Die europäische Verordnung über die digitale operationale Resilienz des Finanzsektors (DORA) verlangt von Finanzunternehmen - und in der Folge von ihren IKT-Dienstleistern - ein umfassendes Register der Verträge, präzise Vertragsklauseln und datierte Audit-Nachweise. SYAGA DORA-Express hilft Ihnen, diesen Anforderungen zu entsprechen, ohne zu improvisieren, ob Sie nun Finanzunternehmen oder Dienstleister sind.
DORA ist eine Verordnung, keine Richtlinie: sie gilt unmittelbar in allen Mitgliedstaaten, ohne dass eine nationale Umsetzung abgewartet werden muss.
Verordnung (EU) 2022/2554 vom 14. Dezember 2022, veröffentlicht im Amtsblatt der EU am 27. Dezember 2022, in Kraft getreten am 16. Januar 2023 und anwendbar seit dem 17. Januar 2025. Keine nationale Umsetzung erforderlich: sie ist unmittelbar anwendbar.
Jedes Finanzunternehmen muss ein vollständiges Register seiner IKT-Verträge führen und den Behörden jährlich übermitteln: Dienstleister, Art der Leistung, Kritikalität der Funktion, Land der Datenhaltung.
Prüfungs- und Kontrollrechte, Garantien zur Verfügbarkeit und Integrität der Daten, getestete Ausstiegspläne, unverzügliche Vorfallmeldung. Diese Klauseln werden von Ihrem Finanzkunden an Sie weitergegeben, wenn Sie sein IKT-Dienstleister sind.
Vor Abschluss oder Verlängerung eines Vertrags sendet eine Bank, ein Versicherer oder ein Investor einen Cyber-Fragebogen (Governance, MFA, EDR, Verschlüsselung, Sensibilisierung). Ohne dokumentierten Nachweis zu antworten kostet Sie den Auftrag.
Am 18.-19. November 2025 veröffentlichten die europäischen Aufsichtsbehörden (EBA, ESMA, EIOPA) die erste offizielle Liste der kritischen IKT-Drittdienstleister gemäß Artikel 32 von DORA. Unter den durch die offiziellen Mitteilungen bestätigten Namen: AWS EMEA Sarl, Microsoft Ireland Operations Limited, Google Cloud, Orange SA, Capgemini SE (sowie 14 weitere Dienstleister, die in unseren Quellen nicht namentlich bestätigt sind).
Konkrete Folge: Wenn Ihre kritischen Dienste auf einem dieser Anbieter beruhen, muss Ihr Finanzkunde dies nun in seinem IKT-Register dokumentieren - und kann Sie zu Ihrer eigenen Subunternehmerkette befragen.
Quelle: offizielle Mitteilungen von EIOPA und ESMA vom 18.-19. November 2025 (eiopa.europa.eu, esma.europa.eu).
Eine strukturierte Begleitung in 5 Schritten, um Ihre Konformität zu dokumentieren - ohne zu versprechen, was weder ein Tool noch eine Beratungsfirma an Ihrer Stelle zertifizieren kann.
Sind Sie ein direkt unterworfenes Finanzunternehmen (eine der 21 Kategorien nach Artikel 2) oder ein indirekt betroffener IKT-Dienstleister über die Vertragsklauseln Ihrer Finanzkunden (Artikel 30)? Der genaue Anwendungsbereich bestimmt alles Weitere.
Wir beantworten Ihren Due-Diligence-Fragebogen von Bank, Investor oder Versicherer (Governance, MFA, EDR, Verschlüsselung, Sensibilisierung...) und stützen uns dabei auf ein technisches Audit Ihres Microsoft-365-Tenants als datierten und überprüfbaren Nachweis.
Wir helfen Ihnen, Ihr IKT-Vertragsregister zu strukturieren (Art. 28 Abs. 3) und die Mindest- und verstärkten Vertragsklauseln von Artikel 30 in Ihren Dienstleisterverträgen zu prüfen oder zu integrieren.
Unsere PRA/PCA Suite bietet ein sektorspezifisches Profil Finanzen (DORA, PSD2, ACPR) an, das die Anforderungen an Tests der operationalen Resilienz aus Kapitel IV von DORA abdeckt, ausgerichtet an ISO 22301.
Übergabe an Ihre Geschäftsführung, Ihren CISO oder CFO einer konsolidierten Akte, mit den genauen Punkten, die von Ihrem Rechtsberater vor jeder Kommunikation an die Behörden zu klären sind.
Konkrete, quellenbelegte Leistungen, ohne ein Zertifizierungsversprechen, das niemand garantieren kann
10 typische Due-Diligence-Fragen für Bank/M&A, dokumentiert und mit Quellenangabe (ILPA DDQ, CSA CAIQ, Fragebögen von Cyber-Versicherern).
Quellenbelegte Zusammenfassung der Verordnung (EU) 2022/2554.
Struktur des von den Behörden geforderten umfassenden Registers.
Zur Integration oder Prüfung in Ihren IKT-Dienstleisterverträgen.
Business-Continuity- und Wiederherstellungsplan, dediziertes Branchenprofil.
PDF- und DOCX-Formate, die alle Leistungen konsolidieren.
Auszug aus den 10 Fragen, die wir für Sie dokumentieren, mit der Quelle jeder Frage
| Thema | Frage | Quelle |
|---|---|---|
| Governance | Stützt sich Ihre Sicherheitsrichtlinie auf ein anerkanntes Rahmenwerk (NIST, ISO 27001)? | ILPA DDQ 2.0 |
| Externe Prüfung | Führen Sie ein jährliches unabhängiges Audit und Penetrationstests durch? | CSA CAIQ v4 |
| Vorfallplan | Gibt es einen formalen, dokumentierten und gepflegten Incident-Response-Plan? | CSA CAIQ v4 / ILPA DDQ 2.0 |
| MFA | Für welche Dienste schreiben Sie eine Multi-Faktor-Authentifizierung vor? | Travelers - MFA Supplement |
| Privilegierte Konten | Folgen die Zugriffe dem Prinzip der geringsten Rechte und werden sie regelmäßig überprüft? | CSA CAIQ v4 IAM |
| Messaging | Welche M365-Lizenz nutzen Sie? Ist Defender / erweitertes Threat Hunting aktiv? | vCSO.ai Cyber DD Checklist |
| Verschlüsselung | Sind die Festplatten der Endgeräte vollständig verschlüsselt? | Google VSAQ |
| Schulung | Ist ein Sicherheitssensibilisierungsprogramm für alle Mitarbeiter etabliert? | CSA CAIQ v4 HRS |
Jede Leistung gibt ausdrücklich an, was sie abdeckt - und was nicht
IKT-Register (Art. 28), Vertragsklauseln (Art. 30), Meldefristen (Art. 19), Bezugnahme auf benannte kritische IKT-Dienstleister (Art. 32).
DORA ist eine lex specialis gegenüber NIS2 für den Finanzsektor: die betroffenen Einrichtungen wenden DORA anstelle der gleichwertigen NIS2-Maßnahmen an.
Das Finanzprofil PRA/PCA orientiert sich an ISO 22301, dem Rahmenwerk für Business-Continuity-Management, das ergänzend zu DORA verwendet wird.
Die DORA-Vorfallmeldung (ACPR/AMF, Behörden in Frankreich) ist von der DSGVO-Meldung (an die zuständige Datenschutzbehörde, in Frankreich die CNIL) bei einer Verletzung personenbezogener Daten zu unterscheiden: beide können gleichzeitig erforderlich sein.
Jede DORA-Akte ist je nach Ihrem Status unterschiedlich - in jedem Fall ein individuelles Angebot
Sie erbringen Leistungen für ein oder mehrere Finanzunternehmen
Sie unterliegen direkt DORA (eine der 21 Kategorien, Art. 2)
Regelmäßige Aktualisierung der Akte (Pflichten, Verträge, Register)
DORA einfach erklärt, ohne Juristendeutsch. Jeder Punkt unten verweist auf den offiziellen Text, der ihn belegt.
DORA gilt für europäische Finanzakteure: Banken, Versicherungen, Wertpapierfirmen, Handelsplattformen, Fondsverwalter, Zahlungsdienstleister... sowie für deren IT-Dienstleister. Sehr kleine Strukturen profitieren von erleichterten Regeln.
Die Verordnung deckt 6 große Themen ab: das Management des IT-Risikos, die Überwachung Ihrer externen Dienstleister, regelmäßige Resilienztests, die Meldung schwerwiegender Vorfälle, den Austausch von Informationen über Bedrohungen und die Überwachung der größten IT-Dienstleister.
