DORA-Verordnung
DORA-Verordnung: digitale Resilienz im Finanzsektor nachweisbar machen.
Die DORA-Verordnung (Digital Operational Resilience Act, Verordnung (EU) 2022/2554) gilt seit dem 17. Januar 2025 unmittelbar für Banken, Versicherer, Wertpapierfirmen, Zahlungs- und E-Geld-Institute, Kapitalverwaltungsgesellschaften und weitere Finanzunternehmen in der EU. Sie verlangt ein IKT-Risikomanagement, die Meldung schwerwiegender IKT-bezogener Vorfälle, regelmäßige Resilienztests und eine nachvollziehbare Steuerung von IKT-Drittdienstleistern. In Deutschland hat DORA die BaFin-Rundschreiben VAIT, KAIT und ZAIT abgelöst. Die BAIT entfallen mit Ablauf des 31. Dezember 2026 vollständig.
Was regelt die DORA-Verordnung?
DORA fasst die Anforderungen an die digitale Widerstandsfähigkeit von Finanzunternehmen in einem EU-weit einheitlichen Regelwerk zusammen und löst in Deutschland die sektorspezifischen Rundschreiben der BaFin ab. Die Pflichten verteilen sich auf fünf Bereiche:
- IKT-Risikomanagement: ein Rahmenwerk, das IKT-Risiken erkennt, bewertet, überwacht und mindert, inklusive Kontinuitätsmanagement.
- Behandlung und Meldung von IKT-Vorfällen: Vorfälle klassifizieren, dokumentieren und schwerwiegende Vorfälle an die zuständige Behörde melden. Die Erstmeldung ist spätestens vier Stunden nach der Einstufung als schwerwiegend fällig, in jedem Fall aber innerhalb von 24 Stunden, nachdem das Finanzunternehmen vom Vorfall erfahren hat. Spätestens 72 Stunden nach der Erstmeldung folgt die Zwischenmeldung, spätestens einen Monat nach der letzten Zwischenmeldung die Abschlussmeldung.
- Testen der digitalen operationalen Resilienz: regelmäßige Tests, für von der Aufsicht bestimmte Finanzunternehmen zusätzlich bedrohungsorientierte Penetrationstests (TLPT) mindestens alle drei Jahre.
- Management des IKT-Drittparteienrisikos: Dienstleister vor Vertragsschluss bewerten, Verträge mit Mindestinhalten schließen und alle Vereinbarungen in einem Informationsregister führen.
- Überwachung kritischer IKT-Drittdienstleister: direkte Aufsicht der europäischen Aufsichtsbehörden über Anbieter, die sie als kritisch benannt haben.
Ergänzend erlaubt DORA Finanzunternehmen, Informationen über Cyberbedrohungen untereinander auszutauschen.
Wer ist von DORA betroffen?
DORA gilt für die in Art. 2 der Verordnung genannten Finanzunternehmen. Dazu gehören unter anderem:
- Kreditinstitute
- Versicherungs- und Rückversicherungsunternehmen
- Wertpapierfirmen
- Zahlungs- und E-Geld-Institute
- Kapitalverwaltungsgesellschaften und Verwalter alternativer Investmentfonds
- Anbieter von Krypto-Dienstleistungen
- Einrichtungen der betrieblichen Altersversorgung
In Deutschland führt die BaFin die Aufsicht. Das Finanzmarktdigitalisierungsgesetz (FinmadiG) regelt die nationale Umsetzung. Über eine Änderung des Kreditwesengesetzes wenden ab dem 1. Januar 2027 weitere Institute DORA an.
Auch IKT-Drittdienstleister fallen in den Anwendungsbereich. Das sind Unternehmen, die Finanzunternehmen laufend digitale Dienste oder Datendienste bereitstellen. Finanzunternehmen bewerten diese Dienstleister vor Vertragsschluss, vereinbaren mit ihnen die Vertragsinhalte nach Art. 30 DORA und überwachen sie während der Zusammenarbeit.
BAIT, VAIT und DORA: Was gilt seit 2025?
Die BaFin hat die Rundschreiben VAIT, KAIT und ZAIT mit Ablauf des 16. Januar 2025 aufgehoben, um eine doppelte Regulierung zu vermeiden. Für Versicherer, Kapitalverwaltungsgesellschaften sowie Zahlungs- und E-Geld-Institute, die unter DORA fallen, gilt seitdem das IKT-Risikomanagement nach DORA.
Zusätzlich hebt die BaFin die BAIT schrittweise auf. Institute, die DORA anwenden, sind seit dem 17. Januar 2025 aus dem Anwenderkreis ausgenommen. Mit Ablauf des 31. Dezember 2026 entfallen die BAIT vollständig, weil ab dem 1. Januar 2027 weitere Institute DORA anwenden.
Finanzunternehmen, die ihre IT-Governance nach BAIT oder VAIT eingerichtet haben, können nach Einschätzung von d.velop auf diesen Strukturen aufbauen. Neu ist die Breite: DORA erfasst auch das Risiko aus der Zusammenarbeit mit IKT-Drittdienstleistern und verlangt ein Register aller vertraglichen Vereinbarungen.
Was hat sich seit dem Geltungsbeginn getan?
Seit dem Geltungsbeginn haben die BaFin und die europäischen Aufsichtsbehörden die Pflichten aus DORA an drei Stellen konkretisiert:
- Informationsregister: Finanzunternehmen führen ein Register aller vertraglichen Vereinbarungen mit IKT-Drittdienstleistern. In Deutschland reichen sie es jährlich bei der BaFin ein, mit dem Stand zum 31. Dezember des Vorjahres.
- Kritische IKT-Drittdienstleister: Am 18. November 2025 haben die europäischen Aufsichtsbehörden (ESAs) die erste Liste kritischer IKT-Drittdienstleister veröffentlicht. Die 19 benannten Anbieter, darunter große Cloud-, Rechenzentrums- und IT-Dienstleister, stehen seitdem unter direkter europäischer Aufsicht. Die Verantwortung für das Drittparteienrisiko bleibt trotzdem beim Finanzunternehmen. Für IKT-Dienste, die kritische oder wichtige Funktionen unterstützen, braucht es zudem eine dokumentierte und getestete Exit-Strategie.
- KI und DORA: Am 18. Dezember 2025 hat die BaFin die „Orientierungshilfe zu IKT-Risiken beim Einsatz von KI in Finanzunternehmen“ veröffentlicht. Die unverbindliche Hilfestellung zeigt, wie Finanzunternehmen die Anforderungen aus DORA beim Einsatz von KI umsetzen können.
Wie ein Dokumentenmanagement die DORA-Nachweisführung unterstützt
DORA verlangt nachvollziehbare Unterlagen: Verträge mit IKT-Dienstleistern mit festgelegten Mindestinhalten, ein Informationsregister und die Dokumentation von IKT-Vorfällen. Die Content Platform von d.velop bildet dafür die Dokumenten- und Prozessschicht über Ihren Kern- und Bestandssystemen, ohne in deren Datenhaltung einzugreifen. Die Verantwortung für die DORA-Umsetzung liegt beim Finanzunternehmen. Die Plattform unterstützt Sie dabei, diese Verantwortung gegenüber Interner Revision und BaFin zu belegen.
d.velop Software im Überblick
Verträge zentral und digital verwalten
d.velop contracts verwaltet Verträge mit Fristen und Laufzeiten und erinnert Vertragsverantwortliche automatisch an anstehende Termine.
Dokumente revisionssicher ablegen und archivieren
d.velop documents legt Dokumente mit Versionierung, Löschsperren und Aktivitätenprotokollierung ab. Bei entsprechender Konfiguration ermöglicht d.velop documents eine revisionssichere Archivierung nach den Anforderungen der GoBD, geprüft nach IDW PS 880.
Prozesse & Zugriffe steuern
Mit d.velop process studio laufen Genehmigungs-, Compliance- und Prüfprozesse als definierter Workflow. Das Berechtigungskonzept regelt, wer welche Akte sieht. Diese Berechtigungen greifen auch in den KI-Funktionen von d.velop AI.
Digital unterschreiben
d.velop sign ermöglicht je nach Edition eIDAS-konforme Signaturen in allen drei Stufen: einfach, fortgeschritten und qualifiziert.
d.velop als IKT-Drittdienstleister
Nutzen Finanzunternehmen d.velop Lösungen in der Cloud oder beziehen sie laufende IT-Services von d.velop, ist d.velop für sie IKT-Drittdienstleister im Sinne von DORA. d.velop gehört damit in Ihr Informationsregister und in Ihre Drittparteien-Risikobewertung.
