Für wen gilt DORA? Anwendungsbereich und Ausnahmen
Welche Finanzunternehmen erfasst DORA?
Art. 2 Abs. 1 der Verordnung (EU) 2022/2554 zählt 20 Kategorien von Finanzunternehmen auf (Buchstaben a–t) und ergänzt als 21. Kategorie die IKT-Drittdienstleister. Gruppiert sieht der Adressatenkreis so aus:
| Bereich | Erfasste Einrichtungen (Auswahl) |
|---|---|
| Banken & Zahlungsverkehr | Kreditinstitute, Zahlungsinstitute, Kontoinformationsdienstleister, E-Geld-Institute |
| Wertpapiere & Märkte | Wertpapierfirmen, Handelsplätze, zentrale Gegenparteien (CCP), Zentralverwahrer (CSD), Transaktionsregister, Datenbereitstellungsdienste |
| Fonds & Vermögensverwaltung | Verwalter alternativer Investmentfonds (AIFM), Verwaltungsgesellschaften (OGAW) |
| Versicherungen & Vorsorge | Versicherungs- und Rückversicherungsunternehmen, Versicherungsvermittler, Einrichtungen der betrieblichen Altersversorgung |
| Krypto & neue Märkte | Krypto-Dienstleister (CASP) und Emittenten wertreferenzierter Token, Schwarmfinanzierungsdienstleister |
| Infrastruktur & Bewertung | Ratingagenturen, Administratoren kritischer Referenzwerte, Verbriefungsregister |
| IT-Dienstleister | IKT-Drittdienstleister (Art. 2 Abs. 1 Buchst. u), z. B. Cloud-, Rechenzentrums- und Software-Anbieter des Finanzsektors |
Der Kreis ist breit. Auch wer bisher wenig mit der Aufsicht zu tun hatte, etwa Versicherungsvermittler oberhalb der KMU-Schwelle oder Krypto-Dienstleister, hat dieselben Resilienz-Pflichten wie eine Großbank. Abgestuft wird nach dem Verhältnismäßigkeitsprinzip (Art. 4).
Was gilt für IKT-Drittdienstleister?
Neu ist, dass DORA die IKT-Drittdienstleister direkt einbezieht, vom Cloud-Hyperscaler bis zum spezialisierten Software-Anbieter. Als kritisch eingestufte Anbieter unterliegen einem eigenen Überwachungsrahmen der Europäischen Aufsichtsbehörden (Art. 31 ff.). Unabhängig davon gelten für jede Auslagerung Mindestvertragsinhalte (Art. 30). Außerdem müssen Finanzunternehmen ein Informationsregister über alle vertraglichen Vereinbarungen mit IKT-Drittdienstleistern führen (Art. 28 Abs. 3).
Wer ist ausgenommen?
- Verwalter alternativer Investmentfonds unterhalb der Schwellen des Art. 3 Abs. 2 AIFM-Richtlinie
- Versicherungs- und Rückversicherungsunternehmen im Sinne von Art. 4 Solvency II (Kleinstversicherer)
- Einrichtungen der betrieblichen Altersversorgung mit weniger als 15 Versorgungsanwärtern
- Versicherungsvermittler, die Kleinstunternehmen oder KMU sind
- nach MiFID II ausgenommene Personen sowie Postgiroämter (Art. 2 Abs. 3)
Mitgliedstaaten können zusätzlich eng definierte Institute aus Art. 2 Abs. 5 der Eigenkapitalrichtlinie ausnehmen (Art. 2 Abs. 4).
Wann greift der vereinfachte Rahmen (Art. 16)?
DORA staffelt nach Verhältnismäßigkeit. Für kleine und nicht verflochtene Wertpapierfirmen, ausgenommene Zahlungs- und E-Geld-Institute sowie kleine Versorgungseinrichtungen gelten die Art. 5–15 nicht. Für sie gilt der vereinfachte IKT-Risikomanagementrahmen des Art. 16. Ein Freifahrtschein ist das nicht. Auch Art. 16 verlangt einen dokumentierten Risikomanagementrahmen. Kritische Funktionen müssen über Geschäftsfortführungspläne mit Sicherungs- und Wiederherstellungsmaßnahmen abgesichert sein, und diese Pläne sind ausdrücklich regelmäßig zu testen (Art. 16 Abs. 1 Buchst. f und g). Eine dokumentierte Tabletop-Übung erfüllt diese Testpflicht in der einfachsten Form.
Wie verhält sich DORA zu NIS2?
Fällt ein Unternehmen sowohl unter NIS2 als auch unter DORA, geht DORA als Lex specialis für die abgedeckten Bereiche vor. Die nationalen NIS2-Gesetze stellen das ausdrücklich klar (§ 28 Abs. 6 BSIG in Deutschland, § 24 Abs. 7 NISG 2026 in Österreich). Die Abgrenzung im Detail erklärt der Beitrag NIS2 vs. DORA.
Häufige Fragen
Für wen gilt DORA?
Art. 2 der Verordnung (EU) 2022/2554 zählt 20 Kategorien von Finanzunternehmen auf, von Kreditinstituten über Versicherer und Wertpapierfirmen bis zu Krypto-Dienstleistern. Zusätzlich bezieht DORA die IKT-Drittdienstleister ein. Damit erfasst die Verordnung den gesamten EU-Finanzsektor samt seiner IT-Lieferkette.
Gibt es Ausnahmen vom DORA-Anwendungsbereich?
Ja. Art. 2 Abs. 3 nimmt u. a. bestimmte kleine Verwalter alternativer Investmentfonds, kleine Versorgungseinrichtungen mit weniger als 15 Anwärtern sowie Versicherungsvermittler aus, die Kleinstunternehmen oder KMU sind. Mitgliedstaaten können weitere eng definierte Institute ausnehmen (Art. 2 Abs. 4).
Was bedeutet der vereinfachte IKT-Risikomanagementrahmen?
Kleine und nicht verflochtene Wertpapierfirmen, ausgenommene Zahlungs- und E-Geld-Institute sowie kleine Versorgungseinrichtungen müssen statt der Art. 5–15 nur den vereinfachten Rahmen des Art. 16 erfüllen. Auch dieser Rahmen verlangt ausdrücklich Geschäftsfortführungspläne samt Wiederherstellungsmaßnahmen. Und er verlangt, dass diese Pläne regelmäßig getestet werden.
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Maßgeblich sind die jeweils geltenden Gesetzes- und Verordnungstexte sowie der aktuelle Stand der nationalen Umsetzung.