DORA-Compliance-Statistiken 2026: Geltungsbereich, Sanktionen und Durchsetzung

Der Digital Operational Resilience Act (DORA) ist seit dem 17. Januar 2025 vollständig anwendbar und stellt damit einen der bedeutendsten regulatorischen Meilensteine für den europäischen Finanzsektor dar. DORA verpflichtet mehr als 22.000 Finanzunternehmen und ihre IKT-Dienstleister, strenge Standards für IKT-Risikomanagement, Vorfallsmeldungen, Resilienz-Tests und Drittparteien-Risikomanagement einzuhalten.

Diese Seite fasst zusammen, was DORA verlangt: Geltungsbereich, Sanktionsrahmen, Aufsicht über IKT-Drittanbieter, Meldefristen für Vorfälle, Testpflichten und Zeitplan.

Geltungsbereich und Reichweite von DORA

DORA gilt für 21 Arten von Finanzunternehmen und ihre IKT-Drittdienstleister. Anders als viele Finanzvorschriften, die sich ausschließlich auf Banken konzentrieren, umfasst DORA die gesamte Breite des EU-Finanzsektors.

• Mehr als 22.000 Finanzunternehmen und IKT-Dienstleister fallen EU-weit in den Geltungsbereich von DORA.
• Artikel 2 DORA nennt die 21 erfassten Arten von Finanzunternehmen.

Erfasste Finanzunternehmen

DORA gilt für Kreditinstitute (Banken), Zahlungsinstitute, E-Geld-Institute, Wertpapierfirmen, Krypto-Asset-Dienstleister (CASPs), Zentralverwahrer (CSDs), zentrale Gegenparteien (CCPs), Handelsplätze, Transaktionsregister, Verwalter alternativer Investmentfonds (AIFMs), OGAW-Verwaltungsgesellschaften, Versicherungs- und Rückversicherungsunternehmen, Versicherungs- und Rückversicherungsvermittler, Einrichtungen der betrieblichen Altersversorgung, Ratingagenturen, Abschlussprüfer und Prüfungsgesellschaften, Administratoren kritischer Referenzwerte, Schwarmfinanzierungsdienstleister, Verbriefungsregister und Datenbereitstellungsdienste.

DORA-Compliance-Kosten

Die Kosten der DORA-Compliance hängen von Größe und Komplexität des Unternehmens ab. Große Finanzgruppen fahren mehrjährige Programme mit eigenem Personal. Kleinere Unternehmen erfüllen dieselben Pflichten mit bestehenden Teams, sofern das Informationsregister und die Testnachweise vollständig sind. Bedrohungsgeleitete Penetrationstests sind der schwerste laufende Posten für die davon erfassten Unternehmen.

DORA-Sanktionen und Durchsetzung

DORAs Sanktionsrahmen wird auf EU-Ebene definiert, überlässt den Mitgliedstaaten jedoch erheblichen Ermessensspielraum, was zu unterschiedlichen nationalen Umsetzungen führt.

EU-weiter Sanktionsrahmen (DORA Artikel 50)

Nationale Unterschiede bei der Sanktionsumsetzung

Die Mitgliedstaaten haben DORAs Sanktionsbestimmungen mit erheblichen Abweichungen umgesetzt:

Weitere Durchsetzungsbefugnisse

Über finanzielle Sanktionen hinaus haben die Aufsichtsbehörden die Befugnis, öffentliche Bekanntmachungen von Verstößen herauszugeben, verbindliche Abhilfeanordnungen zu erlassen, Geschäftstätigkeiten auszusetzen oder einzuschränken sowie Zulassungen oder Lizenzen zu entziehen.

Strafrechtliche Haftung

DORA Artikel 52 erlaubt es den Mitgliedstaaten, strafrechtliche Sanktionen zu verhängen. Vorstandsmitglieder können persönlich zivilrechtlich und bei grober Fahrlässigkeit bei der Sicherstellung der digitalen operationellen Resilienz auch strafrechtlich haftbar gemacht werden.

Kritische IKT-Drittdienstleister (CTPPs)

Am 18. November 2025 veröffentlichten die Europäischen Aufsichtsbehörden die erste Liste kritischer IKT-Drittdienstleister unter DORA. Diese 19 Anbieter unterliegen nun der direkten Aufsicht durch das Joint Oversight Forum.