Für Ihre Bewertung von d.velop als IKT-Drittdienstleister sind unter anderem diese Nachweise relevant:
- Informationssicherheits-Managementsystem nach ISO/IEC 27001:2022
- Prüfung nach IDW PS 880 für d.velop documents (Cloud und On-Premises) und d.velop postbox (Cloud)
- Datenverarbeitung grundsätzlich in Rechenzentren innerhalb der EU, in der Regel in Deutschland, bei zertifizierten Unterauftragsverarbeitern, etwa nach ISO/IEC 27001
- Wahl des Betriebsmodells je nach Produkt: Cloud, On-Premises oder hybrid, mit Wechselmöglichkeit zwischen den Modellen. Das ist eine Grundlage für Ihre Exit-Strategie.
d.velop unterstützt Ihre Bewertung mit auditierbaren Dokumentationen, Protokollen und Architekturnachweisen.
Die Vertragsinhalte nach Art. 30 DORA, etwa Prüf- und Zugangsrechte, Unterstützung bei IKT-Vorfällen und Exit-Unterstützung, regelt d.velop in der Zusatzvereinbarung Finanzdienstleistungssektor (ZVF).
DORA-Verordnung Webinar
DORA | Wie der Digital Operational Resilience Act die Cybersicherheit revolutioniert
In unserem Webinar geben unsere Experten für Quality & ESG Management, Anne Telöken und der DORA-Experte & Senior Manager, Alexander Geißler, ihnen einen Einblick in die DORA-Verordnung und wie wir sie umsetzen. Außerdem haben Sie die Möglichkeit uns live all Ihre Fragen über DORA und dessen Umsetzung bei der d.velop zu stellen.
- Digitale Resilienz – warum ist das für die Finanzwirtschaft wichtig?
- Was verbirgt sich hinter DORA und welche Auswirkungen hat sie?
- DORA @d.velop – wie setzen wir die Regulatorik um?
- Ihre Fragen & unsere Antworten
Starten Sie mit nur einem Klick direkt das Webinar.
News & Ressourcen
Mehr Compliance-Themen
Tauchen Sie tiefer in einzelne Compliance-Themen ein und erfahren Sie, wie Ihre Branchen-Kollegen Ihre Dokumentenprozesse mit d.velop Lösungen optimiert haben.
DMS Compliance nach europäischen Maßstäben
Die d.velop documents platform schafft die technische Grundlage für DMS-Compliance nach DSGVO und GoBD, vom Datenstandort bis zum Nachweis bei Prüfungen.
andsafe AG: Digitale Versicherung nutzt d.velop documents als Compliance-konformes DMS
Die andsafe AG nutzt das Cloud-basierte DMS d.velop documents mit Portal-Anbindung, schafft so ein revisionssicheres Datenmanagement mit passenden Schnittstellen und stellt Dokumente ohne Zeitverlust zur Verfügung.
Datensouveränität in Versicherungen und Banken: Chancen, Risiken und Wege in die Zukunft
In der aktuellen Podcast-Episode des Digital Insurance Podcast teilt unser COO, Hendrik Fundermann, warum der Bedarf an europäischen Cloud Lösungen steigt, welche Chancen Anbieter wie Open Telekom Cloud und Stack IT bieten und worauf es bei der Entwicklung einer zukunftsfähigen Cloud Strategie ankommt.
Grenke AG migriert Dokumentenmanagementsystem
Die Grenke AG migrierte ihr bestehendes DMS System mit rund 150 Millionen Dokumenten und 2.500 Anwendern in über 30 Ländern zu einer Lösung auf Basis von d.velop documents.
KI-gestützte Vertragsfreigabe in Versicherungen
Dieser Artikel zeigt, wie Intelligent Document Processing den KI-gestützten Vertragsfreigabeprozess anstößt, welche Vorgaben aus DSGVO, DORA und EU AI Act greifen und wie Versicherer ihre Dokumentenprozesse bereits automatisieren
FiDA-Verordnung: Open Finance in der EU bekommt Rückenwind
Mit der FiDA-Verordnung wird Open Finance in der EU Realität. Informiere dich über die Vorteile, Möglichkeiten und Herausforderungen.
FAQ
Häufig gestellte Fragen
Bezüglich der neuen DORA-Verordnung stellen sich Unternehmen häufig die gleichen Fragen. Wir haben die wichtigsten für Sie gesammelt und beantwortet.
