DORA-Software.
Pflichten, Meldefristen und Anbieter im Auszug.

Was ist DORA-Software?

DORA-Software ist Software, mit der Finanzunternehmen die Pflichten der Verordnung (EU) 2022/2554 umsetzen und nachweisen. Dazu gehören IKT-Risikomanagement, die Meldung schwerwiegender IKT-Vorfälle, Resilienztests, das Management des IKT-Drittparteienrisikos und das Informationsregister. Es gibt keine einzelne Produktklasse dafür. Die meisten Häuser kombinieren eine GRC- oder ISMS-Suite, eine Plattform für Dienstleisterrisiken und das vorhandene Service-Management. Beispiele sind HiScout als GRC-Suite, ProcessUnity für Drittparteien und USU Register Manager für das Register. Eine Zertifizierung als DORA-Software sieht die Verordnung nicht vor.

Was regelt die DORA-Verordnung?

Die DORA-Verordnung (EU) 2022/2554 regelt die digitale operationale Resilienz im Finanzsektor. Sie gilt seit dem 17. Januar 2025 unmittelbar in allen EU-Staaten, ohne nationales Umsetzungsgesetz. Inhaltlich hat sie fünf Säulen: IKT-Risikomanagement nach Art. 5 bis 16, Vorfallmeldung nach Art. 17 bis 23, Resilienztests nach Art. 24 bis 27, Drittparteienrisiko nach Art. 28 bis 30 und Informationsaustausch nach Art. 45. Hinzu kommt die Überwachung kritischer IKT-Drittdienstleister durch die europäischen Aufsichtsbehörden nach Art. 31 bis 44. Technische Standards wie die Delegierte Verordnung (EU) 2024/1774 konkretisieren die Pflichten.

Für wen gilt DORA?

DORA gilt für fast alle beaufsichtigten Finanzunternehmen in der EU, darunter Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Versicherer und Kapitalverwaltungsgesellschaften. Den Kreis regelt Art. 2 Abs. 1 der Verordnung, Ausnahmen stehen in Art. 2 Abs. 3, etwa für kleine Versicherungsvermittler. In Deutschland erweitert das Finanzmarktdigitalisierungsgesetz den Kreis um Versicherungsholdings und Institute nach § 1 Abs. 1b KWG wie Bürgschaftsbanken. Diese Nicht-CRR-Institute wenden den vereinfachten Rahmen nach Art. 16 ab 1. Januar 2027 an. Die Meldepflicht für Vorfälle gilt für sie schon seit 17. Januar 2025.

Welche Meldefristen gelten bei einem schwerwiegenden IKT-Vorfall?

Für schwerwiegende IKT-Vorfälle gelten drei Fristen. Die Erstmeldung ist spätestens 4 Stunden nach der Einstufung als schwerwiegend fällig, in jedem Fall spätestens 24 Stunden nach Kenntnis des Vorfalls. Die Zwischenmeldung folgt binnen 72 Stunden nach Abgabe der Erstmeldung. Die Abschlussmeldung mit Ursachenanalyse ist spätestens einen Monat nach der letzten Zwischenmeldung einzureichen. Grundlage ist Art. 5 der Delegierten Verordnung (EU) 2025/301. In Deutschland melden Finanzunternehmen über die Plattform MVP der BaFin, die die Meldung unter anderem an das BSI weiterleitet.

Was ist das DORA-Informationsregister?

Das Informationsregister ist das Verzeichnis aller Verträge eines Finanzunternehmens mit IKT-Drittdienstleistern nach Art. 28 Abs. 3 DORA. Es enthält immer den direkten Dienstleister. Bei Diensten für kritische oder wichtige Funktionen kommen alle wesentlichen Unterauftragnehmer dazu. Die BaFin analysiert die Register auf Konzentrationsrisiken und leitet sie an die europäischen Aufsichtsbehörden weiter. Diese stufen daraus jährlich die kritischen IKT-Drittdienstleister ein. Eingereicht wird über die MVP als xBRL-Datei nach der Taxonomie der ESAs oder mit der Excel-Vorlage der BaFin.

Bis wann muss das Informationsregister bei der BaFin sein?

Das Informationsregister ist jährlich bis spätestens 31. März bei der BaFin einzureichen. Es gibt den Stand zum 31. Dezember des Vorjahres wieder. Die nächste Einreichung mit Stand 31.12.2026 ist also bis 31. März 2027 fällig, für den Zyklus 2027 plant die BaFin keine Taxonomie-Änderungen. Die Frist gilt erst als erfüllt, wenn BaFin und ESAs das Register validiert haben, was bis zu 48 Stunden dauern kann. Wer die Frist verpasst, kann im laufenden Zyklus nicht mehr einreichen. Planen Sie deshalb mehrere Tage Puffer für Fehlerprotokolle ein.