Text angenommen am 14. Dezember 2022, veröffentlicht im Amtsblatt der EU am 27. Dezember 2022 (ABl. L 333). Inkrafttreten am 16. Januar 2023. Die Pflichten gelten tatsächlich seit dem 17. Januar 2025.
Die größten IT-Dienstleister (Cloud, Hosting...), die als „kritisch" für den Finanzsektor eingestuft werden, werden nun direkt auf europäischer Ebene kontrolliert, mit einem federführenden Aufseher, der ihnen Maßnahmen auferlegen kann.
Vor DORA hatte jedes EU-Land seine eigenen Regeln zur Meldung eines schweren IT-Vorfalls. Jetzt gilt ein einheitliches europäisches Verfahren: schwerwiegende Vorfälle werden direkt den zuständigen Behörden gemeldet.
Der Text sieht vor, dass die Behörden die von ihnen verhängten Verwaltungssanktionen veröffentlichen. Die genauen Bußgeldbeträge sind in den bisher konsultierten Quellen nicht festgelegt - zu bestätigen mit den offiziellen Präzisierungen.
Sie hören von DORA, wissen aber nicht, ob es Sie betrifft? Hier, einfach erklärt, der offizielle Anwendungsbereich der Verordnung, in 2 Minuten verständlich, mit den Texten, die es belegen.
Die europäische Verordnung 2022/2554 (Artikel 2) erfasst 21 verschiedene Kategorien von Finanzunternehmen, von denen 12 von der ESMA beaufsichtigt werden. Das ist keine Angelegenheit, die nur großen Banken vorbehalten ist: Seit dem 17. Januar 2025 ist praktisch der gesamte europäische Finanzsektor betroffen, mit unterschiedlichen Anforderungsgraden je nach Größe der Struktur. offizielle Quelle (ESMA) ↗
Kreditinstitute (Banken), Zahlungsinstitute, E-Geld-Institute, Kontoinformationsdienstleister.
Wertpapierfirmen, Handelsplattformen, Zentralverwahrer, zentrale Gegenparteien, Transaktionsregister, Ratingagenturen, Verwalter alternativer Investmentfonds, Verwaltungsgesellschaften.
Versicherungs- und Rückversicherungsunternehmen, Versicherungsvermittler (außer Kleinstunternehmen), Einrichtungen der betrieblichen Altersversorgung mit mehr als 15 Mitgliedern.
Krypto-Dienstleister, Crowdfunding-Plattformen, Verbriefungsregister: Auch die digitale Finanzwelt fällt in den Anwendungsbereich.
Die IKT-Dienstleister (Cloud, Hosting, kritische Software), die diese Unternehmen am Laufen halten, geraten ebenfalls ins Visier. Die für den gesamten Sektor „kritischsten" werden direkt auf europäischer Ebene überwacht.
DORA wendet einen Verhältnismäßigkeitsgrundsatz an: je kleiner eine Struktur ist, desto leichter sind ihre Pflichten. Manche Strukturen sind sogar ausdrücklich vom Anwendungsbereich ausgenommen.
Ein Kleinstunternehmen ist offiziell definiert als eine Struktur mit weniger als 10 Beschäftigten, deren Jahresumsatz oder Jahresbilanz 2 Millionen Euro nicht übersteigt. Diese sehr kleinen Finanzstrukturen entgehen den schwerwiegendsten Governance-Pflichten der Verordnung.
offizielle Quelle (EUR-Lex, EU-Definition) ↗ · Quelle EUR-Lex (DORA-Verordnung) ↗
Kleine „nicht vernetzte" Wertpapierfirmen und kleine Einrichtungen der betrieblichen Altersversorgung profitieren von einem vereinfachten Rahmen für das IT-Risikomanagement, der durch eine delegierte Verordnung der Europäischen Kommission präzisiert wird.
Eine Einrichtung der betrieblichen Altersversorgung, deren verwaltete Systeme insgesamt 15 Mitglieder oder weniger zählen, fällt nicht in den Anwendungsbereich der Verordnung.
Ebenfalls ausgenommen sind: Postgiroämter im Sinne der Richtlinie über Kreditinstitute, bestimmte Fondsverwalter oder Versicherer mit sektoralen Ausnahmen sowie Versicherungsvermittler, die selbst Kleinstunternehmen oder KMU sind.
