DORA Fristen: Termine und Meldungen zum Digital Operational Resilience Act
DORA regelt die digitale operationale Resilienz von Banken, Versicherungen, Wertpapierfirmen, Zahlungsdiensten und weiteren Finanzunternehmen und gilt seit dem 17. Januar 2025. Jeder Eintrag nennt seine Quelle und sagt, ob es verbindliches Recht oder eine Leitlinie ist.
Bevorstehend
Deutschland: jaehrliches Informationsregister bei der BaFin faellig
Die BaFin verlangt, dass beaufsichtigte Unternehmen ihr Informationsregister jedes Jahr bis zum 31. Maerz vollstaendig ueber die MVP einreichen, mit dem Stand zum 31. Dezember des Vorjahres. Erst wenn BaFin und ESAs das Register validiert haben, ist die Pflicht erfuellt. Fuer den Zyklus 2027 sind keine Aenderungen der Taxonomie vorgesehen.
Pruefbericht der Kommission zu DORA faellig
Bis zu diesem Tag legt die Kommission nach Anhoerung der ESAs und des ESRB einen Bericht zu DORA vor, gegebenenfalls mit einem Gesetzesvorschlag (Art. 58 Abs. 1). Die Pruefung umfasst mindestens die Kriterien fuer kritische Anbieter, die freiwillige Meldung erheblicher Cyberbedrohungen, die Pflicht kritischer Anbieter aus Drittstaaten zu einer EU-Tochter und das Netzwerk der Ueberwachung.
2026
Stellungnahme der ESAs zu IKT-Risiken durch fuehrende KI-Modelle
Die Stellungnahme JC 2026 25 haelt fest, dass fuehrende KI-Modelle das Finden und Ausnutzen von Schwachstellen beschleunigen und die Aufsicht besonders darauf achtet, wie Finanzunternehmen ihre operationale Resilienz sichern, einschliesslich der zuegigen Behebung offener IKT-Feststellungen. Eine aufsichtliche Stellungnahme, kein neues Recht.
ESRB warnt vor systemischem Cyberrisiko durch fuehrende KI-Modelle
Warnung ESRB/2026/3 des Europaeischen Ausschusses fuer Systemrisiken zu systemischen Cyberrisiken durch fuehrende KI-Modelle, veroeffentlicht im Amtsblatt. Eine Warnung, kein verbindliches Recht; die ESAs folgten am 31. Juli 2026 mit einer aufsichtlichen Stellungnahme.
Erster Jahresbericht zu schwerwiegenden IKT-Vorfaellen: 3.383 im Jahr 2025
Der Bericht der ESAs nach Art. 22 Abs. 2 zaehlt 3.383 schwerwiegende IKT-Vorfaelle, die 2025 im EU-Finanzsektor gemeldet wurden, im Schnitt 0,18 je Finanzunternehmen unter DORA, die meisten bei Kreditinstituten und Zahlungsdiensten. Anonymisiert und zusammengefasst; ein Bericht, keine Leitlinie.
2025
ESAs berichten, ob Abschlusspruefer unter DORA fallen sollten
Der gemeinsame Bericht JC 2025 85 zur Pruefung der Kommission nach Art. 58 Abs. 3 waegt ab, Abschlusspruefer und Pruefungsgesellschaften in DORA aufzunehmen. Er haelt fest, dass Pruefungen nicht zur operativen Wertschoepfung des gepruften Unternehmens gehoeren und eine Aufnahme Pruefungshonorare und Marktkonzentration erhoehen koennte. Ein Bericht, kein Gesetz; veroeffentlicht am 17. Dezember 2025.
ESAs stufen die ersten kritischen IKT-Drittdienstleister ein
EBA, EIOPA und ESMA veroeffentlichen die Liste der als kritisch eingestuften IKT-Drittdienstleister (CTPPs), gestuetzt auf die Informationsregister und eine Bewertung mit den nationalen Behoerden. Die eingestuften Anbieter unterliegen der direkten Ueberwachung auf EU-Ebene; die Finanzunternehmen bleiben fuer ihr eigenes Risiko aus IKT-Drittdienstleistern verantwortlich.
