Definition und Bedeutung
Der Digital Operational Resilience Act (DORA), Verordnung (EU) 2022/2554 vom 14.12.2022, ist ein EU-Rechtsrahmen für die digitale operationale Resilienz im Finanzsektor. Die Verordnung gilt unmittelbar seit dem 17.01.2025 und erfasst nahezu alle Finanzinstitute im EU-Raum: Banken (einschließlich Sparkassen und Genossenschaftsbanken), Versicherer, Wertpapierfirmen, Zahlungsdienstleister, Asset-Manager und zentrale Gegenparteien. Ziel ist eine harmonisierte Steuerung von IKT-Risiken. Methodisch ergänzt DORA das in den MaRisk BTR 4 verankerte operationelle Risikomanagement um einen detailreichen, technologiespezifischen Rahmen.
Die fünf Säulen von DORA
DORA strukturiert die Anforderungen in fünf inhaltliche Säulen. Erstens das IKT-Risikomanagement: Governance, Strategie, Identifikation, Schutz, Erkennung, Reaktion und Wiederherstellung (Art. 5 bis 16). Zweitens die Behandlung, Klassifizierung und Meldung IKT-bezogener Vorfälle nach harmonisierten Schweregraden (Art. 17 bis 23). Drittens die Tests der digitalen Resilienz, einschließlich Threat-Led Penetration Testing (TLPT) für bedeutende Institute (Art. 24 bis 27). Viertens das Management des IKT-Drittparteien-Risikos: verpflichtendes zentrales Auslagerungsregister sowie besondere Anforderungen an kritische IKT-Drittparteien (Art. 28 bis 44). Fünftens der Informations- und Erfahrungsaustausch zwischen Finanzunternehmen (Art. 45).
DORA und MaRisk: Verzahnung durch die 9. Novelle
Die 9. MaRisk-Novelle (RS 06/2026) räumt die Doppelregulierung zwischen DORA und MaRisk auf. AT 7.2 (Technisch-organisatorische Ausstattung) wird deutlich ausgedünnt. Die IT-Detailregelungen wandern in DORA. AT 9 Tz. 1 stellt klar, dass IKT-Auslagerungen, die dem DORA-Drittparteienrisikomanagement nach Art. 28 bis 30 (Teilmenge der vierten Säule) unterliegen, nicht mehr unter AT 9 fallen. AT 4.2 Tz. 2 lässt zu, dass IKT-Strategie und Strategie für digitale operationale Resilienz in einem gemeinsamen Dokument verfasst werden. Besonders relevant für die Sparkassen-Finanzgruppe und genossenschaftliche Verbünde: AT 9 Tz. 14 ermöglicht Gruppen und Verbünden ein zentrales Auslagerungsmanagement.
Praktische Konsequenzen für Sparkassen
Für Sparkassen und Genossenschaftsbanken ergeben sich fünf Umsetzungsstränge: (1) Trennung von IKT-Auslagerungen (DORA-Regime) und sonstigen Auslagerungen (AT 9-Regime) im Auslagerungsregister; (2) Implementierung des Vorfallmeldungs-Prozesses gemäß DORA-Klassifizierung mit Eskalationspfaden an BaFin und Bundesbank; (3) Analyse der IKT-Drittparteien-Konzentration im Verbund, wobei Konzentrationsrisiken auf zentrale Verbund-Dienstleister ausdrücklich zu adressieren sind; (4) Durchführung von Resilienztests gemäß DORA-Vorgaben (für bedeutende Institute zusätzlich TLPT); (5) Konsolidierung der Strategiedokumente (IKT-Strategie und DOR-Strategie in einem Dokument zulässig).
Häufige Fragen
Welche Institute fallen unter DORA?
Nahezu alle Finanzinstitute im EU-Raum, einschließlich Banken (auch Sparkassen und Genossenschaftsbanken), Versicherer, Wertpapierfirmen, Zahlungsdienstleister, Asset-Manager und zentrale Gegenparteien. Die DORA-Verordnung gilt unmittelbar, ohne nationale Umsetzung. Für sehr kleine und nicht vernetzte Institute sieht DORA in den Bereichen IKT-Risikomanagement und Resilienztests Erleichterungen vor.
Was ändert die 9. MaRisk-Novelle für die DORA-Umsetzung?
Die 9. Novelle räumt Doppelregulierung auf: AT 7.2 wird ausgedünnt, IKT-Auslagerungen unter DORA Art. 28 bis 30 fallen nicht mehr unter AT 9, und IKT-Strategie sowie Strategie für digitale operationale Resilienz können in einem gemeinsamen Dokument verfasst werden. Für Sparkassen besonders relevant: zentrales Auslagerungsmanagement im Verbund wird in AT 9 Tz. 14 erleichtert.
Was ist ein zentrales Auslagerungsregister im Sinne von DORA?
Ein institutsweites Register aller vertraglichen Vereinbarungen für IKT-Dienstleistungen einschließlich Weiterverlagerungen, Pflicht nach DORA Art. 28. Das Register enthält Vertragspartner, Leistungsbeschreibung, Kritikalitätsbewertung und Sub-Outsourcing-Ketten. Im Verbund (z. B. Sparkassen-Finanzgruppe) kann das Register konsolidiert geführt werden, sofern Steuerungsverantwortung und Datenintegrität gewahrt bleiben.
Verwandte Begriffe
Grundlagenartikel „MaRisk in Sparkassen: Steuerungsrahmen und 9. Novelle“
Der Beitrag ordnet die DORA-Verzahnung der 9. Novelle (IKT-Drittparteienrisiko exklusiv unter DORA Art. 28 bis 30, AT 9 entsprechend gestrafft) in einen wirkungsorientierten MaRisk-Steuerungsrahmen ein, mit Mini-Fallstudie zur organisatorischen Auflösung der Doppelregulierung in einer typischen Sparkasse.
Vertiefung zum Thema
Das Whitepaper „Triangulation in der Banksteuerung“ ordnet die DORA-Anforderungen in den Gesamtsteuerungsrahmen ein.