DORA ist Teil Ihres Alltags geworden. Wir machen ihn leichter.

DORA ist die Verordnung (EU) 2022/2554, die am 16. Januar 2023 in Kraft trat und seit dem 17. Januar 2025 verbindlich gilt. Sie harmonisiert die Anforderungen an die digitale operationale Resilienz für rund 20 Arten von Finanzunternehmen in der EU, von Banken und Versicherern über Zahlungsinstitute bis zu Krypto-Dienstleistern, und bezieht IKT-Drittdienstleister direkt mit ein.

Das Ziel: Der europäische Finanzsektor soll schwerwiegende digitale Betriebsstörungen erkennen, bewältigen und sich davon erholen können, ohne dass die Stabilität des Finanzsystems gefährdet wird.

• IKT-Risikomanagement: ein dokumentierter Rahmen, um IKT-Risiken zu identifizieren, zu bewerten, zu steuern und zu überwachen.
• Behandlung und Meldung von Vorfällen: schwerwiegende IKT-Vorfälle werden klassifiziert und fristgerecht an die zuständige Behörde gemeldet.
• Testen der digitalen Resilienz: regelmässige Tests, für bedeutende Institute bis hin zu bedrohungsorientierten Penetrationstests (TLPT).
• Management des IKT-Drittparteirisikos: inklusive Informationsregister, Vertragsmindestinhalten, Konzentrationsrisiken und Exit-Strategien.
• Informationsaustausch: freiwilliger Austausch von Erkenntnissen über Cyberbedrohungen zwischen Finanzunternehmen.

Am 18. November 2025 haben die europäischen Aufsichtsbehörden EBA, ESMA und EIOPA erstmals 19 IKT-Drittdienstleister als kritisch (CTPPs) eingestuft, von Hyperscalern über Netzwerk- und Rechenzentrumsbetreiber bis zu spezialisierten Anbietern von Finanzdaten und -services. Seit 2026 unterliegen diese Anbieter der direkten Aufsicht der ESAs mit Lead Overseern und Joint Examination Teams.

Wichtig für Finanzunternehmen: Die operative Verantwortung bleibt bei Ihnen. Wer einen CTPP nutzt, muss diese Abhängigkeit im eigenen Register und in der Konzentrationsrisiko-Bewertung abbilden und die Erkenntnisse aus der ESA-Aufsicht ins eigene IKT-Risikomanagement einfliessen lassen. Setzt ein kritischer Dienstleister Empfehlungen der Aufsicht nicht um, können nationale Behörden Finanzunternehmen im Extremfall auffordern, die Nutzung auszusetzen oder zu beenden.

Das Informationsregister dokumentiert alle vertraglichen Vereinbarungen mit IKT-Drittdienstleistern, mit besonderer Kennzeichnung der Dienstleistungen, die kritische oder wichtige Funktionen unterstützen. Es wird jährlich über die nationale Aufsicht an die ESAs übermittelt.

Aus der ersten Einreichungsrunde hat die Aufsicht typische Schwachstellen benannt: unvollständige Register (Stichwort Schatten-IT), fehlende Exit-Pläne und Verträge, die den Mindestinhalten der technischen Standards noch hinterherhinken. Für die laufenden Einreichungsrunden gilt: Datenqualität ist der entscheidende Faktor. Ein toolgestütztes Register, das mit Verträgen, Risiken und Funktionen verknüpft ist, reduziert Fehler und Aufwand erheblich.

Nach der Klassifizierung eines Vorfalls als schwerwiegend muss die Erstmeldung innert vier Stunden erfolgen, spätestens jedoch 24 Stunden nach Entdeckung. Danach folgen ein Zwischenbericht spätestens 72 Stunden nach der Erstmeldung und ein Abschlussbericht spätestens einen Monat nach dem letzten Zwischenbericht, inklusive Ursachenanalyse. Die Fristen sind eng, deshalb ist ein geübter, toolgestützter Meldeprozess mit klaren Rollen entscheidend. Die Praxis zeigt: Seit DORA-Start wurden allein in Deutschland mehrere hundert schwere IKT-Vorfälle gemeldet, ein grosser Teil davon mit Bezug zu externen Dienstleistern.

DORA ist eine EU-Verordnung, entfaltet aber Wirkung über die EU hinaus. Schweizer Finanzunternehmen mit Tochtergesellschaften oder Geschäftstätigkeit in der EU sind ebenso betroffen wie Schweizer IKT-Dienstleister, die EU-Finanzunternehmen bedienen: Deren Kunden verlangen DORA-konforme Verträge, Auskunftsfähigkeit und Mitwirkung im Informationsregister. Zudem orientiert sich die Schweizer Aufsichtspraxis zunehmend an vergleichbaren Grundsätzen zur operationellen Resilienz. Wer die DORA-Logik heute umsetzt, ist auf beiden Märkten gut aufgestellt.

NIS2 ist eine Richtlinie mit breitem, sektorübergreifendem Anwendungsbereich für kritische und wichtige Einrichtungen. DORA ist eine Verordnung, die spezifisch und unmittelbar für den Finanzsektor gilt. Für Finanzunternehmen hat DORA als sektorspezifische Regelung Vorrang vor NIS2. Viele Organisationen müssen dennoch beide Regelwerke im Blick behalten, etwa in Konzernen mit Finanz- und Nicht-Finanzgesellschaften. Die SwissGRC® Plattform bildet beide Rahmenwerke in einer Plattform ab, sodass Nachweise nur einmal erbracht werden müssen.

Die SwissGRC® Plattform deckt die DORA-Anforderungen aus einem Guss ab: DORA-Compliance Check mit Massnahmensteuerung, IKT-Risikomanagement und ISMS, Informationsregister nach DORA, durchgängiges Incident Management mit Meldeprozess, Business Continuity Management sowie Third-Party Risk Management inklusive Exit-Strategien und CTPP-Abhängigkeiten.

Als skalierbare Lösung wächst sie mit: Sie starten mit den DORA-Kernthemen und dehnen Ihre GRC-Prozesse schrittweise auf weitere Bereiche aus. Auf Wunsch mit Datenstandort Schweiz und begleitet von unserem Team, das den regulierten DACH-Markt aus jahrelanger Praxis kennt.