Muss jedes Finanzunternehmen einen TLPT durchführen?

Nein, bedrohungsgeleitete Penetrationstests (TLPT) müssen nur bestimmte Finanzunternehmen durchführen. Welche das sind, ergibt sich aus Art. 26 Abs. 8 DORA und der Delegierten Verordnung (EU) 2025/1190. Die BaFin prüft die Kriterien und erlässt einen Verpflichtungsbescheid. Darin steht, ob der Test im Drei-Jahres-Rhythmus oder in einer anderen Frequenz läuft. Innerhalb von sechs Monaten nach der Testanordnung reicht das Unternehmen die Testumfangsspezifikation ein. Ein allgemeines Testprogramm nach Art. 24 und 25 braucht dagegen jedes Finanzunternehmen.

Gilt NIS2 zusätzlich zu DORA?

Für Finanzunternehmen geht DORA als spezielleres Recht vor. Art. 4 der NIS2-Richtlinie lässt sektorspezifische Rechtsakte mit gleichwertigen Pflichten vorgehen. In Deutschland regelt das § 28 Abs. 6 BSIG: Für Finanzunternehmen nach Art. 2 Abs. 2 DORA gelten unter anderem die Pflichten zum Risikomanagement nach § 30 und zur Meldung nach § 32 BSIG nicht. Die BaFin leitet DORA-Meldungen an das BSI weiter. Konzerne mit Gesellschaften außerhalb des Finanzsektors, etwa IT-Töchter, prüfen deren Einstufung nach NIS2 aber getrennt.

Gelten BAIT und VAIT noch?

VAIT, KAIT und ZAIT hat die BaFin mit Ablauf des 16. Januar 2025 aufgehoben, weil DORA diese Themen regelt. Die BAIT hebt sie schrittweise auf. Institute, die DORA nach Art. 5 bis 15 oder Art. 16 anwenden, sind seit 17. Januar 2025 aus dem Anwenderkreis ausgenommen. Mit Ablauf des 31. Dezember 2026 fallen die BAIT ganz weg, denn ab 1. Januar 2027 wenden auch Nicht-CRR-Institute DORA an. Die Pflichten zur Anzeige von Auslagerungen nach KWG, VAG und KAGB gelten weiter.

Was kostet DORA-Software?

Die meisten Anbieter kalkulieren DORA-Software auf Anfrage. Einen Listenpreis nennt im Auszug nur Copla für Copla Registry mit ab 500 € im Jahr. Den Preis treiben vor allem die Zahl der Verträge und Dienstleister, die Zahl der Module und die Anbindung an Service-Management und Vertragsverwaltung. Lassen Sie sich Lizenz, Einrichtung und jährliche Taxonomie-Updates getrennt ausweisen. Fragen Sie auch, ob Validierungsregeln der ESAs im Preis enthalten sind. Verbindlich ist nur das Angebot des Anbieters.

Reicht Excel für das Informationsregister?

Die BaFin nimmt das Register auch als befüllte Excel-Vorlage an, eine Software ist also keine Pflicht. Für kleine Häuser mit wenigen Dienstleistern kann Excel reichen. Schwierig wird es bei Unterauftragsketten, Gruppengesellschaften und vielen Verträgen, weil jede Zeile die Validierungsregeln der ESAs bestehen muss. Fehlerprotokolle müssen kurzfristig korrigiert werden, sonst ist die Frist verpasst. Ein Register-Werkzeug prüft Konsistenz vor dem Upload und übernimmt Daten aus dem Vertragsmanagement. Prüfen Sie das mit einem Probelauf im Testverfahren der BaFin.

Ist Find-Your-Software ein Vergleichsportal?

Nein, Find-Your-Software ist ein Werkzeug für die Softwareauswahl, kein Bewertungsportal. Es sammelt Anforderungen, erstellt eine begründete Shortlist, unterstützt Demos und Verträge und dokumentiert alles nachvollziehbar. Für DORA heißt das: Sie erfassen die Pflichten je Artikel als Anforderungen, binden Ihre Systemlandschaft an und vergleichen Anbieter nach eigenen Gewichten. Bewertungen und Schätzungen von Vergleichsportalen nutzt Find-Your-Software nicht. Für KI-Funktionen setzt Find-Your-Software nur eigene, lokal betriebene Modelle ein, die Daten bleiben bei Find-Your-Software.