Lösungen · Finanzdienstleister
Seit Januar 2025 gilt DORA für Finanzunternehmen in der ganzen EU. Die erste Welle ist geschafft, jetzt fragt die BaFin nach gelebten Prozessen und vollständigen Registern. Sightadel führt durch die Anforderungen, macht das Informationsregister zum Nebenprodukt der täglichen Dienstleisterpflege und hält fest, was das Leitungsorgan beschlossen hat.
Ausgangslage
Die meisten Institute haben DORA als Projekt begonnen: Lückenanalyse, Richtlinien überarbeiten, Register zum ersten Stichtag befüllen. Vieles davon steht heute in Tabellen, Laufwerksordnern und E-Mails. Das hat für die erste Einreichung gereicht. Für den laufenden Betrieb reicht es selten, weil jede Vertragsänderung, jeder neue Dienstleister und jeder Test irgendwo nachgetragen werden muss.
DORA verlangt mehr als ein Register. Die Verordnung ruht auf fünf Säulen: IKT-Risikomanagement mit Verantwortung des Leitungsorgans, Behandlung und Meldung IKT-bezogener Vorfälle, Testen der digitalen operationalen Resilienz, Steuerung des IKT-Drittparteienrisikos und freiwilliger Austausch von Bedrohungsinformationen. Technische Standards der europäischen Aufsichtsbehörden regeln die Einzelheiten. In Deutschland führt die BaFin die Aufsicht.
Kleinere Häuser stehen vor derselben Pflicht mit weniger Personal. Die Informationssicherheit liegt oft bei einer Person, die nebenbei auch Auslagerungen, Datenschutz und Notfallmanagement betreut. Für sie zählt vor allem, dass Nachweise an einer Stelle liegen, Fristen nicht vergessen werden und die nächste Prüfung keine Sammelaktion auslöst.
Warum jetzt
Die BaFin fordert das Informationsregister einmal jährlich zu einem Stichtag an. Fehlende Kennungen oder widersprüchliche Angaben führen zu Zurückweisungen. Wer das Register erst kurz vorher aktualisiert, sucht jedes Jahr von vorn.
Abschlussprüfer und Aufsicht fragen nach dem IKT-Risikomanagementrahmen, seiner jährlichen Überprüfung, nach Testergebnissen und nach der Abarbeitung von Befunden. Gefragt sind Belege mit Datum, keine Absichtserklärungen.
Vor Vertragsschluss sind Risikobewertung und Prüfung der Vertragsinhalte fällig. Unterstützt der Dienstleister eine kritische oder wichtige Funktion, kommen Ausstiegsstrategie und erweiterte Klauseln hinzu.
Ein schwerwiegender Vorfall löst Meldefristen von wenigen Stunden aus. Wer Klassifizierungskriterien, Zuständige und Meldewege erst im Ernstfall klärt, verliert genau diese Stunden.
Penetrationstests, Schwachstellenscans und interne Revision liefern Befunde. Die Aufsicht will sehen, dass sie bewertet, priorisiert und fristgerecht abgearbeitet werden.
Mit einer erweiterten Erlaubnis, einer Fusion oder dem Wegfall von Ausnahmen kann der vereinfachte Rahmen entfallen. Dann gelten die vollen Anforderungen, und der Nachweisstand muss mitwachsen.
Relevante Frameworks
In eigenen Worten zusammengefasst, keine Rechtsberatung. Maßgeblich ist der Originaltext in der geltenden Fassung.
Gilt seit dem 17. Januar 2025 unmittelbar für Finanzunternehmen in der EU, etwa Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Versicherer, Kapitalverwaltungsgesellschaften und Anbieter von Krypto-Dienstleistungen. Ein Zertifikat gibt es nicht. Erwartet wird ein Nachweisstand, den BaFin und Prüfer nachvollziehen können.
Zum Framework →Nicht vorgeschrieben, aber die bewährte Grundlage. Risikomanagement, Zugriffs- und Änderungssteuerung, Backup und Vorfallbehandlung baut ein ISMS ohnehin auf. DORA ergänzt vor allem Informationsregister, Vorfallklassifizierung, Vertragsinhalte und das Testprogramm.
Zum Framework →Kundendaten, Kontodaten und Bonitätsinformationen sind sensibel. Verträge zur Auftragsverarbeitung und das Register nach DORA greifen auf dieselben Dienstleisterdaten zurück. Ein Vorfall kann gleichzeitig eine Meldung an die Datenschutzaufsicht und an die BaFin auslösen.
