DORA-Anforderungen: Welche Rollen Finanzunternehmen brauchen
7
Morten Laufer
Gründer
DORA gilt seit dem 17. Januar 2025 und verlangt von Banken, Zahlungsinstituten und Fintechs belastbare IKT-Resilienz. Wir ordnen jeder der fünf Säulen die Rollen zu, die du besetzen musst, und zeigen, wo interne Strukturen reichen und wo externe Profile schneller zur Konformität führen. Nova Search besetzt genau diese DORA- und Compliance-Rollen im Fintech-Umfeld.
DORA (Verordnung (EU) 2022/2554) bündelt die Pflichten in fünf Säulen vom IKT-Risikomanagement bis zum Drittparteienrisiko.
Kaum ein Institut setzt DORA vollständig gleichmäßig um; das FinmadiG sieht für Verstöße Bußgelder von bis zu fünf Millionen Euro vor.
Nicht-CRR-KWG-Institute wenden ab dem 1. Januar 2027 nur den vereinfachten IKT-Risikomanagementrahmen nach Art. 16 DORA an.
Institute müssen oft hunderte IKT-Verträge an DORA anpassen, das braucht eigenes Drittparteienmanagement.
Profile, die DORA-Kenntnis mit Banking- und Payments-Domain-Wissen verbinden, sind knapp; spezialisiertes Recruiting verkürzt die Besetzung.
Welche Anforderungen stellt DORA?
DORA, die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor, ist 2023 in Kraft getreten und gilt seit dem 17. Januar 2025. Das deutsche Begleitgesetz, das Finanzmarktdigitalisierungsgesetz (FinmadiG), ergänzt Zuständigkeiten und erweitert den Anwendungsbereich. Seit Anfang 2025 prüfen zudem Interne Revision, Abschlussprüfer sowie BaFin und die europäischen Aufsichtsbehörden, ob Institute die Vorgaben tatsächlich erfüllen.
Inhaltlich bündelt die Verordnung die Pflichten in fünf Säulen:
IKT-Risikomanagement: ein Rahmen aus Strategien, Richtlinien, Verfahren und Kontrollen, den das Leitungsorgan verantwortet
IKT-Vorfallsmanagement: Vorfälle erkennen, klassifizieren und schwerwiegende an die Aufsicht melden
Testen der digitalen operationalen Resilienz: regelmäßige Tests, für ausgewählte Institute bedrohungsgeleitete Penetrationstests
Management des IKT-Drittparteienrisikos: Vertragsmindestinhalte, Register und Steuerung aller IKT-Dienstleister
Überwachungsrahmen für kritische IKT-Drittdienstleister: direkte Aufsicht über systemrelevante Anbieter
Zwei Punkte machen DORA zum Personalthema. Erstens trägt das Leitungsorgan die Gesamtverantwortung für das IKT-Risikomanagement, definiert und überwacht den Rahmen, und seine Mitglieder müssen ihre IKT-Kenntnisse aktiv auf dem neuesten Stand halten (Art. 5 DORA). Zweitens greift die geforderte Resilienz-Strategie inhaltlich tiefer als die bisherige IT-Strategie nach BAIT, während sektorale Auslagerungsregeln wie MaRisk parallel weitergelten.
Der Aufhänger fürs Budget: Das FinmadiG stuft Verstöße als Ordnungswidrigkeit ein und sieht Bußgelder von bis zu fünf Millionen Euro vor. Das ist keine Rechtsberatung, sondern die Größenordnung, an der du deine Rollenplanung für 2026 ausrichten solltest.
Wer fällt unter DORA?
Artikel 2 Absatz 1 DORA regelt, wer die Vorgaben erfüllen muss; Ausnahmen nennt Artikel 2 Absatz 3 in Verbindung mit Artikel 3. Der Katalog erfasst den Finanzsektor nahezu vollständig:
Kreditinstitute
Zahlungsinstitute
Wertpapierfirmen und Handelsplätze
Versicherungs- und Rückversicherungsunternehmen
Anbieter von Kryptowert-Dienstleistungen
Einrichtungen der betrieblichen Altersversorgung sowie Datenbereitstellungsdienste
Für Zahlungsinstitute und lizenzierte Fintechs heißt das: DORA gilt, auch wenn das Team klein ist. Welche Pflichten im Detail gelten, hängt von Institutsgröße und Verflechtung ab; die Ausnahmen für Kleinst- und Kleininstitute klären wir weiter unten im Detail.
