anhand der Verweise.

Rechtsgrundlagen

Wichtige Fristen

16.01.2023

Inkrafttreten der Verordnung

Art. 64
17.01.2025

DORA gilt in allen EU-Mitgliedstaaten

Art. 64
11.04.2025

Erste Einreichung des Informationsregisters bei der BaFin (Stand 31.03.2025)

Art. 28 Abs. 3
30.03.2026

Ende des Einreichungszeitraums 2026 für das Informationsregister bei der BaFin (09.–30.03.2026, Stichtag 31.12.2025)

Art. 28 Abs. 3
01.01.2027

DORA gilt für weitere KWG-Institute nach § 1a Abs. 2a KWG (außer Kapitel III, das seit 17.01.2025 gilt)

§ 65a Abs. 3 KWG

Die Meldefristen für schwerwiegende Vorfälle sind kurz: Erstmeldung innerhalb von vier Stunden nach Einstufung als schwerwiegend, spätestens 24 Stunden nach Kenntniserlangung (Art. 5 DelVO (EU) 2025/301). Die Zwischenmeldung folgt spätestens 72 Stunden nach der Erstmeldung, die Abschlussmeldung spätestens einen Monat nach der Zwischenmeldung oder der letzten aktualisierten Zwischenmeldung (Art. 5 Abs. 1 Buchst. b und c DelVO (EU) 2025/301). Das Informationsregister reichen Finanzunternehmen jährlich bei der BaFin ein; prüfen Sie die jeweils aktuellen Termine der BaFin.

Wie Complass hilft

8Phasen
36geführte Schritte
18Dokumentvorlagen
107Anforderungen im Katalog

Geführtes DORA-Projekt
Acht Phasen von Anwendbarkeit und Rolle über Governance, Schutz, Vorfälle und Tests bis zum Drittparteienrisiko und zur regelmäßigen Überprüfung; jeder Schritt nennt, ob er für Finanzunternehmen, IKT-Dienstleister oder beide gilt.
Anforderungskatalog nach Artikel
Die Anforderungen der Art. 5 bis 30 und 45 auf Absatzebene mit Originalwortlaut, Status und Nachweis, ergänzt um die Kundenanforderungen aus Sicht der IKT-Dienstleister.
Vorlagen
Rahmendokument, Resilienzstrategie, Informationssicherheitsleitlinie, Melde- und Klassifizierungsplan, Testprogramm, Informationsregister, Vertragsprüfung nach Art. 30, Ausstiegsplan und für Dienstleister Anforderungsmatrix, Registerangaben und Vorfallbenachrichtigung.
Drittparteien und Vorfälle dokumentieren
Informationsregister, Vertragsprüfung nach Art. 30 und Ausstiegsplan als Vorlagen im Projekt führen und Vorfälle mit Zeitstempeln im Vorfallregister dokumentieren. Für schwerwiegende IKT-bezogene Vorfälle berechnet der DORA-Meldeweg die Fristen für Erstmeldung, Zwischenmeldung und Abschlussmeldung und bereitet die Pflichtangaben vor. Ihre IKT-Drittdienstleister stufen Sie im Lieferantenmanagement ein und führen dort Verträge, Nachweise und Fragebögen.

Die Phasen im Modul

Anwendbarkeit, Rolle und Verhältnis zu NIS2
Governance und IKT-Risikomanagementrahmen
Schützen, Erkennen, Reagieren, Wiederherstellen
IKT-bezogene Vorfälle: Management, Klassifizierung, Meldungen
Testen der digitalen operationalen Resilienz
IKT-Drittparteienrisiko
Als IKT-Drittdienstleister die DORA-Anforderungen Ihrer Finanzkunden erfüllen
Informationsaustausch, Nachweise, Wirksamkeit und Verbesserung

Katalog: DORA-Anforderungskatalog nach Kapitel und Artikel

DORA in Complass: was Sie mindestens brauchen

Wenn DORA für Sie gilt, deckt diese Auswahl die Pflichten in Complass ab. Ob das so ist, zeigt der kostenlose Betroffenheits-Check.

