Complass – Navigate compliance Complass – Navigate compliance
Sprache DE
Deutsch English Français Italiano Español Nederlands Polski Português
Kostenlos testen

Regelwerk

DORA – Verordnung (EU) 2022/2554 über die digitale operationale Resilienz

DORA gilt seit dem 17. Januar 2025 für Banken, Versicherungen, Zahlungsdienstleister und weitere Finanzunternehmen und wirkt sich über deren Verträge auch auf ihre IT-, Cloud- und Software-Dienstleister aus. Complass führt beide Seiten: vom IKT-Risikomanagement bis zur Anforderungsmatrix Ihrer Finanzkunden.

Kostenlos testen Demo anfragen
Standbild aus dem Kurzfilm „Compliance-Management in 20 Sekunden“
Compliance-Management in 20 Sekunden Projekt, nächster Schritt, Checkliste, Erklärung zur Anwendbarkeit, Audit-Paket. Beispieldaten der Demo-Firma.

Was ist DORA?

DORA ist die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor. Sie regelt einheitlich das IKT-Risikomanagement, die Klassifizierung und Meldung schwerwiegender IKT-bezogener Vorfälle, das Testen der digitalen operationalen Resilienz, das Management des IKT-Drittparteienrisikos einschließlich Informationsregister und Vertragsinhalten sowie die Überwachung kritischer IKT-Drittdienstleister. Delegierte und Durchführungsverordnungen der Kommission legen die Einzelheiten fest.

Stand der Inhalte:

Bin ich betroffen?

Unmittelbar gilt DORA für Finanzunternehmen nach Art. 2, etwa Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Kapitalverwaltungsgesellschaften, Versicherungs- und Rückversicherungsunternehmen und Anbieter von Krypto-Dienstleistungen. In Deutschland erweitern § 1a Abs. 2 KWG, § 1a Abs. 2a KWG (Meldepflichten seit dem 17. Januar 2025, im Übrigen ab dem 1. Januar 2027) und § 293 Abs. 5 VAG den Kreis. Für Kleinstunternehmen und Unternehmen im vereinfachten Rahmen nach Art. 16 gelten Erleichterungen. Für Finanzunternehmen geht DORA der NIS2-Regulierung als speziellerer Rechtsakt vor, soweit DORA gleichwertige Anforderungen enthält (Art. 4 NIS2-Richtlinie).

IT-, Cloud-, Software- und Managed-Service-Anbieter sind als IKT-Drittdienstleister mittelbar betroffen: Ihre Finanzkunden bleiben voll verantwortlich und müssen Vertragsinhalte nach Art. 30, Audit- und Zugangsrechte, Unterstützung bei Vorfällen, Mitwirkung an Tests und Ausstiegsregelungen von ihnen verlangen. Eine eigene Phase im Modul führt Dienstleister durch diese Anforderungen.

Diese Übersicht ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzes- bzw. Normtext; in Complass prüfen Sie die Betroffenheit geführt anhand der Verweise.