Die zweite Gruppe sind IKT-Drittdienstleister. Sie werden nicht als Finanzunternehmen beaufsichtigt, aber über die Vertragsmindestinhalte nach Artikel 30 in die Pflicht genommen: Cloud-Dienste, IT-Beratung, Datenverarbeitung und Hardwaredienstleistungen fallen darunter, und kritisch eingestufte Anbieter unterliegen zusätzlich der direkten Aufsicht der europäischen Behörden. Eine Feinheit: Erbringt ein beaufsichtigtes Finanzunternehmen gegenüber einem anderen eine regulierte Finanzdienstleistung, zählt das nicht als IKT-Dienstleistung im Sinne des Drittparteienrisikomanagements (Art. 3 DORA). Wer als Fintech Banken bedient, sollte diese Abgrenzung kennen, bevor Register und Verträge darauf aufgebaut werden.
In Deutschland erweitert das FinmadiG den Anwendungsbereich um Versicherungsholdings und Institute nach § 1 Absatz 1b KWG. KWG-Institute, die keine CRR-Institute sind, müssen statt des regulären Rahmens der Artikel 5 bis 15 nur den vereinfachten IKT-Risikomanagementrahmen nach Artikel 16 umsetzen, keine bedrohungsgeleiteten Penetrationstests durchführen und als Kleinstunternehmen die Drittparteien-Pflichten überspringen. Diese Pflichten gelten ab dem 1. Januar 2027, die Meldeanforderungen laufen aber bereits seit dem 17. Januar 2025.
Welche Rollen braucht die DORA-Umsetzung?
DORA schreibt keine Stellenpläne vor, aber Verantwortlichkeiten. Wenn du jede Säule einer benannten Person zuordnest, hast du dein Suchprofil. Die Benchmark-Studie von KPMG zeigt, wo es in der Fläche hakt: Governance-Strukturen stehen meist, aber bei Drittparteiensteuerung, Tests und operativen Nachweisen fehlen Personal und Evidenz.
Governance und IKT-Risikokontrolle
Den Rahmen verantwortet eine unabhängige Kontrollfunktion, klassischerweise eine Risk- oder Compliance-Manager:in mit DORA-Kenntnis (Art. 6 Abs. 4 DORA). Das Profil braucht Regulatorik-Tiefe über DORA, MaRisk, ZAG und KWG hinaus und genug Payments-Verständnis, um kritische Funktionen im eigenen Geschäftsmodell zu erkennen. Dazu kommt die Dokumentation: Jede Vertragsbeziehung braucht eine benannte Ansprechperson, und Verträge inklusive SLA liegen versioniert und zentral verfügbar (Art. 30 DORA).
IKT-Drittparteienmanagement
Hier entsteht der größte Aufwand. Eine Vielzahl bestehender IKT-Verträge erfüllt die verschärften Vorgaben nicht und muss aktualisiert werden, in der Praxis hunderte Verträge pro Institut. Gesucht sind Profile, die Vertragsmanagement, Vendor-Steuerung und IKT-Verständnis verbinden; wie du eine GRC-Manager:in findest und besetzt, haben wir in einem eigenen Beitrag aufgeschlüsselt.
Informationssicherheit und Vorfallsmanagement
Tests, Klassifizierung und Meldung brauchen Security-Engineering nahe der CISO-Rolle: ein risikobasiertes Testprogramm, für ausgewählte Institute bedrohungsgeleitete Penetrationstests mindestens alle drei Jahre und bei schwerwiegenden Vorfällen Erst-, Zwischen- und Abschlussmeldung (Art. 19 Abs. 4 DORA). Genau hier ist der Markt dünn: Die Lünendonk-Studie mit KPMG zeichnet dasselbe Bild: 97 Prozent der befragten Finanzunternehmen halten digitale Resilienz für wichtig, aber nur 12 Prozent bewerten ihren eigenen Reifegrad als sehr hoch. Optionen von der Festanstellung bis zum vCISO vergleichen wir im verlinkten Beitrag zur CISO-Rolle.
DORA-Säule | Rolle im Institut | Kernaufgabe |
|---|---|---|
IKT-Risikomanagement | Risk- oder Compliance-Manager:in | Rahmen, Kontrollfunktion und Dokumentation führen |
IKT-Drittparteienrisiko | Vendor- und Vertragsmanagement mit Legal und IT | Verträge anpassen, Tiering pflegen, Exit-Optionen halten |
Resilienz-Tests und Vorfälle | Security-Engineering nahe der CISO-Rolle | Testprogramm steuern, Vorfälle klassifizieren und melden |
Alle Säulen | Leitungsorgan | Gesamtverantwortung tragen, Wissen aktuell halten |
Intern aufbauen oder extern besetzen?
Die Entscheidung folgt drei Kriterien. Erstens Kontinuität: Der IKT-Risikomanagementrahmen ist kein Projekt mit Enddatum, sondern dauerhafte Steuerung, Kernrollen gehören in Festanstellung. Zweitens Verantwortung: Du kannst Kapazität zukaufen, aber die Sicherstellung des IKT-Risikomanagements bleibt uneingeschränkt beim Institut (Art. 6 Abs. 10 DORA). Drittens Verhältnismäßigkeit: Kleinere Institute dürfen schlankere Strukturen fahren, der vereinfachte Rahmen nach Artikel 16 macht das explizit.
