DORA - die EU-Verordnung über die digitale operationale Resilienz im Finanzsektor
Die Verordnung über digitale Betriebssicherheit im Finanzsektor (Digital Operational Resilience Act – DORA) ist bereits 2023 in Kraft getreten. Die erfassten Finanzunternehmen sowie die sogenannten Informations- und Kommunikationstechnik-(IKT-)Drittdienstleister sind seit Geltungsbeginn der Verordnung am 17. Januar 2025 gehalten, die gesetzlichen Vorgaben der Verordnung umzusetzen.
Zu den gesetzlichen Vorgaben zählen unter anderem umfassende und detaillierte Regelungen zum organisatorischen und inhaltlichen Risikomanagement, zu Störungsmeldungen, Informationsaustausch und Penetrationstest für Finanzunternehmen. Weiter sind gesetzliche Vorgaben zu Vertragsinhalten mit IKT-Drittdienstleistern umzusetzen.
In den Anwendungsbereich der Verordnung fallen neben Börsen und Versicherungen auch Versicherungsvermittler. Die Verordnung gilt nicht für Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit, bei denen es sich um Kleinstunternehmen oder kleine oder mittlere Unternehmen handelt.
- Kleinstunternehmen: weniger als zehn Beschäftigte und ein Jahresumsatz beziehungsweise eine Jahresbilanzsumme unter zwei Millionen Euro
- Kleines Unternehmen: zehn oder mehr, aber weniger als 50 Beschäftigte und ein Jahresumsatz beziehungsweise eine Jahresbilanzsumme über zwei Millionen Euro und unter zehn Millionen Euro
- Mittleres Unternehmen: weniger als 250 Beschäftigte und Jahresumsatz unter 50 Millionen Euro und/oder eine Jahresbilanzsumme unter 43 Millionen Euro
- Unternehmen mit 250 oder mehr Beschäftigten und einem Jahresumsatz von mehr als 50 Millionen Euro und/oder einer Jahresbilanzsummer von mehr als 43 Millionen Euro müssen die Verordnung in jedem Fall anwenden.
Die BaFin spielt bei der Umsetzung von DORA in Deutschland eine wichtige Rolle. Auf ihrer neuen Info-Seite DORA - Digital Operational Resilience Act stellt sie die wichtigsten Informationen zu DORA und der Umsetzung des Regelwerks zusammen.