Rechtsgrundlagen

  • Art. 2 DORAArtikel 2 DORA Geltungsbereich(1) Unbeschadet der Absätze 3 und 4 gilt diese Verordnung für folgende Unternehmen: - a) Kreditinstitute, - b) Zahlungsinstitute, einschließlich gemäß der Richtlinie (EU) 2015/2366 ausgenommene Zahlungsinstitute, - c) Kontoinformationsdienstleister, - d) E-Geld-Institute, einschließlich gemäß der Richtlinie 2009/110/EG ausgenommene E-Geld-Institute, - e) Wertpapierfirmen, - f) Anbieter von Krypto-Dienstleistungen, …Stand: 05.10.2026 · Quelle: EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024Original öffnen (EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024) ↗Geltungsbereich
  • Art. 3 DORAArtikel 3 DORA BegriffsbestimmungenFür die Zwecke dieser Verordnung bezeichnet der Ausdruck: 1. „digitale operationale Resilienz“ die Fähigkeit eines Finanzunternehmens, seine operative Integrität und Betriebszuverlässigkeit aufzubauen, zu gewährleisten und zu überprüfen, indem es entweder direkt oder indirekt durch Nutzung der von IKT-Drittdienstleistern bereitgestellten Dienste das gesamte Spektrum an IKT-bezogenen Fähigkeiten sicherstellt, die …Stand: 05.10.2026 · Quelle: EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024Original öffnen (EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024) ↗Begriffsbestimmungen, u. a. IKT-Dienstleistungen und kritische oder wichtige Funktion
  • Art. 5 DORAArtikel 5 DORA Governance und Organisation(1) Finanzunternehmen verfügen über einen internen Governance- und Kontrollrahmen, der im Einklang mit Artikel 6 Absatz 4 ein wirksames und umsichtiges Management von IKT-Risiken gewährleistet, um ein hohes Niveau an digitaler operationaler Resilienz zu erreichen. (2) Das Leitungsorgan des Finanzunternehmens definiert, genehmigt, überwacht und verantwortet die Umsetzung aller Vorkehrungen im Zusammenhang mit dem …Stand: 05.10.2026 · Quelle: EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024Original öffnen (EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024) ↗Governance und Verantwortung des Leitungsorgans
  • Art. 16 DORAArtikel 16 DORA Vereinfachter IKT-Risikomanagementrahmen(1) Artikel 5 bis 15 gelten nicht für kleine und nicht verflochtene Wertpapierfirmen, entsprechend der Richtlinie (EU) 2015/2366 ausgenommene Zahlungsinstitute, entsprechend der Richtlinie 2013/36/EU ausgenommene Institute, für die die Mitgliedstaaten beschlossen haben, nicht von der in Artikel 2 Absatz 4 der vorliegenden Verordnung genannten Möglichkeit Gebrauch zu machen, nach der Richtlinie 2009/110/EG …Stand: 05.10.2026 · Quelle: EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024Original öffnen (EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024) ↗Vereinfachter IKT-Risikomanagementrahmen
  • Art. 19 DORAArtikel 19 DORA Meldung schwerwiegender IKT-bezogener Vorfälle und freiwillige Meldung erheblicher Cyberbedrohungen(1) Finanzunternehmen melden der nach Artikel 46 jeweils zuständigen Behörde gemäß Absatz 4 schwerwiegende IKT-bezogene Vorfälle. Unterliegt ein Finanzunternehmen der Aufsicht mehr als einer nach Artikel 46 zuständigen nationalen Behörde, so benennen die Mitgliedstaaten eine einzige zuständige Behörde als einschlägige zuständige Behörde, die für die Wahrnehmung der im vorliegenden Artikel aufgeführten Funktionen und …Stand: 05.10.2026 · Quelle: EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024Original öffnen (EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024) ↗Meldung schwerwiegender IKT-bezogener Vorfälle
  • Art. 28 DORAArtikel 28 DORA Allgemeine Prinzipien(1) Finanzunternehmen managen das IKT-Drittparteienrisiko als integralen Bestandteil des IKT-Risikos innerhalb ihres IKT-Risikomanagementrahmens nach Artikel 6 Absatz 1 und im Einklang mit den folgenden Prinzipien: - a) Finanzunternehmen, die vertragliche Vereinbarungen über die Nutzung von IKT-Dienstleistungen für die Ausübung ihrer Geschäftstätigkeit getroffen haben, bleiben jederzeit in vollem Umfang für die …Stand: 05.10.2026 · Quelle: EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024Original öffnen (EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024) ↗IKT-Drittparteienrisiko und Informationsregister
  • Art. 30 DORAArtikel 30 DORA Wesentliche Vertragsbestimmungen(1) Die Rechte und Pflichten des Finanzunternehmens und des IKT-Drittdienstleisters werden eindeutig zugewiesen und schriftlich dargelegt. Der vollständige Vertrag umfasst die Vereinbarung über die Dienstleistungsgüte und wird in einem schriftlichen Dokument, das den Parteien in Papierform zur Verfügung steht, oder in einem Dokument in einem anderen herunterladbaren, dauerhaften und zugänglichen Format dokumentiert. …Stand: 05.10.2026 · Quelle: EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024Original öffnen (EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024) ↗Wesentliche Vertragsbestimmungen
  • Art. 5 DelVO (EU) 2025/301Artikel 5 Delegierte VO (EU) 2025/301 Fristen für die Erst-, Zwischen- und Abschlussmeldung(1) Finanzunternehmen übermitteln die Erst-, Zwischen- und Abschlussmeldung gemäß Artikel 19 Absatz 4 Buchstaben a, b und c der Verordnung (EU) 2022/2554 innerhalb der folgenden Fristen: - a) bei der Erstmeldung: so früh wie möglich, in jedem Fall aber innerhalb von vier Stunden nach Einstufung des IKT-bezogenen Vorfalls als schwerwiegend und spätestens 24 Stunden nach dem Zeitpunkt, zu dem das Finanzunternehmen …Stand: 06.10.2026 · Quelle: EUR-LexOriginal öffnen (EUR-Lex) ↗Fristen für Erst-, Zwischen- und Abschlussmeldung

