Finanzunternehmen hängen vollständig von funktionierender IT ab, und viele von ihnen nutzen dieselben Cloud- und Softwareanbieter. Fällt ein solcher Anbieter aus oder wird angegriffen, kann das mehrere Institute zugleich treffen. DORA soll sicherstellen, dass der Finanzsektor solche Störungen übersteht. Die Verordnung gilt unmittelbar in allen Mitgliedstaaten; in Österreich ist die Finanzmarktaufsicht (FMA) zuständig.
Für wen gilt DORA?
Art. 2 nennt unter anderem Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Anbieter von Krypto-Dienstleistungen, Versicherungen und Rückversicherungen, Einrichtungen der betrieblichen Altersversorgung und Ratingagenturen. Laut FMA sind damit annähernd alle von ihr beaufsichtigten Finanzunternehmen erfasst. Eine eigene Rolle haben IKT-Drittdienstleister, also Anbieter von IT- und Cloud-Diensten für Finanzunternehmen. Die drei europäischen Aufsichtsbehörden EBA, EIOPA und ESMA stufen besonders wichtige Anbieter als kritisch ein und beaufsichtigen sie direkt; die erste Liste erschien laut FMA im November 2025.
Die fünf Säulen von DORA
- IKT-Risikomanagement: ein dokumentierter Rahmen für Schutz, Erkennung, Reaktion und Wiederherstellung unter Verantwortung der Leitung.
- Behandlung und Meldung IKT-bezogener Vorfälle: Vorfälle klassifizieren und schwerwiegende Vorfälle der Aufsicht melden.
- Testen der digitalen operationalen Resilienz: regelmäßige Tests; bestimmte Finanzunternehmen müssen mindestens alle drei Jahre bedrohungsorientierte Penetrationstests (TLPT) an Live-Systemen durchführen.
- Management des IKT-Drittparteienrisikos: Verträge mit Mindestinhalten, Register aller IKT-Dienstleistungen, Ausstiegsstrategien.
- Informationsaustausch: freiwilliger Austausch von Bedrohungsinformationen zwischen Finanzunternehmen.
DORA und NIS2
DORA ist ein sektorspezifischer Rechtsakt im Sinne der NIS2-Richtlinie, die Erwägungsgründe nennen sie eine Lex specialis. Für Finanzunternehmen gehen die DORA-Regeln deshalb vor; laut FMA ist das in Österreich auch im NISG 2026 so festgelegt. Für IKT-Dienstleister gilt das NISG 2026 dagegen grundsätzlich vollständig, wenn sie selbst erfasst sind. Ob das auf Ihr Unternehmen zutrifft, klärt der kostenlose NIS2-Betroffenheitscheck.
Praxis für KMU
Auch wer kein Finanzunternehmen ist, spürt DORA: als IT-Dienstleister, Softwarehaus oder Rechenzentrum einer Bank oder Versicherung. Rechnen Sie mit erweiterten Vertragsklauseln, Prüf- und Zugangsrechten, Anforderungen an Meldewege und Mitwirkung bei Tests. Hilfreich sind ein dokumentiertes Sicherheitsmanagement wie ein ISMS, geübte Abläufe für Incident Response und ein belastbares Business Continuity Management. Gemeinden sind von DORA in der Regel nicht direkt betroffen.
Risiken und typische Fehler
- Nur Papier: Richtlinien ohne geübte Abläufe bestehen keinen Test.
- Lücken im Register: Nicht erfasste Cloud-Dienste und Unterauftragnehmer machen das Drittparteienrisiko unsichtbar.
- Kein Ausstiegsplan: Wer nicht weiß, wie er einen kritischen Anbieter ersetzt, ist im Ernstfall abhängig.
Bezug zu TOMORIS
EXPERTS Strategie & Beratung übersetzt Anforderungen in eine priorisierte Roadmap und unterstützt Architektur- und Sicherheitsreviews. Dieser Eintrag ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung.