REGULIERUNG
DORA: Pflichten, Fristen und was sich für die Cyber-Versicherung im Finanzsektor ändert
Faktenblatt mit Stand 1. November 2026 zur Verordnung (EU) 2022/2554 (DORA) und zum italienischen Gesetzesdekret 23/2025: wer betroffen ist, IKT-Risikomanagement, Meldung schwerwiegender Vorfälle, kritische IKT-Drittanbieter, Sanktionen und Folgen für die Cyber-Police von Banken, Versicherern und Vermittlern.
Regulatorisches Faktenblatt · Stand 1. November 2026 · von cybercoverinsurance
Die Verordnung (EU) 2022/2554, bekannt als DORA (Digital Operational Resilience Act), gilt seit dem 17. Januar 2025 für fast den gesamten europäischen Finanzsektor (EUR-Lex). Anders als NIS2 ist sie eine Verordnung: Sie gilt unmittelbar in allen Mitgliedstaaten, ohne Umsetzung. In Italien bestimmt das Gesetzesdekret Nr. 23 vom 10. März 2025 die Aufsichtsbehörden und legt die Sanktionen fest (Diritto Bancario).
Für Risikoträger im Cyberbereich zählt DORA doppelt. Sie betrifft Versicherungsnehmer aus dem Finanzsektor, die eine messbare digitale Resilienz nachweisen müssen. Und sie betrifft die Versicherer selbst, die beaufsichtigte Unternehmen sind und DORA auf ihre eigenen Systeme anwenden müssen.
Im Text bezeichnet „Artikel“ eine verbindliche Regel; „Erwägungsgrund“ bezeichnet die einleitenden Absätze, die erklären, wie sie zu lesen ist.
Wer betroffen ist
Artikel 2 nennt mehr als zwanzig Kategorien von Finanzunternehmen: Banken, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Anbieter von Krypto-Dienstleistungen, Fondsverwalter, Versicherungs- und Rückversicherungsunternehmen, Versicherungsvermittler und Pensionsfonds. Kleine und mittlere Versicherungsvermittler sind ausgenommen. Über eine eigene Aufsichtsregelung erfasst DORA zudem IKT-Drittanbieter, die als kritisch eingestuft sind.
In Italien beaufsichtigen Banca d'Italia, Consob, IVASS und COVIP die jeweils ihnen unterstellten Unternehmen; sie nehmen auch die Meldungen schwerwiegender Vorfälle entgegen (Artikel 3 des Gesetzesdekrets 23/2025).
Die wichtigsten Pflichten
IKT-Risikomanagement
Die Artikel 5 bis 16 verlangen einen vom Leitungsorgan gebilligten Rahmen für das IKT-Risikomanagement; das Leitungsorgan trägt die letzte Verantwortung (Artikel 5). Er umfasst Identifizierung der Ressourcen, Schutz, Erkennung, Reaktion und Wiederherstellung, Backups und Pläne zur Betriebskontinuität.
Meldung schwerwiegender Vorfälle
Ein als schwerwiegend eingestufter IKT-Vorfall muss der zuständigen Behörde in drei Schritten gemeldet werden (Artikel 19 und zugehörige technische Standards) (FMA):
- Erstmeldung innerhalb von 4 Stunden nach der Einstufung als schwerwiegend und spätestens 24 Stunden nach Kenntnis;
- Zwischenbericht innerhalb von 72 Stunden nach der Erstmeldung;
- Abschlussbericht innerhalb eines Monats nach dem letzten Zwischenbericht.
Die Einstufungskriterien stehen in der Delegierten Verordnung (EU) 2024/1772. Ein erfolgreicher böswilliger Zugriff, der zu Datenverlust führen kann, reicht zusammen mit Auswirkungen auf kritische Dienste aus, um einen Vorfall als schwerwiegend einzustufen.
Resilienztests
Jedes Unternehmen muss seine Systeme regelmäßig testen (Artikel 24). Die bedeutendsten Unternehmen, von den Behörden bestimmt, müssen mindestens alle drei Jahre bedrohungsorientierte Penetrationstests durchführen, die einen echten Angriff auf Produktivsysteme simulieren (Artikel 26).