Wichtige Fristen

  1. Inkrafttreten der Verordnung · Art. 64Artikel 64 DORA Inkrafttreten und AnwendungDiese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Sie gilt ab dem 17. Januar 2025.Stand: 05.10.2026 · Quelle: EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024Original öffnen (EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024) ↗
  2. DORA gilt in allen EU-Mitgliedstaaten · Art. 64Artikel 64 DORA Inkrafttreten und AnwendungDiese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Sie gilt ab dem 17. Januar 2025.Stand: 05.10.2026 · Quelle: EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024Original öffnen (EUR-Lex – ABl. L 333 vom 27.12.2022, eingearbeitet: Berichtigung ABl. L 2024/90822 vom 19.12.2024) ↗
  3. Erste Einreichung des Informationsregisters bei der BaFin (Stand 31.03.2025) · Art. 28 Abs. 3
  4. Ende des Einreichungszeitraums 2026 für das Informationsregister bei der BaFin (09.–30.03.2026, Stichtag 31.12.2025) · Art. 28 Abs. 3
  5. DORA gilt für weitere KWG-Institute nach § 1a Abs. 2a KWG (außer Kapitel III, das seit 17.01.2025 gilt) · § 65a Abs. 3 KWG

Die Meldefristen für schwerwiegende Vorfälle sind kurz: Erstmeldung innerhalb von vier Stunden nach Einstufung als schwerwiegend, spätestens 24 Stunden nach Kenntniserlangung (Art. 5 DelVO (EU) 2025/301). Die Zwischenmeldung folgt spätestens 72 Stunden nach der Erstmeldung, die Abschlussmeldung spätestens einen Monat nach der Zwischenmeldung oder der letzten aktualisierten Zwischenmeldung (Art. 5 Abs. 1 Buchst. b und c DelVO (EU) 2025/301). Das Informationsregister reichen Finanzunternehmen jährlich bei der BaFin ein; prüfen Sie die jeweils aktuellen Termine der BaFin.

Wie Complass hilft

  • 8Phasen
  • 36geführte Schritte
  • 18Dokumentvorlagen
  • 107Anforderungen im Katalog

  • Geführtes DORA-Projekt

    Acht Phasen von Anwendbarkeit und Rolle über Governance, Schutz, Vorfälle und Tests bis zum Drittparteienrisiko und zur regelmäßigen Überprüfung; jeder Schritt nennt, ob er für Finanzunternehmen, IKT-Dienstleister oder beide gilt.

  • Anforderungskatalog nach Artikel

    Die Anforderungen der Art. 5 bis 30 und 45 auf Absatzebene mit Originalwortlaut, Status und Nachweis, ergänzt um die Kundenanforderungen aus Sicht der IKT-Dienstleister.

  • Vorlagen

    Rahmendokument, Resilienzstrategie, Informationssicherheitsleitlinie, Melde- und Klassifizierungsplan, Testprogramm, Informationsregister, Vertragsprüfung nach Art. 30, Ausstiegsplan und für Dienstleister Anforderungsmatrix, Registerangaben und Vorfallbenachrichtigung.

  • Drittparteien und Vorfälle dokumentieren

    Informationsregister, Vertragsprüfung nach Art. 30 und Ausstiegsplan als Vorlagen im Projekt führen und Vorfälle mit Zeitstempeln im Vorfallregister dokumentieren. Für schwerwiegende IKT-bezogene Vorfälle berechnet der DORA-Meldeweg die Fristen für Erstmeldung, Zwischenmeldung und Abschlussmeldung und bereitet die Pflichtangaben vor. Ihre IKT-Drittdienstleister stufen Sie im Lieferantenmanagement ein und führen dort Verträge, Nachweise und Fragebögen.

Die Phasen im Modul

  1. Anwendbarkeit, Rolle und Verhältnis zu NIS2
  2. Governance und IKT-Risikomanagementrahmen
  3. Schützen, Erkennen, Reagieren, Wiederherstellen
  4. IKT-bezogene Vorfälle: Management, Klassifizierung, Meldungen
  5. Testen der digitalen operationalen Resilienz
  6. IKT-Drittparteienrisiko
  7. Als IKT-Drittdienstleister die DORA-Anforderungen Ihrer Finanzkunden erfüllen
  8. Informationsaustausch, Nachweise, Wirksamkeit und Verbesserung

Katalog: DORA-Anforderungskatalog nach Kapitel und Artikel

Passende Bausteine

Compliance-Management

Regelwerke geführt umsetzen: Phasen, Vorlagen, Dokumentenpyramide, Kataloge, Gap-Analyse, Ziele und Maßnahmenplan bis zur Prüfung im Prüferportal.

Mehr erfahren

Risk-Management

Risikoregister mit qualitativer oder quantitativer Bewertung, Risikoappetit und Behandlungsplan, verzahnt mit Assets, Schwachstellen und Vorfällen.

