Seit dem 17. Januar 2025 gilt DORA für Banken, Versicherer, Wertpapierfirmen, Zahlungs- und viele weitere Finanzunternehmen. Die Verordnung verlangt ein dokumentiertes IKT-Risikomanagement, Meldungen schwerwiegender Vorfälle, Resilienztests und die Steuerung Ihrer IKT-Dienstleister. Complass führt Sie durch alle Teile und hält die Nachweise für die Aufsicht bereit.
Jede IKT-Dienstleistung gehört ins Informationsregister, mit Vertrag, Funktion und Unterauftragnehmern. Die Aufsicht fordert das Register jährlich an.
Vorfälle schnell einstufen
Ob ein IKT-Vorfall schwerwiegend und meldepflichtig ist, entscheiden feste Kriterien. Die Erstmeldung folgt binnen Stunden.
Verantwortung beim Leitungsorgan
Das Leitungsorgan trägt die Verantwortung für den IKT-Risikomanagementrahmen und muss ihn genehmigen, überwachen und regelmäßig überprüfen.
Was für Ihr Unternehmen gilt
DORA gilt unmittelbar in der gesamten EU. Für kleine und nicht verflochtene Unternehmen gibt es einen vereinfachten Rahmen, für die meisten anderen diese Pflichten:
IKT-Risikomanagementrahmen mit Strategie, Leitlinien, Schutz, Erkennung, Reaktion und Wiederherstellung, genehmigt und überwacht vom Leitungsorgan Art. 5 DORAArtikel 5 DORAGovernance und Organisation(1) Finanzunternehmen verfügen über einen internen Governance- und Kontrollrahmen, der im Einklang mit Artikel 6 Absatz 4 ein wirksames und umsichtiges Management von IKT-Risiken gewährleistet, um ein hohes Niveau an digitaler operationaler Resilienz zu erreichen. (2) Das Leitungsorgan des Finanzunternehmens definiert, genehmigt, überwacht und verantwortet die Umsetzung aller Vorkehrungen im Zusammenhang mit dem …Stand: 05.10.2026 · Quelle: EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024Original öffnen (EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024) ↗Art. 6 DORAArtikel 6 DORAIKT-Risikomanagementrahmen(1) Finanzunternehmen verfügen über einen soliden, umfassenden und gut dokumentierten IKT-Risikomanagementrahmen, der Teil ihres Gesamtrisikomanagementsystems ist und es ihnen ermöglicht, IKT-Risiken schnell, effizient und umfassend anzugehen und ein hohes Niveau an digitaler operationaler Resilienz zu gewährleisten. (2) Der IKT-Risikomanagementrahmen umfasst mindestens Strategien, Leit- und Richtlinien, Verfahren …Stand: 05.10.2026 · Quelle: EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024Original öffnen (EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024) ↗
IKT-bezogene Vorfälle erfassen, nach festen Kriterien klassifizieren und schwerwiegende Vorfälle in drei Stufen melden: Erstmeldung, Zwischenmeldung und Abschlussbericht Art. 17 DORAArtikel 17 DORAProzess für die Behandlung IKT-bezogener Vorfälle(1) Finanzunternehmen bestimmen einen Prozess für die Behandlung IKT-bezogener Vorfälle, richten diese ein und wenden sie an, um IKT-bezogene Vorfälle zu erkennen, zu behandeln und zu melden. (2) Finanzunternehmen erfassen alle IKT-bezogenen Vorfälle und erheblichen Cyberbedrohungen. Finanzunternehmen richten angemessene Verfahren und Prozesse ein, um die kohärente und integrierte Überwachung, Handhabung und …Stand: 05.10.2026 · Quelle: EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024Original öffnen (EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024) ↗Art. 18 DORAArtikel 18 DORAKlassifizierung von IKT-bezogenen Vorfällen und Cyberbedrohungen(1) Finanzunternehmen klassifizieren IKT-bezogene Vorfälle und bestimmen deren Auswirkungen anhand folgender Kriterien: - a) Anzahl und/oder Relevanz der Kunden oder anderer Gegenparteien im Finanzbereich, die von dem IKT-bezogenen Vorfall betroffen sind, und gegebenenfalls des Werts oder der Anzahl der davon betroffenen Transaktionen und ob der IKT-bezogene Vorfall einen Reputationsschaden verursacht hat; - b) …Stand: 05.10.2026 · Quelle: EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024Original öffnen (EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024) ↗Art. 19 DORAArtikel 19 DORAMeldung schwerwiegender IKT-bezogener Vorfälle und freiwillige Meldung erheblicher Cyberbedrohungen(1) Finanzunternehmen melden der nach Artikel 46 jeweils zuständigen Behörde gemäß Absatz 4 schwerwiegende IKT-bezogene Vorfälle. Unterliegt ein Finanzunternehmen der Aufsicht mehr als einer nach Artikel 46 zuständigen nationalen Behörde, so benennen die Mitgliedstaaten eine einzige zuständige Behörde als einschlägige zuständige Behörde, die für die Wahrnehmung der im vorliegenden Artikel aufgeführten Funktionen und …Stand: 05.10.2026 · Quelle: EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024Original öffnen (EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024) ↗
