DORA

DORA ist ein Gesetz der Europäischen Union für den Finanzsektor. Die Abkürzung steht für Digital Operational Resilience Act, auf Deutsch etwa: Rechtsakt zur digitalen Widerstandsfähigkeit im Betrieb. Gemeint ist damit die Fähigkeit eines Unternehmens, seinen Betrieb auch dann aufrechtzuerhalten, wenn die Technik streikt oder angegriffen wird. Betroffen sind rund 22.000 Unternehmen in Europa: Banken, Versicherungen, Zahlungsdienste, Börsen und Krypto-Anbieter. Sie müssen nachweisen, dass ihre Computersysteme Störungen aushalten und dass sie einen Plan für den Ernstfall haben. Die Regeln gelten seit dem 17. Januar 2025 unmittelbar in allen EU-Ländern.

Warum Europa den Banken die IT vorschreibt

Eine Bank ist heute im Kern ein IT-Unternehmen. Wenn ihre Rechenzentren stillstehen, funktionieren keine Überweisungen, keine Kartenzahlungen und keine Geldautomaten mehr. Früher schrieben Aufsichtsbehörden vor allem vor, wie viel Eigenkapital eine Bank vorhalten muss. Gegen einen Systemausfall hilft Kapital aber wenig. DORA schließt diese Lücke und behandelt Technikausfälle als eigenständiges Risiko für die Finanzstabilität.

Hinzu kommt eine Konzentration, die Aufseher nervös macht. Sehr viele Finanzunternehmen nutzen dieselben wenigen Cloud-Anbieter, vor allem Amazon, Microsoft und Google. Fällt einer davon länger aus, sind nicht eine Bank betroffen, sondern hunderte gleichzeitig. Genau solche Kettenreaktionen will DORA verhindern.

Wer die Vorgaben ignoriert, riskiert empfindliche Strafen. Nationale Aufsichtsbehörden wie die BaFin in Deutschland können Bußgelder verhängen und im Extremfall Geschäftstätigkeiten untersagen. Für besonders wichtige Technikdienstleister sieht die Verordnung Zwangsgelder von bis zu einem Prozent des weltweiten Tagesumsatzes vor, und zwar für jeden Tag der Verstoß andauert.

Die fünf Pflichten der Verordnung

DORA ruht auf fünf Säulen. Erstens muss jedes Unternehmen seine Technikrisiken systematisch erfassen und steuern, und die Geschäftsleitung trägt dafür persönlich die Verantwortung. Zweitens müssen schwere Vorfälle gemeldet werden: eine erste Meldung binnen vier Stunden nach Einstufung, ein Zwischenbericht binnen 72 Stunden, ein Abschlussbericht innerhalb eines Monats. Drittens muss die Abwehr regelmäßig getestet werden, bei großen Häusern auch durch simulierte Angriffe echter Sicherheitsfirmen.

Die vierte Säule betrifft externe Dienstleister. Unternehmen müssen ein Register aller Anbieter führen, die ihre Technik betreiben, und die Verträge müssen bestimmte Rechte enthalten: Zugang für Prüfer, Kündigungsmöglichkeiten, klare Regeln für den Ausstieg. Die fünfte Säule verpflichtet zum Austausch von Informationen über neue Bedrohungen zwischen den Unternehmen.

Neu ist, dass die EU besonders kritische Dienstleister direkt beaufsichtigt. Wird ein Cloud-Anbieter als kritisch eingestuft, prüfen ihn europäische Aufsichtsbehörden selbst, obwohl er gar keine Bank ist. Bislang lag die Aufsicht immer nur beim Finanzunternehmen, das den Dienst einkaufte.

DORA und der Einsatz von KI im Finanzsektor

Für KI ist DORA relevant, weil Banken zunehmend fremde Modelle einbinden. Ein Chatbot im Onlinebanking oder ein Programm zur Betrugserkennung läuft oft auf Servern eines externen Anbieters. Damit ist dieser Anbieter ein Technikdienstleister im Sinne der Verordnung. Er muss ins Register, sein Vertrag muss die geforderten Klauseln enthalten, und die Bank muss erklären können, was passiert, wenn der Dienst ausfällt.

Verwechseln sollte man DORA nicht mit dem AI Act, dem KI-Gesetz der EU. Der AI Act fragt, ob ein KI-System fair und sicher entscheidet. DORA fragt nur, ob die Technik dahinter zuverlässig läuft. Ein Unternehmen kann beide Regelwerke gleichzeitig erfüllen müssen. Verwirrung stiftet zudem eine Namensgleichheit: In der Softwareentwicklung stehen die DORA Metrics für etwas völlig anderes, nämlich für Kennzahlen zur Geschwindigkeit von Entwicklerteams.

In den Wirtschaftsnachrichten taucht DORA vor allem in zwei Zusammenhängen auf. Zum einen bei Meldungen über die Kosten: Banken haben teils Millionenbeträge in neue Meldeprozesse und Vertragsprüfungen gesteckt. Zum anderen, wenn ein größerer IT-Ausfall bei einem Zahlungsdienstleister bekannt wird, denn seit 2025 folgt darauf regelmäßig die Frage, ob die Meldefristen eingehalten wurden.