KWG
7. Juni 2026Geeignetheitsprüfung
7. Juni 2026Was ist DORA?
DORA – der Digital Operational Resilience Act – ist eine EU-Verordnung, die seit Januar 2025 für alle Finanzdienstleister in der EU verpflichtend gilt. Sie verpflichtet Finanzinstitute, darunter auch Vermögensverwalter, zu einem systematischen Management von IT- und Cyberrisiken, zur Meldung von Sicherheitsvorfällen und zu regelmäßigen Tests ihrer digitalen Widerstandsfähigkeit. DORA ist eine Reaktion auf die zunehmende Digitalisierung des Finanzsektors und die damit verbundene Abhängigkeit von IT-Systemen und externen Dienstleistern.
Was fordert DORA konkret?
DORA strukturiert seine Anforderungen in fünf Säulen:
- IKT-Risikomanagement: Aufbau und Unterhaltung eines vollständigen Rahmens zur Steuerung von Informations- und Kommunikationstechnologie-Risiken – von der Identifikation bis zur Wiederherstellung nach Störungen
- Vorfallsmanagement und -meldung: Klassifikation und Meldung schwerwiegender IKT-Vorfälle an die Aufsichtsbehörden innerhalb definierter Fristen
- Resilienztests: Regelmäßige Tests der digitalen Betriebsstabilität – von einfachen Funktionstests bis zu fortgeschrittenen Penetrationstests für systemkritische Institute
- IKT-Drittparteienrisiko: Management der Risiken aus der Nutzung externer IT-Dienstleister – mit strengen Anforderungen an Verträge, Überwachung und Ausstiegsstrategien
- Informationsaustausch: Förderung des Austauschs von Bedrohungsinformationen zwischen Finanzinstituten
Warum gilt DORA auch für kleine Vermögensverwalter?
DORA gilt grundsätzlich für alle regulierten Finanzinstitute – unabhängig von ihrer Größe. Allerdings sieht die Verordnung ein Verhältnismäßigkeitsprinzip vor: Kleinere Institute können vereinfachte Anforderungen erfüllen. Dennoch müssen auch kleine Vermögensverwalter einen IKT-Risikomanagementrahmen aufbauen, Vorfallsmeldeprozesse einrichten und ihre kritischen IT-Dienstleister vertraglich absichern.
Das ist insbesondere dann relevant, wenn externe Dienstleister – Cloud-Anbieter, Portfoliomanagementsoftware, Depotbankschnittstellen – für den Betrieb zentral sind. DORA verlangt, dass diese Abhängigkeiten systematisch erfasst und gemanagt werden.
Was sind die Konsequenzen bei Verstößen?
Die BaFin kann bei Verstößen gegen DORA Maßnahmen bis hin zum Entzug der Zulassung ergreifen. Darüber hinaus sind öffentliche Bekanntmachungen von Verstößen möglich – ein erheblicher Reputationsrisikofaktor für betroffene Institute.
HPM hat im Rahmen der DORA-Vorbereitung eine vollständige Risikoanalyse aller IKT-Systeme und Drittanbieter durchgeführt und entsprechende Prozesse implementiert. Digitale Resilienz ist für uns kein regulatorisches Pflichtprogramm, sondern eine Frage der Zuverlässigkeit gegenüber unseren Mandanten – die darauf vertrauen, dass wir auch in Krisensituationen handlungsfähig bleiben.