Die 19 designierten kritischen IKT-Drittdienstleister

Informationsregister

Alle unter DORA fallenden Finanzunternehmen müssen ein Register aller vertraglichen Vereinbarungen mit IKT-Drittdienstleistern führen. Stichtag: 31. März 2025. Die nationalen Behörden leiteten die Register bis zum 30. April 2025 an die ESAs weiter, um die Designierungsanalyse durchzuführen.

DORA IKT-Vorfallsmeldung

DORA führt einen der strengsten Melderahmen für Vorfälle in der Finanzregulierung ein, wobei Meldefristen in Stunden statt in Tagen gemessen werden.

Meldefristen (Delegierte Verordnung der Kommission 2025/302)

Klassifizierungskriterien

Ein IKT-Vorfall wird als schwerwiegend eingestuft, wenn kritische Dienste beeinträchtigt werden UND entweder: (a) ein erfolgreicher böswilliger unbefugter Zugriff erfolgt, der zu Datenverlusten führen kann, ODER (b) zwei oder mehr Wesentlichkeitsschwellenwerte erreicht werden (betroffene Kunden, Finanzgegenparteien oder Transaktionen).

Bedrohungsgeleitete Penetrationstests (TLPT)

DORA schreibt für bedeutende Finanzunternehmen fortgeschrittene Sicherheitstests vor und baut auf dem TIBER-EU-Rahmenwerk mit rechtsverbindlichen Anforderungen auf.

• TLPT ist alle 3 Jahre für Unternehmen verpflichtend, die ihre Aufsichtsbehörde als "bedeutend" einstuft (DORA Artikel 26).
• Die erste TLPT-Frist läuft am 17. Januar 2028 ab, drei Jahre nach dem DORA-Anwendungsdatum.
• Purple Teaming ist unter DORA verpflichtend. Unter TIBER-EU war es nur empfohlen.
• Der Threat-Intelligence-Anbieter muss stets extern sein.
• Jeder dritte Test muss von einem externen Red Team durchgeführt werden.
• Der TLPT-RTS wurde am 18. Juni 2025 veröffentlicht und gilt seit dem 8. Juli 2025.

DORA-Informationsaustausch (Artikel 45)

DORA fördert (verpflichtet aber nicht zu) den Austausch von Cyberbedrohungsinformationen zwischen Finanzunternehmen. Während der Informationsaustausch selbst freiwillig ist, müssen die Unternehmen die Aufsichtsbehörden darüber informieren, wie sie an Vereinbarungen zum Informationsaustausch teilnehmen.

Ausgetauschte Informationen umfassen Indikatoren für Kompromittierung, Taktiken/Techniken/Verfahren, Cybersicherheitswarnungen und Konfigurationstools. Die Vereinbarungen müssen sensible Informationen schützen und die Vertraulichkeit von Geschäftsgeheimnissen, den Schutz personenbezogener Daten und das Wettbewerbsrecht wahren.

Technische Standards zu DORA

Die Europäischen Aufsichtsbehörden (EBA, ESMA, EIOPA) haben insgesamt 11 regulatorische Produkte zur Operationalisierung von DORA erarbeitet:

Erstes Paket (Januar 2024, im Amtsblatt veröffentlicht Juni 2024): 3 RTS + 1 ITS

• RTS zu IKT-Risikomanagement-Rahmenwerken
• RTS zu Kriterien für die Klassifizierung IKT-bezogener Vorfälle
• RTS zu Richtlinien bezüglich IKT-Diensten von Drittanbietern, die kritische Funktionen unterstützen
• ITS zur Erstellung von Vorlagen für das Auslagerungsregister

Zweites Paket (Juli 2024): 4 RTS + 1 ITS + 2 Leitlinien

DORA-Zeitplan

Die fünf Säulen von DORA

DORA ist um fünf Säulen strukturiert, die jeweils spezifische Anforderungen enthalten:

Säule I: IKT-Risikomanagement

Unternehmen müssen umfassende IKT-Risikomanagement-Rahmenwerke einrichten, die Identifikation, Schutz, Erkennung, Reaktion und Wiederherstellung abdecken.