Kurz gesagt: Wenn Ihr Unternehmen ein europäisches Finanzunternehmen ist oder Sie einer seiner IT-Dienstleister sind, lautet die Frage nicht mehr „bin ich betroffen", sondern „auf welchem Anforderungsniveau". Der Text stellt klar, dass jede Struktur ihre IT-Mittel an ihre Größe, ihr Risikoprofil und die Komplexität ihrer Tätigkeiten anpassen muss. Quelle EUR-Lex (Erwägungsgrund 36) ↗
DORA ist nicht „ein" Datum, sondern mehrere Etappen, die sich seit Ende 2022 aneinanderreihen. Hier, in chronologischer Reihenfolge, was bereits geschehen ist und was noch läuft - mit, für jede Etappe, dem offiziellen Text, der es belegt.
Das Europäische Parlament und der Rat nehmen die Verordnung (EU) 2022/2554 an. Quelle EUR-Lex ↗
Der Text wird im Amtsblatt der Europäischen Union veröffentlicht (ABl. L 333). Quelle EUR-Lex ↗
Die Verordnung existiert rechtlich, aber ihre tatsächliche Anwendung auf die Unternehmen ist noch um zwei Jahre verschoben - Zeit, um die technischen Standards und Register vorzubereiten. Quelle ESMA ↗
Die drei europäischen Finanzaufsichtsbehörden (Banken, Versicherungen, Märkte) organisieren zwei öffentliche Anhörungen, um die praktischen Anwendungsregeln fertigzustellen. Quelle ESMA ↗
Erste Reihe präziser Regeln zum IT-Risikomanagement (wie man kartiert, schützt, erkennt, reagiert), von der Kommission am 13. März 2024 angenommen. Quelle EUR-Lex (2024/1774) ↗
Zweite Reihe von Anwendungsregeln (insbesondere zur IT-Auslagerung und zur Überwachung der Dienstleister). Quelle ESMA ↗
Die Kommission veröffentlicht das technische Muster (Formulare), das jedes betroffene Unternehmen zur Führung des Verzeichnisses seiner IT-Dienstleister verwenden muss. Inkrafttreten am 22. Dezember 2024. Quelle EUR-Lex (2024/2956) ↗
Ab diesem Datum müssen alle betroffenen Finanzunternehmen (und ihre strategischen IT-Dienstleister) tatsächlich konform sein, nicht nur „auf dem Papier". Quelle ESMA ↗ · Quelle EIOPA ↗
Die nationalen Aufsichtsbehörden mussten den europäischen Behörden die ersten von den betroffenen Unternehmen erhaltenen Informationsregister melden. Quelle ESMA ↗
Die europäischen Behörden erstellen Schritt für Schritt die Liste der IT-Dienstleister (Cloud, Hosting...), die für den gesamten Finanzsektor als so wichtig eingestuft werden, dass sie direkt auf europäischer Ebene überwacht werden. Der Prozess (Informationssammlung, Entscheidungen, Fortschrittsbericht) erstreckte sich von November 2024 bis Mai 2025; das genaue Datum der ersten offiziellen Benennung ist in den bisher konsultierten Quellen nicht festgelegt - zu bestätigen mit den weiteren Veröffentlichungen. Quelle ESMA ↗
Die europäischen Behörden veröffentlichen weiterhin Fortschrittsberichte (Erfahrungsberichte zu schwerwiegenden Vorfällen, Anpassungen der Auslagerungsregeln). DORA ist eine lebendige Baustelle, kein festgeschriebener Text. Quelle ESMA ↗
Zeitplan erstellt anhand offizieller Quellen (EUR-Lex, ESMA, EIOPA), konsultiert am 17. Juli 2026. Bestimmte Daten (endgültige Benennung der kritischen Dienstleister, Sanktionsbeträge) sind noch in der Festlegung durch die Behörden - wir aktualisieren sie, sobald sie veröffentlicht werden.
7 technischere Fragen, einfach aufbereitet: jede mit dem offiziellen Text belegt, der sie bestätigt.
Quelle EUR-Lex (Erwägungsgründe 43, 56, 61) ↗ · Quelle ESMA (delegierte Verordnung (EU) 2025/1190) ↗
Quelle EUR-Lex (Erwägungsgrund 65) ↗ · Quelle ESMA (Durchführungsverordnung (EU) 2024/2956) ↗
„DORA sieht Bußgelder vor" ist ein häufiger Satz in Vertriebsgesprächen. Was der offizielle Text tatsächlich schwarz auf weiß sagt: zwei unterschiedliche Regelungen, mit einer einzigen harmonisierten europäischen Zahl - und kein einheitlicher Bußgeldkatalog für alle.
