{
    "slug": "dora-finanzsektor",
    "titre": "DORA – Digital Operational Resilience Act für den Finanzsektor",
    "domaine": "datenschutz",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Die Verordnung (EU) 2022/2554 (DORA) schafft einen einheitlichen Rahmen für digitale operationale Resilienz im EU-Finanzsektor. Sie gilt seit dem 17. Januar…",
    "resume_court": "Die **Verordnung (EU) 2022/2554 (DORA)** schafft einen **einheitlichen Rahmen für digitale operationale Resilienz** im EU-Finanzsektor. Sie gilt seit dem **17. Januar 2025** und betrifft **Banken, Versicherungen, Wertpapierfirmen, Kryptodienstleister, Zahlungsdienstleister sowie kritische IKT-Drittanbieter**. Pflichten umfassen **IKT-Risikomanagement**, **Vorfallsmeldung an BaFin/EZB**, **digitale Resilienz-Tests (Threat-Led Penetration Testing alle 3 Jahre)** und **Drittanbieter-Risikomanagement**. Aufsicht über kritische IKT-Anbieter erfolgt direkt durch die **Europäische Aufsichtsbehörden (ESAs)**.",
    "faits": [
        {
            "point": "Rechtsgrundlage",
            "valeur": "Verordnung (EU) 2022/2554 (DORA) [eur-lex.europa.eu, CELEX:32022R2554]",
            "autorite": "A"
        },
        {
            "point": "Inkrafttreten",
            "valeur": "16. Januar 2023",
            "autorite": "A"
        },
        {
            "point": "Anwendung Pflicht",
            "valeur": "17. Januar 2025 [Art. 64 DORA]",
            "autorite": "A"
        },
        {
            "point": "Erfasste Finanzunternehmen",
            "valeur": "Banken, Versicherer, Wertpapierfirmen, AIFM, OGAW, Krypto-Dienstleister, ZahlungsDL, eGeld-Institute [Art. 2 DORA]",
            "autorite": "A"
        },
        {
            "point": "Erfasste IKT-Dienstleister",
            "valeur": "nur kritische Drittanbieter unter direkter ESA-Aufsicht [Art. 31 DORA]",
            "autorite": "A"
        },
        {
            "point": "Verhältnismäßigkeitsprinzip",
            "valeur": "Mikrounternehmen geringere Pflichten [Art. 16 DORA]",
            "autorite": "A"
        },
        {
            "point": "Pflicht IKT-Risikomanagement-Rahmen",
            "valeur": "umfassend, geschäftsleitungsverankert [Art. 5-15 DORA]",
            "autorite": "A"
        },
        {
            "point": "Pflicht Vorfallsmeldung — Erstmeldung",
            "valeur": "binnen 4 Stunden nach Klassifizierung als schwerwiegend, spätestens 24 Stunden nach Kenntnis [Art. 19 DORA; Delegierte VO (EU) 2025/301]",
            "autorite": "A"
        },
        {
            "point": "Vorfallsmeldung — Zwischenbericht",
            "valeur": "binnen 72 Stunden [Delegierte VO (EU) 2025/301]",
            "autorite": "A"
        },
        {
            "point": "Vorfallsmeldung — Abschlussbericht",
            "valeur": "binnen 1 Monat [Delegierte VO (EU) 2025/301]",
            "autorite": "A"
        },
        {
            "point": "Aufsicht DE",
            "valeur": "BaFin für Finanzunternehmen [BaFin-DORA-Portal]",
            "autorite": "A"
        },
        {
            "point": "Aufsicht EU-kritische IKT",
            "valeur": "ESAs (EBA, EIOPA, ESMA) über eine federführende Überwachungsbehörde (Lead Overseer) [Art. 31 ff. DORA]",
            "autorite": "A"
        },
        {
            "point": "Threat-Led Penetration Testing (TLPT)",
            "valeur": "alle 3 Jahre verpflichtend für „signifikante\u0022 Finanzunternehmen [Art. 26 DORA]",