Säule II: IKT-bezogenes Vorfallmanagement und Meldewesen

Schwerwiegende IKT-Vorfälle müssen innerhalb von 24 Stunden klassifiziert und innerhalb von 4 Stunden nach der Klassifizierung den Aufsichtsbehörden gemeldet werden.

Säule III: Tests der digitalen operationellen Resilienz

Regelmäßige Tests der IKT-Systeme sind vorgeschrieben, wobei TLPT alle 3 Jahre für bedeutende Unternehmen verpflichtend ist.

Säule IV: IKT-Drittparteien-Risikomanagement

Unternehmen müssen ein Register aller IKT-Drittanbieter-Vereinbarungen führen und Konzentrationsrisiken bewerten. Das Register bereitet den meisten Unternehmen die größte Mühe.

Säule V: Informationsaustausch

Freiwilliger Austausch von Cyberbedrohungsinformationen zwischen Finanzunternehmen, mit verpflichtender Mitteilung an die Aufsichtsbehörden über die Teilnahme an Austauschvereinbarungen.

Häufig gestellte Fragen

F: Wie viele Finanzunternehmen sind von DORA betroffen?

A: Mehr als 22.000 Finanzunternehmen und IKT-Dienstleister fallen EU-weit in den Geltungsbereich von DORA. Dazu gehören 21 Arten von Finanzunternehmen - von Banken und Versicherern bis hin zu Krypto-Asset-Dienstleistern und Schwarmfinanzierungsplattformen - sowie deren IKT-Drittdienstleister.

F: Wie hoch sind die maximalen DORA-Bußgelder?

A: Finanzunternehmen drohen Bußgelder von bis zu 2 % des gesamten jährlichen weltweiten Umsatzes. Natürliche Personen bei Finanzunternehmen können mit bis zu EUR 1.000.000 bestraft werden. Kritische IKT-Drittdienstleister riskieren Bußgelder von bis zu EUR 5.000.000, mit täglichen Zwangsgeldern von bis zu 1 % des durchschnittlichen täglichen Umsatzes bei fortgesetzter Nichteinhaltung. Einige Mitgliedstaaten haben höhere Obergrenzen eingeführt - in Schweden sind bis zu 10 % des Umsatzes möglich.

F: Wie viel kostet die DORA-Compliance?

A: Die Kosten hängen von Größe und Komplexität ab. Große Gruppen fahren mehrjährige Programme mit eigenem Personal und externen Testern. Kleinere Unternehmen kommen mit bestehenden Teams aus. Wiederkehrende Posten sind bedrohungsgeleitete Penetrationstests, die Pflege des Informationsregisters und der Meldeprozess für Vorfälle.

F: Welche Fristen gelten für die DORA-Vorfallsmeldung?

A: DORA verlangt die Klassifizierung innerhalb von 24 Stunden nach Erkennung, eine Erstmeldung innerhalb von 4 Stunden nach der Klassifizierung, einen Zwischenbericht innerhalb von 72 Stunden und einen Abschlussbericht innerhalb von 1 Monat.

F: Welche IKT-Anbieter wurden unter DORA als kritisch eingestuft?

A: Am 18. November 2025 veröffentlichten die ESAs die erste Liste mit 19 kritischen IKT-Drittdienstleistern. Die Liste umfasst AWS, Google Cloud, Microsoft, IBM, SAP, Oracle, Accenture, Bloomberg und weitere. Diese Anbieter unterliegen der direkten Aufsicht durch das Joint Oversight Forum.

Diese Seite gibt DORA, die dazu erlassenen delegierten Verordnungen und die veröffentlichten Entscheidungen der Europäischen Aufsichtsbehörden wieder. Sie wird aktualisiert, sobald neue Durchsetzungsdaten vorliegen.

Zuletzt aktualisiert: März 2026

Weiterführende Artikel

• DORA Compliance Checklist: Everything Financial Services Need in 2026
• Operational Resilience: UK vs EU Requirements (PRA SS1/21 vs DORA)
• Die vollständige Kostenaufschlüsselung für DORA-Konformität

Bereit für den nächsten Schritt? Matproof führt kontinuierliche KI-Penetrationstests und Compliance-Überwachung durch. Demo buchen.