Zum Framework →Für Finanzunternehmen im Anwendungsbereich von DORA ist DORA die speziellere Regelung. Die Cybersicherheitspflichten erfüllen Sie dort. NIS2 wird relevant, wenn Gesellschaften der Gruppe, etwa ein eigener IT-Dienstleister, außerhalb von DORA tätig sind und die Schwellen erreichen.
Zum Framework →Kein Thema für das Institut selbst, aber ein wertvoller Nachweis bei der Bewertung von Cloud-Dienstleistern. Ein aktuelles C5-Testat ersetzt nicht die eigene Risikobewertung, macht sie aber deutlich belastbarer.
Zum Framework →Empfohlene Reihenfolge
Klären Sie, als welche Art Finanzunternehmen Sie unter DORA fallen und ob der vereinfachte IKT-Risikomanagementrahmen nach Art. 16 in Frage kommt. Davon hängt ab, wie umfangreich Rahmen, Tests und Dokumentation sein müssen.
Welche Funktionen würden bei einem Ausfall den Geschäftsbetrieb, die Erfüllung von Pflichten oder die Erlaubnis gefährden? Diese Festlegung trägt durch Register, Verträge, Tests und Ausstiegsstrategien. Das Leitungsorgan beschließt sie.
Jeder IKT-Dienstleister wird mit Vertrag, unterstützten Funktionen, Standorten der Datenverarbeitung, Unterauftragnehmern und Nachweisen erfasst. Daraus entsteht das Informationsregister. Fehlende Vertragsinhalte werden zu Maßnahmen für die nächste Vertragsrunde.
Klassifizierungskriterien, Zuständige, Vertretungen und Meldewege werden vorab dokumentiert und einmal durchgespielt. Ein Vorfallregister hält auch die Vorfälle fest, die nicht meldepflichtig sind.
Die Anforderungen werden geführt durchgegangen, vorhandene Nachweise aus dem ISMS zugeordnet. Das Testprogramm läuft als Zyklus. Befunde werden zu Problemen mit Frist und Verantwortlichem.
Der Rahmen wird mindestens einmal jährlich und nach schwerwiegenden Vorfällen überprüft. Das Leitungsorgan wird informiert, genehmigt Änderungen und bildet sich fort. Sightadel erinnert an jeden fälligen Termin.
Schwerpunkt
Kaum ein Institut betreibt seine IT allein. Kernbanksystem, Rechenzentrum, Cloud, Zahlungsverkehr und Fachanwendungen kommen von Dritten. DORA macht diese Abhängigkeiten zum Kern der Aufsicht.
Kein einfaches Vertragsverzeichnis, sondern eine strukturierte Sammlung: Dienstleister, Vertrag, Funktion, Kritikalität, Standorte, Ersetzbarkeit und die Unterauftragnehmer dahinter. In Sightadel entsteht es aus der laufenden Pflege im Modul Anbieter, nicht aus einer Sammelaktion vor dem Stichtag.
Verträge über IKT-Dienstleistungen brauchen Mindestinhalte, etwa Leistungsbeschreibung, Orte der Datenverarbeitung, Zugangs- und Prüfrechte, Unterstützung bei Vorfällen und Kündigungsrechte. Für kritische oder wichtige Funktionen gelten erweiterte Anforderungen. Jede fehlende Klausel wird zur Aufgabe mit Verantwortlichem.
Vor Vertragsschluss wird das Risiko bewertet, danach regelmäßig überprüft. Zertifikate, Testate und Prüfberichte der Dienstleister liegen mit Gültigkeitsdatum beim jeweiligen Anbieter. Läuft ein Nachweis ab, sehen Sie es im Dashboard.
Für Dienstleister, die kritische oder wichtige Funktionen unterstützen, braucht es einen dokumentierten Plan, wie die Leistung ohne Störung ersetzt oder zurückgeholt werden kann. Er wird wie jeder andere Nachweis versioniert und regelmäßig überprüft.
So hilft Sightadel
Das Modul Anbieter ist die Grundlage des Informationsregisters. Dienstleister, Verträge, unterstützte Funktionen, Kritikalität, Unterauftragnehmer und Nachweise werden dort gepflegt, sobald ein Vertrag entsteht oder sich ändert.
Mehr erfahren →Die Anforderungen der Verordnung sind mit Artikelbezug und erwartetem Nachweis hinterlegt. Vorhandene Belege aus dem ISMS hängen gleichzeitig an DORA und ISO 27001.
Mehr erfahren →Fehlende Vertragsklauseln, Befunde aus Tests und Revision und offene Punkte aus der Lückenanalyse werden zu Aufgaben mit Frist und Verantwortlichem. Der Fortschritt ist jederzeit sichtbar.