Mindestauswahl DORA

Paket Start, Größe S, mit Notfallmanagement

278 € netto pro Monat

DORA: IKT-Risikomanagement, Meldung schwerwiegender IKT-Vorfälle und Tests; die Kernpflichten des BSI-Gesetzes gelten dann nicht. (Art. 5 ff., 17 ff., 24 ff. DORA; § 28 Abs. 6 Nr. 1 BSIG (öffnet in neuem Tab))
Geschäftsleitungs-Cockpit: Nachweisen, dass das Leitungsorgan das IKT-Risikomanagement festlegt, genehmigt und überwacht. (Art. 5 DORA (öffnet in neuem Tab))
Notfallmanagement (BCM): IKT-Geschäftsfortführung: Business-Impact-Analyse, Notfallpläne und Übungen, ISO 22301 inklusive. (Art. 11 DORA (öffnet in neuem Tab))+ 79 €
Incident-Management
Außerdem enthalten: DSGVO, KI-Verordnung und Hinweisgeberschutz (HinSchG) (Basisschutz)

14 Tage kostenlos testen Bestellen

Business

590 € netto pro Monat

Mehr Wirkung mit Asset-Management und Zonen und Lieferantenmanagement, Platz für 10 Nutzer und 2 Regelwerke.

Business testen

Bei jährlicher Zahlung, 12 Monate Mindestlaufzeit. Monatliche Zahlung mit 15 % Aufschlag. Alle Preise netto zzgl. USt., Stand 06.11.2026. Alle Pakete und Bausteine in der Preisübersicht

Die Pflichten können Sie auch ohne Complass erfüllen. Complass unterstützt bei Umsetzung und Nachweis und ersetzt keine Rechtsberatung. Rechtliche Hinweise

Häufige Fragen

Wir sind ein IT-Dienstleister und kein Finanzunternehmen. Betrifft uns DORA?

Ja, mittelbar, wenn Sie IKT-Dienstleistungen für Finanzunternehmen erbringen. Ihre Kunden müssen die Vertragsinhalte nach Art. 30 mit Ihnen vereinbaren und verlangen Angaben für ihr Informationsregister, Unterstützung bei Vorfällen, Audits und Ausstiegsregelungen. Unmittelbare Aufsicht trifft nur kritische IKT-Drittdienstleister nach Art. 31.

Gilt für uns DORA oder NIS2?

Für Finanzunternehmen ist DORA der speziellere Rechtsakt; § 28 Abs. 6 BSIG nimmt sie von zentralen NIS2-Pflichten aus. IKT-Dienstleister können dagegen selbst unter NIS2 fallen und zusätzlich die DORA-Anforderungen ihrer Kunden erfüllen müssen. Der Betroffenheitscheck in Complass prüft die NIS2-Seite.

Übermittelt Complass Meldungen an die BaFin?

Nein. Complass hilft, Vorfälle mit Zeitstempeln zu dokumentieren, die Einstufung als schwerwiegend mit Prüffragen zu begründen, die Meldefristen zu berechnen und die Meldungen mit ihren Pflichtangaben vorzubereiten. Die Meldung selbst übermitteln Sie über den von der Aufsicht vorgegebenen Weg; die rechtliche Bewertung im Einzelfall bleibt bei Ihnen.

Wo führen wir Software-Lizenzen und Wartungsverträge für das Informationsregister?

Im Register „Verträge und Lizenzen“ des Asset-Managements, mit Laufzeit, Kündigungsfrist, Verantwortlichen, verknüpften Assets und Nachweisen; mit dem Lieferantenmanagement auch beim jeweiligen Dienstleister. Es liefert Angaben für Ihr Informationsregister nach Art. 28 DORA, einen Export im Format der Durchführungsverordnung (EU) 2024/2956 bietet Complass nicht.

Complass mit Ihren eigenen Daten testen

Legen Sie Ihren Testzugang selbst an, auf Wunsch mit einem Beispielprojekt je Regelwerk. Wenn Sie Complass lieber erst gezeigt bekommen, fragen Sie eine Demo an.