Glossar
DORA – Digital Operational Resilience Act
EU-Verordnung zur digitalen operationalen Resilienz des Finanzsektors
Definition
DORA bezeichnet die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor. Sie ist seit dem 17. Januar 2025 anwendbar (Art. 64 DORA) und gilt als EU-Verordnung unmittelbar in allen Mitgliedstaaten. Adressaten sind 20 Arten von Finanzunternehmen (Art. 2 Abs. 1 Buchst. a–t) sowie IKT-Drittdienstleister (Buchst. u). In Deutschland wird DORA durch das Finanzmarktdigitalisierungsgesetz (FinmadiG) ergänzt.
Praxisbezug
DORA verlangt einen IKT-Risikomanagementrahmen (Art. 5–15, für bestimmte Unternehmen vereinfacht nach Art. 16), die Einstufung und Meldung schwerwiegender IKT-bezogener Vorfälle, ein jährlich einzureichendes Informationsregister über die vertraglichen Vereinbarungen mit IKT-Drittdienstleistern, Vorgaben für Verträge und Unterauftragsvergabe sowie Tests der digitalen operationalen Resilienz bis hin zu TLPT. Konkretisiert wird die Verordnung durch delegierte Verordnungen und Durchführungsverordnungen, u. a. 2024/1774 (IKT-Risikomanagement), 2024/1772 (Einstufung von Vorfällen), 2025/301 (Meldeinhalte und Fristen) und 2024/2956 (Informationsregister). Institute nach § 1 Abs. 1b KWG (z. B. Finanzierungsleasing, Factoring) sind über das FinmadiG einbezogen (§§ 1a Abs. 2a, 65a KWG): Sie unterliegen seit dem 17. Januar 2025 den Meldepflichten und ab dem 1. Januar 2027 den übrigen Vorgaben, wenden den vereinfachten Rahmen nach Art. 16 an und führen kein TLPT durch. Für Finanzunternehmen nach Art. 2 Abs. 2 DORA sieht § 28 BSIG eine Bereichsausnahme von zentralen BSIG-Pflichten vor; maßgeblich ist für sie DORA.
Verwandte Begriffe
In MGMSYS
Das DORA-Modul richtet die Pflichten nach der Einstufung des Unternehmens aus (voller oder vereinfachter Rahmen, Kleinstunternehmen) und führt Dokumentenkatalog, Geschäftsfunktionen, IKT-Bestand und IKT-Risiken, IKT-Dienstleister mit Vertragsprüfung, das Informationsregister, Vorfälle mit Meldefristen sowie Resilienztests und TLPT. Meldedateien und das Einreichungspaket werden erzeugt; hochgeladen werden sie vom Unternehmen selbst.
Quelle
Verordnung (EU) 2022/2554 vom 14. Dezember 2022; FinmadiG