Mehr erfahren →Richtlinien, Beschlüsse des Leitungsorgans, Testprotokolle und Schulungsnachweise liegen versioniert an einer Stelle. Jeder Nachweis trägt ein Ablaufdatum, Sightadel erinnert vor Fristende.
Mehr erfahren →Vorlagen für den IKT-Risikomanagementrahmen, die Leitlinie zum Drittparteienrisiko, Notfallpläne und Ausstiegsstrategien liefern einen Entwurf. Risikoappetit, kritische Funktionen und Klassifizierung entscheiden Sie.
Mehr erfahren →Aufwand und Dauer
Die Spannen sind Erfahrungswerte, keine Zusage. Das Tempo bestimmen meist die Vollständigkeit der Vertragsbestände und die Bereitschaft der Dienstleister, Klauseln nachzuverhandeln. Wer für bedrohungsorientierte Penetrationstests bestimmt ist, plant diese als eigenes Projekt.
Was Sie lizenzieren · typisch Professional
Ein typisches Institut führt DORA zusammen mit ISO 27001 als Grundlage in der Edition Professional. Sie umfasst zehn Nutzer und 25 Lieferanten. Mit vielen IKT-Dienstleistern oder mehreren Gesellschaften ist Enterprise mit unbegrenzter Zahl an Lieferanten die passende Wahl. Ist ISO 27001 dabei, gibt es auf DORA einen dauerhaften Nachlass.
Lizenz je Framework, Mindestlaufzeit ein Jahr, monatlich oder jährlich zahlbar. Alle Preise, Rabatte und einen Rechner finden Sie auf der Preisseite. Kosten einer Zertifizierungs- oder Prüfstelle kommen getrennt hinzu.
Fragen und Antworten
Mehr im FAQ oder direkt über unser Kontaktformular.
Art. 16 DORA sieht für bestimmte kleinere Finanzunternehmen einen vereinfachten Rahmen vor, etwa für kleine und nicht verflochtene Wertpapierfirmen, nach EU-Recht ausgenommene Zahlungs- und E-Geld-Institute und kleine Einrichtungen der betrieblichen Altersversorgung. Die Anforderungen sind dort schlanker, entfallen aber nicht. Ob Sie dazugehören, ergibt sich aus Ihrer Erlaubnis. Im Zweifel klären Sie das mit Ihrer aufsichtsrechtlichen Beratung.
Nein, aber es hilft deutlich. Viele Grundlagen sind vorhanden. Es fehlen typischerweise das Informationsregister, die Klassifizierung von Vorfällen nach den Kriterien der technischen Standards, die Mindestinhalte für Verträge mit IKT-Dienstleistern und ein Testprogramm im Sinne von DORA. In Sightadel sehen Sie, welche Nachweise bereits an beiden Frameworks hängen.
Sightadel ist nicht an die Meldeplattform der BaFin angebunden. Die Angaben für das Register pflegen Sie im Modul Anbieter und exportieren sie. Die Einreichung im vorgegebenen Format und Zeitfenster erfolgt über die Plattform der BaFin.
Dokumentieren Sie den Stand, die Gespräche und Ihre Risikobewertung. Für Funktionen, die nicht kritisch oder wichtig sind, ist das Risiko oft tragbar. Bei kritischen oder wichtigen Funktionen gehört die Frage vor das Leitungsorgan, einschließlich der Ausstiegsstrategie. Sightadel hält Entscheidung, Begründung und Wiedervorlage fest.
Meist die Informationssicherheit als Admin, Auslagerungsmanagement, Einkauf und IT-Betrieb als Contributor und das Leitungsorgan als Viewer. Die interne Revision liest als Viewer mit. Externe Prüfer erhalten einen Zugang als Auditor: lesen, kommentieren, nach Freigabe bearbeiten, nie löschen. Ihre externe Beratung laden Sie als Consultant ein.
Richtig, und deshalb gehört Sightadel in Ihr Register. Sightadel wird in Deutschland betrieben. Mit jedem Kunden schließen wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
Sightadel sorgt dafür, dass Rahmen, Beschlüsse, Tests, Register und Befunde mit Datum und Verantwortlichem belegt sind und Prüfer einen eigenen Zugang erhalten. Aufsichtsrechtliche Beratung ersetzt Sightadel nicht. Für schwierige Fragen buchen Sie bei Bedarf ein Beratungspaket in der App dazu.
14 Tage, voller Zugriff, keine Zahlungsdaten. Was Sie anlegen, bleibt im bezahlten Plan erhalten.