DORA legt keinen Betrag und keinen Prozentsatz des Umsatzes fest. Der Text überträgt ausdrücklich jedem Mitgliedstaat die Aufgabe, seine eigenen Sanktionsregeln festzulegen (Artikel 50, §3: „Member States shall lay down rules establishing appropriate administrative penalties..."). In Frankreich sind es die üblichen Behörden - ACPR für Banken/Versicherungen, AMF für die Märkte -, die ihren eigenen nationalen Bußgeldkatalog anwenden, keinen einheitlichen europäischen DORA-Katalog.
Was die Verordnung hingegen vorschreibt: Arten von Maßnahmen, die jedes Land mindestens vorsehen muss (Liste unten) - die genauen Beträge legt das nationale Recht fest.
Hier legt DORA eine präzise, für ganz Europa harmonisierte Zahl fest: ein Zwangsgeld von bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes, pro Verzugstag, für maximal 6 Monate (Artikel 35, §7-8). Dies ist keine sofortige Sanktion: Sie kann erst nach mindestens 30 Kalendertagen festgestellter Nichteinhaltung durch die Behörde ausgelöst werden.
Dieses Zwangsgeld betrifft ausschließlich die großen, offiziell von der EU als „kritisch" benannten Dienstleister - nicht die Kundenunternehmen selbst, die sie nutzen.
Das ist das Zwangsgeld, das der „Lead Overseer" - eine der drei europäischen Finanzaufsichtsbehörden (EBA, ESMA oder EIOPA, je nach Dienstleister benannt) - einem kritischen IT-Dienstleister auferlegen kann, der sich nach einer Frist von mindestens 30 Tagen weigert, sich in Konformität zu bringen. Das Geld fließt in den allgemeinen Haushalt der Europäischen Union, und jedes verhängte Zwangsgeld muss grundsätzlich vom Lead Overseer veröffentlicht werden.
Quelle: Verordnung (EU) 2022/2554, Artikel 35, Absätze 6 bis 10 - offizieller Text EUR-Lex ↗
Fünf Arten von Maßnahmen, die jeder Mitgliedstaat mindestens in seinem nationalen Recht vorsehen muss - Artikel 50, §4 von DORA.
Das Unternehmen verpflichten, die nicht konforme Praxis sofort einzustellen und nicht zu wiederholen.
Eine als verordnungswidrig eingestufte Praxis oder ein solches Verhalten vorübergehend oder dauerhaft untersagen.
Jede Maßnahme, auch finanzieller Art, um das Unternehmen wieder in Konformität zu bringen - der Betrag wird durch das nationale Recht jedes Landes festgelegt.
Von einem Telekombetreiber vorhandene Aufzeichnungen verlangen, bei begründetem Verdacht auf einen Verstoß.
Eine Mitteilung veröffentlichen, die die Identität des Unternehmens und die Art des Verstoßes angibt („name and shame").
Um das genaue Sanktionsniveau festzulegen, verlangt Artikel 51 §2 von DORA, dass die Behörde insbesondere Folgendes berücksichtigt: die Schwere und Dauer des Verstoßes, den Grad der Verantwortlichkeit, die finanzielle Stärke des Unternehmens, erzielte Gewinne oder vermiedene Verluste, Dritten zugefügte Schäden, den Grad der Kooperation und frühere Verstöße.
Analyse auf Grundlage der vollständigen Lektüre der Artikel 35 und 50 bis 53 der Verordnung (EU) 2022/2554, offizieller Text veröffentlicht im Amtsblatt der EU (L 333, 27.12.2022), konsultiert auf EUR-Lex am 17. Juli 2026. Für Finanzunternehmen existiert im Text kein bezifferter Sanktionsbetrag (Verweis auf das nationale Recht jedes Mitgliedstaats) - wir erfinden ihn daher nicht. Kein Zwangsgeld nach Artikel 35 ist bislang öffentlich in unseren Quellen erfasst; DORA gilt erst seit dem 17. Januar 2025 vollständig.
Kontaktieren Sie uns für ein individuelles Angebot je nach Ihrem Status (Finanzunternehmen oder IKT-Dienstleister).
Kostenlos: Ihr Score + Ihre Lücken. Der ausführliche Bericht und die Attestierung: 499 EUR netto, nur wenn Sie es entscheiden.
contact@syaga.eu