Mehr erfahren

Incident-Management

Vorfälle erfassen, Meldepflicht nach NIS2, CRA und DSGVO prüfen und die Meldefristen mit Countdown verfolgen.

Mehr erfahren

DORA in Complass: was Sie mindestens brauchen

Die erste Auswahl deckt die Pflichten in Complass ab, wenn sie für Sie gelten. Ob das so ist, zeigt der kostenlose Betroffenheits-Check. Zum Betroffenheits-Check

Was Sie mindestens brauchen

Wenn DORA für Sie gilt: Diese Auswahl deckt die Pflichten daraus in Complass ab. Sie ist vorausgewählt, wenn Sie testen oder bestellen.

Portalgröße Start

Preis der Mindestauswahl
PositionPreis netto pro Monat
Start S179 €
DORAenthalten
Notfallmanagement (BCM)79 €
DSGVO, KI-Verordnung und Hinweisgeberschutz (HinSchG) (Basisschutz)enthalten
Zusammen258 € netto/Monat

Bei jährlicher Zahlung, 12 Monate Mindestlaufzeit. Monatliche Zahlung mit 15 % Aufschlag. Alle Preise netto zzgl. USt., Stand 16.10.2026.

14 Tage kostenlos testen: Mindestauswahl DORA Bestellen: Mindestauswahl DORA

Auswahl in der Preisübersicht anpassen: Mindestauswahl DORA

Empfohlen für mehr Wirkung Angebot, keine Pflicht

Business mit Lieferantenmanagement

Mehr Wirkung mit Risk-Management und Lieferantenmanagement, Platz für 10 Nutzer und 2 Regelwerke.

548 € netto/Monat, 290 € mehr als die Mindestauswahl.

Bei jährlicher Zahlung, 12 Monate Mindestlaufzeit. Monatliche Zahlung mit 15 % Aufschlag. Alle Preise netto zzgl. USt., Stand 16.10.2026.

Mit Business testen: Mindestauswahl DORA

In der Preisübersicht ansehen: Mindestauswahl DORA

Gut zu wissen: Die Pflichten können Sie auch ohne Complass erfüllen. Complass unterstützt Sie bei Umsetzung und Nachweis, ersetzt aber keine Rechtsberatung. Rechtliche Hinweise

Häufige Fragen

Wir sind ein IT-Dienstleister und kein Finanzunternehmen. Betrifft uns DORA?

Ja, mittelbar, wenn Sie IKT-Dienstleistungen für Finanzunternehmen erbringen. Ihre Kunden müssen die Vertragsinhalte nach Art. 30 mit Ihnen vereinbaren und verlangen Angaben für ihr Informationsregister, Unterstützung bei Vorfällen, Audits und Ausstiegsregelungen. Unmittelbare Aufsicht trifft nur kritische IKT-Drittdienstleister nach Art. 31.

Gilt für uns DORA oder NIS2?

Für Finanzunternehmen ist DORA der speziellere Rechtsakt; § 28 Abs. 6 BSIG nimmt sie von zentralen NIS2-Pflichten aus. IKT-Dienstleister können dagegen selbst unter NIS2 fallen und zusätzlich die DORA-Anforderungen ihrer Kunden erfüllen müssen. Der Betroffenheitscheck in Complass prüft die NIS2-Seite.

Übermittelt Complass Meldungen an die BaFin?

Nein. Complass hilft, Vorfälle mit Zeitstempeln zu dokumentieren, die Einstufung als schwerwiegend mit Prüffragen zu begründen, die Meldefristen zu berechnen und die Meldungen mit ihren Pflichtangaben vorzubereiten. Die Meldung selbst übermitteln Sie über den von der Aufsicht vorgegebenen Weg; die rechtliche Bewertung im Einzelfall bleibt bei Ihnen.

Wo führen wir Software-Lizenzen und Wartungsverträge für das Informationsregister?

Im Register „Verträge und Lizenzen“ des Asset-Managements, mit Laufzeit, Kündigungsfrist, Verantwortlichen, verknüpften Assets und Nachweisen; mit dem Lieferantenmanagement auch beim jeweiligen Dienstleister. Es liefert Angaben für Ihr Informationsregister nach Art. 28 DORA, einen Export im Format der Durchführungsverordnung (EU) 2024/2956 bietet Complass nicht.

Complass mit Ihren eigenen Daten testen

Legen Sie Ihren Testzugang selbst an, auf Wunsch mit einem Beispielprojekt je Regelwerk. Wenn Sie Complass lieber erst gezeigt bekommen, fragen Sie eine Demo an.

Kostenlos testen Demo anfragen