Regulation (EU) 2022/2554 (DORA)

DORA-Checkliste zur Umsetzungsbereitschaft

Die zentralen Pflichten der Verordnung über die digitale operationale Resilienz, anwendbar seit dem 17. Januar 2025, gegliedert nach ihren fünf Säulen. Damit lassen sich Lücken vor einer aufsichtlichen Prüfung erkennen.

29 PunkteZuletzt geprüft am 2026-10-17Offizieller Text: Regulation (EU) 2022/2554 (DORA)

Als PDF herunterladen

1. Anwendungsbereich und Verhältnismäßigkeit

Prüfen Sie, welche in Art. 2 Abs. 1 genannte Art von Finanzunternehmen auf jede Gesellschaft Ihrer Gruppe zutrifft.
Art. 2(1)
DORA erfasst unter anderem Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Anbieter von Krypto-Dienstleistungen, Versicherer und Fondsverwalter. Die Ausnahmen nach Art. 2 Abs. 3 sind ebenfalls zu prüfen.
Dokumentieren Sie, wie Größe, Gesamtrisikoprofil sowie Art, Umfang und Komplexität Ihrer Dienste Ihre DORA-Maßnahmen bestimmen.
Art. 4
Der Grundsatz der Verhältnismäßigkeit erlaubt eine abgestufte Umsetzung, die zuständigen Behörden erwarten jedoch eine schriftliche und nachvollziehbare Begründung.
Prüfen Sie, ob Sie den vereinfachten IKT-Risikomanagementrahmen anwenden dürfen, und setzen Sie ihn gegebenenfalls konsequent um.
Art. 16
Art. 16 gilt für bestimmte kleine und nicht verflochtene Unternehmen, etwa kleine Wertpapierfirmen und ausgenommene Zahlungsinstitute. Er ersetzt die Art. 5 bis 15 durch geringere Anforderungen.

2. IKT-Risikomanagement

Lassen Sie das Leitungsorgan den IKT-Risikomanagementrahmen festlegen, genehmigen und überwachen; es trägt die letzte Verantwortung.
Art. 5(2)
Dazu gehören die Genehmigung der Strategie für die digitale operationale Resilienz, die Budgetzuweisung und die Festlegung von Rollen. Die Mitglieder müssen ihr Wissen über IKT-Risiken durch regelmäßige Schulungen aktuell halten (Art. 5 Abs. 4).
Dokumentieren Sie den IKT-Risikomanagementrahmen und überprüfen Sie ihn mindestens jährlich sowie nach schwerwiegenden IKT-bezogenen Vorfällen.
Art. 6(5)
Der Rahmen umfasst Strategien, Leitlinien, Verfahren, Protokolle und Werkzeuge. Überprüfungen sollten auch nach aufsichtlichen Feststellungen sowie nach Ergebnissen von Resilienztests oder Audits erfolgen.
Führen Sie ein aktuelles Inventar der IKT- und Informationsassets und ihrer Abhängigkeiten, einschließlich Abhängigkeiten von IKT-Drittdienstleistern.
Art. 8
Erfassen und klassifizieren Sie Geschäftsfunktionen, Rollen und unterstützende Assets und kennzeichnen Sie jene, die kritische oder wichtige Funktionen unterstützen. Aktualisieren Sie das Inventar bei jeder wesentlichen Änderung.
Setzen Sie IKT-Sicherheitsleitlinien zu Zugriffskontrolle, starker Authentifizierung, Verschlüsselung, Patching und Änderungsmanagement um.
Art. 9
Ziel ist die Sicherstellung von Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten. Einzelheiten regeln die technischen Regulierungsstandards zum IKT-Risikomanagementrahmen.
Richten Sie Mechanismen ein, die anomale Aktivitäten, Probleme der Netzwerkleistung und IKT-bezogene Vorfälle umgehend erkennen.
Art. 10
Legen Sie Alarmschwellen und Kriterien fest, die die Vorfallsreaktion auslösen, und stellen Sie ausreichende Ressourcen zur Überwachung von Nutzeraktivitäten und Anomalien bereit.
Verabschieden Sie eine IKT-Geschäftsfortführungsleitlinie mit Reaktions- und Wiederherstellungsplänen und testen Sie diese mindestens jährlich.
Art. 11
Die Pläne müssen kritische oder wichtige Funktionen abdecken, eine Business-Impact-Analyse und Krisenkommunikation enthalten und für Szenarien einschließlich der Umschaltung auf redundante Kapazitäten getestet werden.
Legen Sie Datensicherungsleitlinien sowie Wiederherstellungsverfahren fest und testen Sie die Wiederherstellung der Sicherungen regelmäßig.
Art. 12
Sicherungen müssen aus Systemen wiederherstellbar sein, die physisch und logisch vom Quellsystem getrennt sind. Legen Sie Wiederherstellungszeit- und Wiederherstellungspunktziele je Funktion fest.
Führen Sie nach schwerwiegenden IKT-bezogenen Vorfällen Überprüfungen durch und lassen Sie die Erkenntnisse in den Rahmen einfließen.
Art. 13
Verfolgen Sie zudem technologische Entwicklungen und führen Sie Sensibilisierungsprogramme zur IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz für alle Beschäftigten einschließlich der Geschäftsleitung durch.
Erstellen Sie Krisenkommunikationspläne für die Offenlegung IKT-bezogener Vorfälle gegenüber Kunden, Gegenparteien und der Öffentlichkeit.
Art. 14
Benennen Sie mindestens eine Person, die die Kommunikationsstrategie bei Vorfällen umsetzt und als Sprecher gegenüber Öffentlichkeit und Medien auftritt.

