DORA

DORA ist ein europäischer Rechtsrahmen zur digitalen operationellen Resilienz des Finanzsektors. Ziel ist es, Finanzunternehmen so aufzustellen, dass sie auch bei Cyberangriffen, Systemausfällen, Datenverlusten oder Störungen wichtiger Technologie-Dienstleister handlungsfähig bleiben.

Die Verordnung setzt nicht erst beim eigentlichen Cyberangriff an. Sie verlangt ein strukturiertes Risikomanagement, regelmäßige Tests, klare Meldeprozesse, belastbare Notfallpläne und eine stärkere Kontrolle ausgelagerter digitaler Dienstleistungen. Damit wird digitale Stabilität zu einem zentralen Bestandteil der Unternehmensführung im Finanzsektor.

Wen betrifft DORA?

DORA richtet sich an eine breite Gruppe regulierter Finanzunternehmen. Dazu zählen unter anderem Banken, Versicherungen, Wertpapierfirmen, Zahlungsinstitute, E-Geld-Institute, Kapitalverwaltungsgesellschaften, Handelsplätze und bestimmte Anbieter von Kryptowert-Dienstleistungen. Die Europäische Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung beschreibt den Anwendungsbereich als harmonisierte Regelung für 20 verschiedene Arten von Finanzunternehmen sowie für Dienstleister im Bereich Informations- und Kommunikationstechnologie.

Auch Technologie-Dienstleister geraten stärker in den Fokus. Wer für Finanzunternehmen kritische digitale Leistungen erbringt, kann mittelbar oder unmittelbar von DORA betroffen sein. Dazu gehören insbesondere Cloud-Anbieter, Datenzentren, Software-Dienstleister, Zahlungsinfrastruktur-Anbieter und externe Betreiber sicherheitsrelevanter Systeme.

Warum ist DORA für Unternehmer und vermögende Privatpersonen relevant?

DORA betrifft auf den ersten Blick vor allem regulierte Finanzunternehmen. In der Praxis kann die Verordnung aber auch Auswirkungen auf Unternehmen, Unternehmerfamilien und vermögende Privatpersonen haben, die mit Banken, Vermögensverwaltern, Family Offices, Versicherungen oder Zahlungsdienstleistern zusammenarbeiten.

Finanzdienstleister werden ihre digitalen Lieferketten genauer prüfen. Verträge mit externen Technologie-Partnern, Datenverarbeitern und Plattform-Anbietern müssen transparenter und belastbarer werden. Für Unternehmen, die selbst Dienstleistungen für den Finanzsektor erbringen, kann DORA damit zu einem wichtigen Wettbewerbsfaktor werden.

Wer nachweisen kann, dass digitale Systeme, Datenprozesse, Notfallkonzepte und Sicherheitsmaßnahmen professionell organisiert sind, stärkt das Vertrauen regulierter Finanzpartner.

Die wichtigsten Pflichten unter DORA

DORA baut auf mehreren zentralen Pflichtbereichen auf:

Risikomanagement für digitale Systeme

Unternehmen müssen Risiken aus Informations- und Kommunikationstechnologie identifizieren, bewerten, steuern und dokumentieren.

Meldung schwerwiegender Vorfälle

Relevante digitale Störungen und Cybervorfälle müssen nach definierten Verfahren an die zuständigen Behörden gemeldet werden.

Tests der digitalen Widerstandsfähigkeit

Finanzunternehmen müssen ihre Systeme regelmäßig prüfen. Dazu können Schwachstellenanalysen, Sicherheitsprüfungen und weitergehende Belastungstests gehören.

Kontrolle externer Dienstleister

Auslagerungen an Technologie-Dienstleister müssen vertraglich, organisatorisch und technisch überwacht werden.

Informationsaustausch über Cyberbedrohungen

DORA ermöglicht unter bestimmten Voraussetzungen den Austausch von Informationen über Cyberrisiken und Angriffsmuster.

Die europäische Bankenaufsicht beschreibt DORA auch als Rahmen für die direkte Aufsicht über kritische Technologie-Dienstleister, die für Finanzunternehmen in Europa besonders bedeutend sind. Im November 2025 wurden 19 kritische Anbieter von Informations- und Kommunikationstechnologie-Dienstleistungen unter dem DORA-Aufsichtsrahmen benannt.

DORA in Spanien

DORA gilt als Verordnung unmittelbar in allen Mitgliedstaaten der Europäischen Union. In Spanien ist sie daher ebenfalls seit dem 17. Januar 2025 anwendbar. Die spanische Börsenaufsicht weist darauf hin, dass DORA die Cybersicherheit von Finanzinstituten und deren Technologie-Dienstleistungen auf europäischer Ebene stärken und harmonisieren soll.

Für internationale Unternehmer mit Spanien-Bezug ist besonders wichtig: Digitale Resilienz wird nicht nur als technische Frage verstanden, sondern als Teil guter Unternehmensführung. Wer Vermögen, Beteiligungen oder operative Strukturen über Finanzdienstleister verwaltet, sollte die digitale Stabilität seiner Partner künftig stärker in die Risikobetrachtung einbeziehen.

Praktische Einordnung

DORA verändert die Anforderungen an den Finanzsektor dauerhaft. Es geht nicht nur um die Vermeidung einzelner Cyberangriffe. Entscheidend ist, ob ein Unternehmen auch bei digitalen Störungen weiter funktionieren, Kunden schützen und kritische Prozesse wiederherstellen kann.

Für Dienstleister des Finanzsektors bedeutet dies: Informationssicherheit, Vertragsmanagement, Notfallplanung und Dokumentation werden stärker prüfungsrelevant. Für Kunden von Finanzdienstleistern bedeutet DORA mehr Transparenz und höhere Erwartungen an die digitale Stabilität ihrer Partner.

Häufige Fragen zu DORA

Was bedeutet DORA?

DORA bedeutet Digital Operational Resilience Act. Gemeint ist der europäische Rechtsrahmen für digitale operationelle Resilienz im Finanzsektor.

Seit wann gilt DORA?

DORA gilt seit dem 17. Januar 2025 unmittelbar in den Mitgliedstaaten der Europäischen Union.

Ist DORA nur ein Cybersicherheitsgesetz?

Nein. DORA geht über klassische Cybersicherheit hinaus. Die Verordnung verbindet Informationssicherheit, Risikomanagement, Notfallplanung, Dienstleistersteuerung, Vorfallmeldungen und digitale Unternehmensführung.

Betrifft DORA auch nicht regulierte Unternehmen?

Direkt betrifft DORA vor allem regulierte Finanzunternehmen. Indirekt können aber auch Technologie-Dienstleister, Beratungsunternehmen, Software-Anbieter und andere externe Partner betroffen sein, wenn sie Leistungen für regulierte Finanzunternehmen erbringen.

Warum ist DORA für Mallorca und Spanien relevant?

Viele Unternehmer, vermögende Privatpersonen und internationale Familien nutzen Finanzdienstleister in Spanien oder mit Spanien-Bezug. DORA erhöht die Anforderungen an digitale Stabilität, Datenschutz, Dienstleisterkontrolle und Krisenfähigkeit dieser Finanzpartner.

(Stand: Mai 2026/ng)