Die digitale operationale Resilienz regelmäßig testen; ausgewählte Unternehmen zusätzlich mit bedrohungsorientierten Penetrationstests Art. 24 DORAArtikel 24 DORAAllgemeine Anforderungen für das Testen der digitalen operationalen Resilienz(1) Um die Vorbereitung auf die Handhabung IKT-bezogener Vorfälle zu bewerten, Schwächen, Mängel und Lücken in Bezug auf die digitale operationale Resilienz zu erkennen und Korrekturmaßnahmen umgehend umzusetzen, erstellen, pflegen und überprüfen Finanzunternehmen, die keine Kleinstunternehmen sind, unter Berücksichtigung der in Artikel 4 Absatz 2 aufgeführten Kriterien ein solides und umfassendes Programm für das …Stand: 05.10.2026 · Quelle: EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024Original öffnen (EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024) ↗Art. 26 DORAArtikel 26 DORAErweiterte Tests von IKT-Tools, -Systemen und -Prozessen auf Basis von TLPT(1) Gemäß Absatz 8 Unterabsatz 3 des vorliegenden Artikels ermittelte Finanzunternehmen, bei denen es sich weder um die in Artikel 16 Absatz 1 Unterabsatz 1 genannten Unternehmen noch um Kleinstunternehmen handelt, führen mindestens alle drei Jahre anhand von TLPT erweiterte Tests durch. Auf der Grundlage des Risikoprofils des Finanzunternehmens und unter Berücksichtigung der betrieblichen Gegebenheiten kann die …Stand: 05.10.2026 · Quelle: EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024Original öffnen (EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024) ↗
IKT-Drittparteienrisiko steuern: Strategie, Informationsregister aller IKT-Dienstleistungen und Ausstiegsstrategien Art. 28 DORAArtikel 28 DORAAllgemeine Prinzipien(1) Finanzunternehmen managen das IKT-Drittparteienrisiko als integralen Bestandteil des IKT-Risikos innerhalb ihres IKT-Risikomanagementrahmens nach Artikel 6 Absatz 1 und im Einklang mit den folgenden Prinzipien: - a) Finanzunternehmen, die vertragliche Vereinbarungen über die Nutzung von IKT-Dienstleistungen für die Ausübung ihrer Geschäftstätigkeit getroffen haben, bleiben jederzeit in vollem Umfang für die …Stand: 05.10.2026 · Quelle: EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024Original öffnen (EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024) ↗
Verträge mit IKT-Dienstleistern müssen bestimmte Inhalte haben, etwa Leistungsbeschreibung, Standorte der Datenverarbeitung, Mitwirkung bei Vorfällen, Prüfrechte und Kündigungsrechte Art. 30 DORAArtikel 30 DORAWesentliche Vertragsbestimmungen(1) Die Rechte und Pflichten des Finanzunternehmens und des IKT-Drittdienstleisters werden eindeutig zugewiesen und schriftlich dargelegt. Der vollständige Vertrag umfasst die Vereinbarung über die Dienstleistungsgüte und wird in einem schriftlichen Dokument, das den Parteien in Papierform zur Verfügung steht, oder in einem Dokument in einem anderen herunterladbaren, dauerhaften und zugänglichen Format dokumentiert. …Stand: 05.10.2026 · Quelle: EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024Original öffnen (EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024) ↗
Die Risikomanagement-, Melde- und Geschäftsleitungspflichten des BSI-Gesetzes gelten für Finanzunternehmen unter DORA nicht; DORA geht insoweit vor § 28 Abs. 6 BSIG§ 28 BSIGBesonders wichtige Einrichtungen und wichtige Einrichtungen(1) Als besonders wichtige Einrichtung gelten - 1. Betreiber kritischer Anlagen, - 2. qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter, - 3. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die - a) mindestens 50 Mitarbeiter beschäftigen oder - b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils …Stand: 26.09.2026 · Quelle: gesetze-im-internet.deOriginal öffnen (gesetze-im-internet.de) ↗
Kosten, Aufwand und Dauer: nur Berater, Berater mit Complass oder eigene Umsetzung mit Complass? Compliance-Kostenrechner öffnen
Allgemeine Information, keine Rechtsberatung. Diese Seite fasst die Rechtslage vereinfacht zusammen und ersetzt keine Prüfung Ihres Einzelfalls. Maßgeblich ist der Wortlaut der Gesetze und Normen.
Typische Unternehmen
Banken und Sparkassen Schwerpunkt
Kreditinstitute mit eigener oder ausgelagerter IT, mit Informationsregister und Resilienztests.
Versicherer
Versicherungs- und Rückversicherungsunternehmen, ausgenommen sehr kleine Versicherer; Vermittler nur, wenn sie größer als ein mittleres Unternehmen sind (Art. 2 Abs. 3 DORA).
Zahlungs- und E-Geld-Institute
Zahlungsdienste mit hohen Anforderungen an Verfügbarkeit und Meldung von Vorfällen.