Die DORA-Verordnung (Verordnung (EU) 2022/2554) ist eine EU-Verordnung, die die digitale operationale Resilienz von Finanzunternehmen regelt. Sie verpflichtet Banken, Versicherer und weitere Finanzunternehmen zu einem IKT-Risikomanagement, zur Meldung schwerwiegender IKT-bezogener Vorfälle, zu regelmäßigen Resilienztests und zur Steuerung ihrer IKT-Drittdienstleister. Als Verordnung gilt sie unmittelbar in allen EU-Mitgliedstaaten.
Seit dem 17. Januar 2025. In Kraft getreten ist DORA am 16. Januar 2023, die zweijährige Übergangsfrist ist abgelaufen. In Deutschland wenden ab dem 1. Januar 2027 weitere Institute DORA an.
DORA gilt für die in Art. 2 der Verordnung genannten Finanzunternehmen, darunter Kreditinstitute, Versicherer, Wertpapierfirmen, Zahlungs- und E-Geld-Institute und Kapitalverwaltungsgesellschaften. Auch IKT-Drittdienstleister fallen in den Anwendungsbereich. In Deutschland führt die BaFin die Aufsicht.
Die VAIT sind mit Ablauf des 16. Januar 2025 aufgehoben, ebenso KAIT und ZAIT. Die BAIT gelten nur noch für Institute, die DORA noch nicht anwenden, und entfallen mit Ablauf des 31. Dezember 2026 vollständig. Die Rahmenwerke, die betroffene Finanzunternehmen nach BAIT oder VAIT aufgebaut haben, bleiben eine Grundlage für die Umsetzung von DORA.
Ein IKT-Drittdienstleister ist ein Unternehmen, das Finanzunternehmen laufend digitale Dienste oder Datendienste bereitstellt, etwa Software als Service oder Cloud-Infrastruktur. Finanzunternehmen müssen diese Dienstleister bewerten, mit ihnen Verträge mit Mindestinhalten schließen und sie im Informationsregister führen. Die Verantwortung für das Risiko bleibt beim Finanzunternehmen.
Nein. d.velop steht nicht auf der Liste kritischer IKT-Drittdienstleister, die die europäischen Aufsichtsbehörden am 18. November 2025 veröffentlicht haben. Für Finanzunternehmen, die d.velop Cloud-Lösungen nutzen oder laufende IT-Services von d.velop beziehen, ist d.velop ein IKT-Drittdienstleister, den sie in ihrer Risikobewertung und im Informationsregister berücksichtigen. Davon zu unterscheiden ist Ihre eigene Einstufung: Unterstützt ein d.velop Dienst in Ihrem Haus eine kritische oder wichtige Funktion, gelten dafür erweiterte Vertragsinhalte nach Art. 30 DORA und die Pflicht zu einer Exit-Strategie.
DORA verpflichtet Finanzunternehmen, nicht Softwareprodukte. Eine Software kann deshalb keine DORA-Konformität für ein Institut herstellen. Die d.velop documents platform liefert Bausteine für die Nachweisführung: bei entsprechender Konfiguration eine revisionssichere Archivierung nach GoBD, geprüft nach IDW PS 880, Versionierung und Aktivitätenprotokollierung, rollenbasierte Berechtigungen und Datenverarbeitung grundsätzlich in der EU. d.velop unterstützt Ihre Bewertung mit auditierbaren Dokumentationen, Protokollen und Architekturnachweisen.
Die d.velop documents platform verwaltet die Unterlagen, die Sie für DORA brauchen, etwa Verträge mit IKT-Dienstleistern und die Dokumentation von Vorfällen. d.velop contracts überwacht Fristen und Laufzeiten, d.velop process studio bildet Genehmigungs-, Compliance- und Prüfprozesse als Workflow ab. Kern- und Bestandssysteme bleiben unverändert und werden über Schnittstellen angebunden.
Setzen Finanzunternehmen KI ein, gelten dafür die Anforderungen aus DORA. Die BaFin hat dazu am 18. Dezember 2025 eine unverbindliche Orientierungshilfe zu IKT-Risiken beim Einsatz von KI veröffentlicht. d.velop AI ist europäisch gehostet und berücksichtigt das bestehende Berechtigungskonzept.
Software Demo
Lernen Sie die d.velop Software kennen
Fordern Sie mit wenigen Klicks Ihre individuelle Live-Demo zur Software von d.velop an. Lassen Sie sich die Software live vorführen und stellen Sie direkt Ihre Fragen. Einfach Formular ausfüllen und wir melden uns bei Ihnen