Regeln zur Unterbeauftragung von IKT-Dienstleistungen fuer kritische Funktionen treten in Kraft
Die Delegierte Verordnung (EU) 2025/532 vom 24. Maerz 2025 verlangt, dass ein Finanzunternehmen vor Vertragsschluss entscheidet, ob ein Anbieter IKT-Dienstleistungen fuer kritische oder wichtige Funktionen weitervergeben darf, die Bedingungen im Vertrag festlegt und ueber wesentliche Aenderungen informiert wird (Art. 30 Abs. 5). Sie ist verbindlich.
Regeln fuer bedrohungsorientierte Penetrationstests (TLPT) treten in Kraft
Die Delegierte Verordnung (EU) 2025/1190 vom 13. Februar 2025 regelt, welche Finanzunternehmen TLPT durchfuehren muessen und wie: Kriterien der Auswahl, eine aktive Red Team Phase von mindestens 12 Wochen, Abschluss, Plan zur Behebung und Bescheinigung (Art. 26 Abs. 11). TLPT gilt nur fuer Unternehmen, die die Behoerde bestimmt, nie fuer Kleinstunternehmen.
Erste Informationsregister bei den ESAs faellig
Frist aus dem Beschluss der ESAs, bis zu der die nationalen Aufsichtsbehoerden die bei den Finanzunternehmen eingesammelten Informationsregister melden. Die Daten dienten der ersten Einstufung kritischer IKT-Drittdienstleister.
Regeln fuer die gemeinsamen Pruefteams bei kritischen Anbietern treten in Kraft
Die Delegierte Verordnung (EU) 2025/420 vom 16. Dezember 2024 regelt Zusammensetzung und Aufgaben des gemeinsamen Pruefteams, das die federfuehrende Ueberwachungsbehoerde bei jedem kritischen IKT-Drittdienstleister unterstuetzt (Art. 40, 41 Abs. 1 Buchst. c). Sie ist verbindlich.
Inhalt, Fristen und Formulare fuer Meldungen schwerwiegender Vorfaelle treten in Kraft
Die Delegierte Verordnung (EU) 2025/301 regelt Inhalt und Fristen der Meldungen: Erstmeldung innerhalb von 4 Stunden nach Einstufung als schwerwiegend und spaetestens 24 Stunden nach Kenntnis, Zwischenbericht innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats (Art. 5 Abs. 1). Die Durchfuehrungsverordnung (EU) 2025/302 legt die Formulare fest. Beide wurden am 23. Oktober 2024 erlassen und sind verbindlich.
Regeln fuer die Ueberwachung kritischer Anbieter treten in Kraft
Die Delegierte Verordnung (EU) 2025/295 vom 24. Oktober 2024 vereinheitlicht, wie die Ueberwachung kritischer IKT-Drittdienstleister ablaeuft, einschliesslich der Angaben, mit denen ein Anbieter selbst seine Einstufung beantragt (Art. 41 Abs. 1 Buchst. a, b, d). Sie ist verbindlich.
DORA gilt
Ab diesem Tag gilt die Verordnung vollstaendig (Art. 64): IKT-Risikomanagement, Meldung von Vorfaellen, Tests der Resilienz, Risiken durch IKT-Drittdienstleister und die Ueberwachung kritischer Anbieter. Eine weitere Uebergangsfrist fuer Finanzunternehmen gibt es nicht.
Umsetzungsfrist fuer die Begleitrichtlinie zu DORA
Bis zu diesem Tag mussten die Mitgliedstaaten die nationalen Vorschriften zur Richtlinie (EU) 2022/2556 erlassen, veroeffentlichen und anwenden (Art. 9). Die Richtlinie verbindet die Richtlinien fuer Banken, Versicherungen, Wertpapierdienste und Zahlungsdienste mit den Anforderungen von DORA.