Wertpapierfirmen und Kapitalverwaltungsgesellschaften
Je nach Größe mit vollem oder vereinfachtem IKT-Risikomanagementrahmen; kleine registrierte Verwalter alternativer Investmentfonds sind ausgenommen.
So unterstützt Complass
DORA geführt umsetzen
Phasen von der Anwendbarkeit bis zur Überprüfung des Rahmens, mit Vorlagen für Strategie, Leitlinien, Testprogramm sowie Melde- und Klassifizierungsplan.
Die erste Auswahl deckt die Pflichten in Complass ab, wenn sie für Sie gelten. Ob das so ist, zeigt der kostenlose Betroffenheits-Check. Zum Betroffenheits-Check
Was Sie mindestens brauchen
Wenn DORA für Ihr Finanzunternehmen gilt: Diese Auswahl deckt die Pflichten daraus in Complass ab. Sie ist vorausgewählt, wenn Sie testen oder bestellen.
Geschäftsleitungs-Cockpit: Nachweisen, dass das Leitungsorgan das IKT-Risikomanagement festlegt, genehmigt und überwacht. (Art. 5 DORA (öffnet in neuem Tab)) (inklusive)
Notfallmanagement (BCM): IKT-Geschäftsfortführung: Business-Impact-Analyse, Notfallpläne und Übungen, ISO 22301 inklusive. (Art. 11 DORA (öffnet in neuem Tab))
Incident-Management: inklusive
DSGVO, KI-Verordnung und Hinweisgeberschutz (HinSchG) (Basisschutz): inklusive
Preis der Mindestauswahl
Position
Preis netto pro Monat
Start S
179 €
DORA
enthalten
Notfallmanagement (BCM)
79 €
DSGVO, KI-Verordnung und Hinweisgeberschutz (HinSchG) (Basisschutz)
enthalten
Zusammen
258 € netto/Monat
Bei jährlicher Zahlung, 12 Monate Mindestlaufzeit. Monatliche Zahlung mit 15 % Aufschlag. Alle Preise netto zzgl. USt., Stand 16.10.2026.
Gut zu wissen: Die Pflichten können Sie auch ohne Complass erfüllen. Complass unterstützt Sie bei Umsetzung und Nachweis, ersetzt aber keine Rechtsberatung. Rechtliche Hinweise
Weitere Pakete
Das Regelwerk DORA können Sie heute nutzen. Für die IKT-Dienstleister des Finanzwesens bereiten wir die Branchenvorlage „DORA für IKT-Dienstleister“ vor.
buchbar
Regelwerk DORA
IKT-Risikomanagement, Vorfallmeldungen, Resilienztests und IKT-Drittparteienrisiko
Informationsregister als Arbeitsvorlage
Eigene Phase für IKT-Dienstleister mit den Anforderungen ihrer Finanzkunden
ab 179 € pro Monat zzgl. USt. im Paket Start, Größe S, bei jährlicher Zahlung
Alle Preise gelten für Unternehmen, nicht für Verbraucher. Sie verstehen sich netto zzgl. USt. bei jährlicher Zahlung; bei monatlicher Zahlung gilt ein Aufschlag von 15 %. Stand 16.10.2026. Enterprise und Unternehmensgruppen auf Anfrage.
Pakete mit dem Hinweis „in Kürze“ oder „in Vorbereitung“ sind noch nicht buchbar. Preis und Leistungsumfang nennen wir, sobald ein Paket buchbar ist. Die enthaltenen Regelwerke und Funktionen zeigen wir Ihnen gern schon jetzt in der Vorführung, soweit sie verfügbar sind.
Häufige Fragen
Müssen wir als Bank auch NIS2 umsetzen?+
Für Risikomanagement, Meldungen und die Pflichten der Geschäftsleitung geht DORA vor; die entsprechenden Vorschriften des BSI-Gesetzes gelten für Finanzunternehmen im Anwendungsbereich von DORA nicht (§ 28 Abs. 6 BSIG). Andere Vorschriften, etwa zur Registrierung, sind in dieser Ausnahme nicht genannt. Prüfen Sie diese Punkte im Einzelfall.
Gilt DORA auch für kleinere Institute?+
Ja, aber verhältnismäßig. Kleine und nicht verflochtene Wertpapierfirmen und einige weitere Unternehmen wenden einen vereinfachten IKT-Risikomanagementrahmen an (Art. 16 DORA). In Deutschland erstreckt das Kreditwesengesetz DORA zudem auf weitere Institute.
Hilft Complass beim Informationsregister?+
Ja. Das DORA-Regelwerk enthält eine Arbeitsvorlage für das Informationsregister nach den technischen Durchführungsstandards. Die Einreichung bei der Aufsicht erfolgt über deren Meldeweg.
Legen Sie Ihren Testzugang selbst an, auf Wunsch mit einem Beispielprojekt je Regelwerk. Wenn Sie Complass lieber erst gezeigt bekommen, fragen Sie eine Demo an.