            "autorite": "A"
        },
        {
            "point": "Klassifikation Vorfälle",
            "valeur": "„schwerwiegende\u0022 IKT-bezogene Vorfälle — Kriterien und Schwellen in Delegierter VO (EU) 2024/1772",
            "autorite": "A"
        },
        {
            "point": "Drittanbieter-Register",
            "valeur": "Pflicht zur kompletten Listung aller IKT-Dienstleister [Art. 28 DORA]",
            "autorite": "A"
        },
        {
            "point": "Vertragsanforderungen IKT-Dienstleister",
            "valeur": "Mindestklauseln (Exit-Strategie, SLA, Audit-Rechte) [Art. 30 DORA]",
            "autorite": "A"
        },
        {
            "point": "Konzentrationsrisiko",
            "valeur": "aktive Steuerung [Art. 29 DORA]",
            "autorite": "A"
        },
        {
            "point": "Bußgelder",
            "valeur": "nach nationalem Recht; in DE ergänzend WpHG, KWG; Verbote bis Marktausschluss möglich [Art. 50 DORA]",
            "autorite": "A"
        },
        {
            "point": "Verhältnis zu NIS-2",
            "valeur": "Vorrangregel: DORA ist lex specialis im Finanzsektor [Art. 1 Abs. 2 DORA]",
            "autorite": "A"
        },
        {
            "point": "Verhältnis zu Outsourcing-Leitlinien",
            "valeur": "DORA-Regeln ersetzen weitgehend EBA/EIOPA-Outsourcing-Leitlinien",
            "autorite": "A"
        },
        {
            "point": "Threat-Sharing",
            "valeur": "freiwillig + ggf. ESA-koordiniert [Art. 45 DORA]",
            "autorite": "A"
        }
    ],
    "sources": [
        {
            "titre": "Verordnung (EU) 2022/2554 (DORA Volltext)",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554",
            "autorite": "A"
        },
        {
            "titre": "BaFin – DORA-Aufsicht",
            "url": "https://www.bafin.de/DE/unternehmen-maerkte/aufsicht/alle-unternehmen/dora/ueberblick/ueberblick_node.html",
            "autorite": "A"
        },
        {
            "titre": "ESAs – Joint Implementation",
            "url": "https://www.eba.europa.eu/activities/direct-supervision-and-oversight/digital-operational-resilience-act",
            "autorite": "A"
        }
    ],
    "faq": [
        {
            "question": "Was regelt DORA – Digital Operational Resilience Act für den Finanzsektor?",
            "reponse": "Die Verordnung (EU) 2022/2554 (DORA) schafft einen einheitlichen Rahmen für digitale operationale Resilienz im EU-Finanzsektor. Sie gilt seit dem 17. Januar 2025 und betrifft Banken, Versicherungen, Wertpapierfirmen, Kryptodienstleister, Zahlungsdienstleister sowie kritische IKT-Drittanbieter."
        },
        {
            "question": "Welche häufigen Fehler gibt es bei DORA?",
            "reponse": "„DORA ist nur was für Großbanken.\u0022 Falsch – auch kleine Versicherer, Krypto-Custodians und KMU-Wertpapierfirmen sind erfasst. „NIS-2 reicht für uns.\u0022 Nein – im Finanzsektor ist DORA lex specialis und verdrängt NIS-2. „IKT-Risikomanagement reicht in IT-Abteilung.\u0022 Falsch – DORA verlangt Geschäftsleitungs-Verantwortung."
        }
    ],
    "wikidata": [
        "Q116517497",
        "Q43492"
    ],
    "valid_from": "2025-01-17",
    "valid_to": null,
    "derniere_revision": "2026-09-05",
    "derniere_verification": "2026-09-05",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.de/fakten/dora-finanzsektor"
}