In Festanstellung: Risk- und Compliance-Führung, Security-Leitung und jede Rolle mit Einsicht in kritische Funktionen
Projektweise zukaufen: Spitzenlasten wie Vertragskampagnen, Registeraufbau oder TLPT-Vorbereitung
Nie abgeben: die Gesamtverantwortung des Leitungsorgans
Der Markt macht den Unterschied. Profile, die Tech- oder Compliance-Skills mit Payments- und Banking-Domain-Wissen verbinden, sind knapp, und der Fachkräftemangel trifft genau die Rollen, die DORA braucht. Wer 2026 eine solche Rolle besetzt, konkurriert um eine dünne Spitze; Gehalts- und Marktdaten für Fintech-Recruiting helfen, Gehaltsband und Arbeitgeber-Pitch realistisch zu setzen.
Genau für diese Besetzung ist Festanstellung (Permanent Recruitment) von Nova Search gebaut: Nach einem Briefing von rund 60 Minuten zu Rolle, Tech-Stack und Teamkultur erhältst du eine Shortlist mit drei geprüften Kandidat:innen innerhalb von fünf Werktagen, gescreent über technische Tiefenprüfung und Culture-Interview, mit 90-Tage-Garantie. Die Rolle ist besetzt, bevor die nächste Aufsichtsprüfung nach den benannten Personen fragt.
Sources
FAQ
Seit wann gilt DORA und wer muss die Anforderungen umsetzen?
DORA ist die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor und findet seit dem 17. Januar 2025 Anwendung. Betroffen sind Finanzunternehmen wie Kreditinstitute, Zahlungsinstitute, Wertpapierfirmen, Versicherungen und Kryptowert-Dienstleister; IKT-Drittdienstleister werden über Vertragspflichten einbezogen.
Welche fünf Säulen hat DORA?
Die fünf Säulen sind IKT-Risikomanagement, IKT-Vorfallsmanagement mit Meldepflichten, das Testen der digitalen operationalen Resilienz, das Management des IKT-Drittparteienrisikos und der Überwachungsrahmen für kritische IKT-Dienstleister. Das Leitungsorgan trägt die Verantwortung für die Umsetzung.
Welche Rollen braucht ein Finanzunternehmen für die DORA-Umsetzung?
Kernrollen sind eine Compliance- oder Risk-Manager:in mit DORA-Kenntnis für den IKT-Risikomanagementrahmen, ein Profil für das Drittparteienmanagement samt Vertragsprüfung und Informationsregister sowie Security-Engineer:innen bzw. CISO-nahe Rollen für Resilienz-Tests, Vorfallsklassifizierung und Meldung.
Müssen auch kleinere Institute den vollen DORA-Rahmen umsetzen?
Nein, DORA folgt dem Grundsatz der Verhältnismäßigkeit. Nicht-CRR-KWG-Institute wie Bürgschaftsbanken wenden ab dem 1. Januar 2027 nur den vereinfachten IKT-Risikomanagementrahmen nach Art. 16 DORA an; Kleinstunternehmen sind vom IKT-Drittparteienrisikomanagement ausgenommen. Das Meldewesen gilt bereits seit dem 17. Januar 2025.
Wie viele Verträge müssen für DORA angepasst werden?
Die Zahl hängt stark von der Institutsgröße ab: Große Unternehmen und Konzerne verwalten mehrere hundert bis tausende IKT-Verträge, kleinere Institute deutlich weniger.
Was passiert, wenn DORA-Anforderungen nicht erfüllt werden?
Grundsätzlich drohen Bußgelder, deren Höhe je nach Art und Schwere des Verstoßes bis zu fünf Millionen Euro betragen kann. Die Aufsicht kann bei kleineren Unternehmen aber im Rahmen des Verhältnismäßigkeitsgrundsatzes abwägen. Das ist keine Rechtsberatung, für die Bewertung des Einzelfalls brauchst du juristische Unterstützung.
Lohnt sich für DORA-Rollen Festanstellung oder externe Besetzung?
Für kontinuierliche Verantwortlichkeiten wie IKT-Risikokontrolle und Informationssicherheit spricht Festanstellung, weil Regulatorik Kontinuität und benannte Verantwortliche verlangt. Da Profile mit Tech- oder Compliance-Skills plus Banking-Domain-Wissen knapp sind, arbeiten viele Institute mit spezialisierten Personalberatungen wie Nova Search zusammen, die Fintech- und Compliance-Rollen seit 2018 besetzen.