3. Behandlung, Klassifizierung und Meldung IKT-bezogener Vorfälle

Legen Sie einen Prozess zur Behandlung IKT-bezogener Vorfälle fest, um Vorfälle zu erkennen, zu behandeln, zu protokollieren und zu melden.
Art. 17
Erfassen Sie alle IKT-bezogenen Vorfälle und erheblichen Cyberbedrohungen, weisen Sie Rollen zu, legen Sie Eskalationswege fest und ermitteln Sie Grundursachen, um Wiederholungen zu vermeiden.
Klassifizieren Sie Vorfälle anhand der Kriterien der Verordnung, etwa betroffene Kunden, Dauer, geografische Ausbreitung, Datenverluste und wirtschaftliche Auswirkungen.
Art. 18
Die Wesentlichkeitsschwellen, ab denen ein Vorfall als schwerwiegend gilt, sind in der nach Art. 18 Abs. 3 erlassenen Delegierten Verordnung (EU) 2024/1772 festgelegt. Verankern Sie diese in Ihren Triage-Werkzeugen.
Bereiten Sie Vorlagen und Abläufe für Erstmeldung, Zwischenbericht und Abschlussbericht zu schwerwiegenden IKT-bezogenen Vorfällen vor.
Art. 19(4)
Nach Art. 5 der Delegierten Verordnung (EU) 2025/301: Erstmeldung innerhalb von vier Stunden nach Einstufung des Vorfalls als schwerwiegend und spätestens 24 Stunden nach Kenntnisnahme, Zwischenmeldung spätestens 72 Stunden nach der Erstmeldung, Abschlussmeldung spätestens einen Monat nach der letzten Zwischenmeldung. Formulare und Vorlagen legt die Durchführungsverordnung (EU) 2025/302 fest.
Unterrichten Sie betroffene Kunden unverzüglich, wenn ein schwerwiegender Vorfall ihre finanziellen Interessen beeinträchtigt.
Art. 19(3)
Die Kunden sind auch über die Maßnahmen zu informieren, die zur Minderung der nachteiligen Auswirkungen ergriffen wurden.
Legen Sie fest, wann Sie erhebliche Cyberbedrohungen freiwillig an die zuständige Behörde melden.
Art. 19(2)
Die Meldung von Bedrohungen ist freiwillig, eine dokumentierte Entscheidungsregel sorgt aber für eine einheitliche Praxis. Gegebenenfalls sind potenziell betroffene Kunden über mögliche Schutzmaßnahmen zu informieren (Art. 19 Abs. 3).

4. Testen der digitalen operationalen Resilienz

Richten Sie ein risikobasiertes Programm für das Testen der digitalen operationalen Resilienz als Teil des IKT-Risikomanagementrahmens ein.
Art. 24(1)
Die Tests sind von unabhängigen internen oder externen Parteien durchzuführen; festgestellte Schwachstellen sind zu priorisieren, zu klassifizieren und zu beheben.
Testen Sie alle IKT-Systeme und -Anwendungen, die kritische oder wichtige Funktionen unterstützen, mindestens jährlich.
Art. 24(6)
Art. 25 nennt geeignete Tests, etwa Schwachstellenbewertungen, Netzwerksicherheitsbewertungen, szenariobasierte Tests, Quellcodeprüfungen und Penetrationstests.
Führen Sie, sofern Ihre zuständige Behörde Sie benannt hat, mindestens alle drei Jahre bedrohungsorientierte Penetrationstests (TLPT) durch.
Art. 26(1)
TLPT erfasst kritische oder wichtige Funktionen auf Live-Produktionssystemen, kann IKT-Drittdienstleister einbeziehen und endet mit einer Bescheinigung der Behörde.
Setzen Sie für TLPT Tester ein, die die Anforderungen an Eignung, Leumund, Fachkenntnisse, Zertifizierung und Versicherung erfüllen.
Art. 26(8), Art. 27
Interne Tester setzen die Genehmigung der zuständigen Behörde und einen externen Anbieter von Bedrohungsinformationen voraus (Art. 27 Abs. 2). Wer interne Tester einsetzt, muss alle drei Tests externe Tester beauftragen; bedeutende Kreditinstitute dürfen nur externe Tester einsetzen (Art. 26 Abs. 8).