IKT-Drittanbieter
Jedes Unternehmen führt ein Register aller Verträge mit IKT-Drittanbietern und übermittelt es den Behörden (Artikel 28). Die Verträge müssen Mindestklauseln enthalten: Service-Level, Prüfrechte, Ausstiegsstrategien und Meldung von Vorfällen (Artikel 30).
Am 18. November 2025 haben die drei europäischen Aufsichtsbehörden (EBA, EIOPA und ESMA) 19 kritische IKT-Drittanbieter benannt, die der direkten europäischen Überwachung unterliegen (EIOPA). Darunter sind Amazon Web Services, Google Cloud und Microsoft; die übrigen sind Rechenzentrumsbetreiber, Telekommunikationsanbieter und auf Finanzdienstleistungen spezialisierte Technologieunternehmen (TLT).
Sanktionen
DORA überlässt die Sanktionen den Mitgliedstaaten. In Italien sieht das Gesetzesdekret 23/2025 für Banken und von der Banca d'Italia beaufsichtigte Intermediäre bei den schwersten Verstößen Geldbußen von 30.000 Euro bis zu 10 % des Umsatzes vor, für Führungskräfte von 5.000 Euro bis 5 Millionen Euro, mit einem möglichen Verbot von Leitungs- und Kontrollfunktionen für sechs Monate bis drei Jahre (Diritto Bancario).
DORA und NIS2
Für Finanzunternehmen hat DORA Vorrang vor NIS2: Sie ist das Spezialgesetz für den Sektor. Banken und Finanzmarktinfrastrukturen bleiben formal im Anwendungsbereich von NIS2, wenden aber für Risikomanagement und Meldung von Vorfällen DORA an. Ein Unternehmen außerhalb des Finanzsektors, das IKT-Dienste für Banken oder Versicherer erbringt, kann beiden unterliegen: NIS2 aus eigenem Recht, DORA über die Verträge mit Finanzkunden.
Was sich für die Cyber-Police ändert
Meldung. Vier Stunden ab Einstufung sind knapper als die 24 Stunden von NIS2. Ein Versicherungsnehmer aus dem Finanzsektor braucht einen Incident-Response-Dienst, der sofort bereitsteht, mit Fachleuten, die den Vorfall nach den DORA-Kriterien einstufen können. Eine verspätete Einstufung wird zum regulatorischen, nicht nur zum operativen Problem.
Sanktionen. Die Beträge können 10 % des Umsatzes erreichen. Wie bei NIS2 ist die Deckung von Verwaltungsbußgeldern „soweit gesetzlich versicherbar“ nicht selbstverständlich, und Sanktionen gegen Führungskräfte verlagern einen Teil des Risikos auf die D&O-Police.
Kumul. Die Liste der 19 kritischen Anbieter ist faktisch eine öffentliche Karte der Konzentrationspunkte des europäischen Finanzsektors. Für ein Portfolio von Finanzkunden ist der Ausfall oder die Kompromittierung eines dieser Anbieter das erste Schadenszenario, das modelliert werden sollte.
Informationen für die Risikoübernahme. DORA erzeugt Dokumente, die der Versicherungsnehmer bereits hat: Register der IKT-Drittanbieter, Ergebnisse der Resilienztests, Kontinuitäts- und Ausstiegspläne. Sie sind strukturierter als jeder Risikofragebogen.
Der Versicherer als beaufsichtigtes Unternehmen. Versicherer müssen DORA auch auf ihre eigenen Schadensysteme und Dienstleister anwenden. Ein kritischer Anbieter, den Versicherer und Versicherungsnehmer gemeinsam nutzen, schafft eine zu berücksichtigende Korrelation.
Auswirkung für VersichererHoch
DORA macht die digitale Resilienz von Banken, Versicherern und Vermittlern messbar, und die Liste der kritischen IKT-Drittanbieter macht die Kumulpunkte des gesamten Finanzsektors sichtbar.