2024
Deutschland verkuendet das Finanzmarktdigitalisierungsgesetz (FinmadiG)
Das BGBl. 2024 I Nr. 438 passt das deutsche Aufsichtsrecht an DORA und an die Regeln fuer Kryptowerte (MiCA) an und aendert unter anderem KWG, WpHG und KAGB. Der Grossteil gilt ab dem 30. Dezember 2024. DORA selbst gilt unmittelbar und braucht kein nationales Gesetz; das Gesetz regelt die Aufsicht und die nationalen Vorschriften drumherum.
Vorlagen fuer das Informationsregister treten in Kraft
Die Durchfuehrungsverordnung (EU) 2024/2956 vom 29. November 2024 legt die Standardvorlagen fuer das Informationsregister fest, das jedes Finanzunternehmen, auch Kleinstunternehmen, ueber alle Vertraege zu IKT-Dienstleistungen fuehrt (Art. 28 Abs. 3, 9). Sie ist verbindlich.
ESAs legen den 30. April 2025 fuer die ersten Informationsregister fest
Die ESAs veroeffentlichen einen Beschluss (vom 8. November 2024), nach dem die nationalen Aufsichtsbehoerden die Informationsregister der Finanzunternehmen zu IKT-Vertraegen bis zum 30. April 2025 weiterleiten. Die Register dienen der Einstufung kritischer IKT-Drittdienstleister; jede Behoerde legt ihren eigenen, frueheren Einreichungstermin fest.
Erste technische Standards zu DORA treten in Kraft: IKT-Risikomanagement, Einstufung von Vorfaellen, Leitlinie fuer Drittdienstleister
Drei Delegierte Verordnungen vom 13. Maerz 2024: (EU) 2024/1774 zu Werkzeugen des IKT-Risikomanagements und zum vereinfachten Rahmen (Art. 15, 16), (EU) 2024/1772 zur Einstufung von IKT-Vorfaellen und erheblichen Cyberbedrohungen (Art. 18 Abs. 3) und (EU) 2024/1773 zur Leitlinie fuer IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstuetzen (Art. 28 Abs. 10). Sie binden Finanzunternehmen ab dem 17. Januar 2025.
Delegierte Verordnungen zu Kriterien fuer kritische Anbieter und Aufsichtsgebuehren treten in Kraft
Die Delegierte Verordnung (EU) 2024/1502 legt fest, nach welchen Kriterien IKT-Drittdienstleister als kritisch fuer Finanzunternehmen eingestuft werden (Art. 31 Abs. 6); die Delegierte Verordnung (EU) 2024/1505 legt die Gebuehren fest, die die federfuehrende Ueberwachungsbehoerde ihnen berechnet (Art. 43 Abs. 2). Beide wurden am 22. Februar 2024 erlassen und sind verbindlich.
2023
DORA tritt in Kraft
Nach Artikel 64 tritt die Verordnung am zwanzigsten Tag nach der Veroeffentlichung in Kraft. Ihre Pflichten gelten ab dem 17. Januar 2025; die zwei Jahre dazwischen dienten den technischen Standards und der Vorbereitung der Unternehmen.
2022
DORA und die zugehoerige Richtlinie erscheinen im Amtsblatt
Die Verordnung (EU) 2022/2554 ueber die digitale operationale Resilienz im Finanzsektor und die Richtlinie (EU) 2022/2556, die acht Finanzmarktrichtlinien daran anpasst, erscheinen im ABl. L 333 vom 27. Dezember 2022. Beide wurden am 14. Dezember 2022 unterzeichnet.
Quellen
4
Diese Seite wird regelmäßig aus den folgenden offiziellen und journalistischen Quellen aktualisiert.
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte entstehen aus Ihren Angaben.