5. IKT-Drittparteienrisiko

Verabschieden und überprüfen Sie regelmäßig eine Strategie für das IKT-Drittparteienrisiko, einschließlich einer Leitlinie für IKT-Dienste, die kritische oder wichtige Funktionen unterstützen.
Art. 28(2)
Das Leitungsorgan überprüft die für diese Vereinbarungen ermittelten Risiken. Die Verantwortung für das Drittparteienrisiko bleibt auch bei Auslagerung beim Finanzunternehmen.
Führen Sie ein Informationsregister über alle vertraglichen Vereinbarungen über IKT-Dienstleistungen mit IKT-Drittdienstleistern.
Art. 28(3)
Kennzeichnen Sie Vereinbarungen, die kritische oder wichtige Funktionen unterstützen. Berichten Sie mindestens jährlich über neue Vereinbarungen, Kategorien von Anbietern, Vertragsarten und Dienstleistungen, stellen Sie das vollständige Register auf Anfrage zur Verfügung und unterrichten Sie die Behörde rechtzeitig über geplante Vereinbarungen für kritische oder wichtige Funktionen. Die Vorlagen legt die Durchführungsverordnung (EU) 2024/2956 fest.
Bewerten Sie vor Vertragsabschluss den Anbieter, das Konzentrationsrisiko, Interessenkonflikte und ob der Dienst eine kritische oder wichtige Funktion unterstützt.
Art. 28(4)
Führen Sie eine Sorgfaltsprüfung der Eignung des Anbieters durch und prüfen Sie, ob die aufsichtlichen Voraussetzungen für den Vertragsabschluss erfüllt sind. Dokumentieren Sie die Bewertung.
Legen Sie Ausstiegsstrategien für IKT-Dienste fest, die kritische oder wichtige Funktionen unterstützen, und testen Sie diese.
Art. 28(8)
Die Ausstiegspläne müssen einen Ausstieg ohne Unterbrechung der Geschäftstätigkeit, Einschränkung der Compliance oder Minderung der Dienstqualität ermöglichen und Ausfälle sowie Vertragsbeendigungen abdecken.
Stellen Sie sicher, dass jeder IKT-Dienstleistungsvertrag die wesentlichen Bestimmungen zu Leistungsbeschreibung, Datenstandort, Sicherheit, Zugang, Kündigung und Zusammenarbeit enthält.
Art. 30(2)
Rechte und Pflichten sind schriftlich in einem einzigen Dokument einschließlich der Service-Level-Vereinbarungen festzulegen (Art. 30 Abs. 1). Prüfen Sie bestehende Verträge anhand der Liste in Art. 30 Abs. 2 und planen Sie Anpassungen, wo Klauseln fehlen.
Ergänzen Sie für kritische oder wichtige Funktionen die zusätzlichen Klauseln: vollständige Service-Level, Kündigungsfristen und Berichtspflichten, Notfallpläne und Sicherheit, TLPT-Teilnahme, Prüfrechte und Ausstiegsstrategien.
Art. 30(3)
Dazu gehören uneingeschränkte Zugangs-, Inspektions- und Prüfrechte für das Finanzunternehmen und die zuständige Behörde sowie die Teilnahme des Anbieters am TLPT des Finanzunternehmens.
Prüfen Sie, ob einer Ihrer Anbieter im Rahmen der EU-Überwachung als kritischer IKT-Drittdienstleister eingestuft ist.
Art. 31
Kritische Anbieter werden von einer federführenden Überwachungsbehörde unter den ESA beaufsichtigt. Deren Empfehlungen können Ihre Vereinbarungen betreffen, verfolgen Sie diese daher im Drittparteienrisikoprozess.

Diese Checklisten fassen die offiziellen Texte für Ihre Planung zusammen. Sie sind keine Rechtsberatung, und nationale Gesetze oder Leitlinien können weitere Anforderungen enthalten. Prüfen Sie den offiziellen Text, bevor Sie sich auf einen Punkt verlassen.

Alle Checklisten Passende Leistung: Proaktive Cybersicherheitslösungen

Sollen wir uns Ihre Lücken ansehen?

Wir führen Gap-Analysen zu diesen Regelwerken durch und helfen, die Lücken zu schließen.

Beratung buchen