Alles Legal #100: DORA in der Praxis - Was auf Finanzdienstleister jetzt zukommt

Dana Wondra & Josefine Spengler von Annerton

DORA betrifft uns alle – vom Fintech bis zur Großbank. Der neue EU-weit gültige Rechtsrahmen verpflichtet regulierte Finanzunternehmen dazu, ihre digitale Widerstandsfähigkeit massiv zu stärken. Doch was bedeutet das konkret? Wer ist betroffen, wie unterscheidet sich DORA von NIS2 – und warum ist der Begriff „kritischer IKT-Dienstleister“ ein echter Gamechanger?

In der Auftaktfolge unserer neuen Podcastserie zu DORA spricht Dana Wondra mit Josefine Spengler, Rechtsanwältin bei Annerton und Fachanwältin für IT-Recht. Josefine Spengler begleitet Banken, Zahlungsdienstleister und FinTechs bei der praktischen Umsetzung von DORA – und kennt die Herausforderungen zwischen Technik, Recht und Aufsicht aus erster Hand.

DORA wurde eingeführt, weil die EU eine klare Schwachstelle erkannt hat: Der Finanzsektor ist hochdigitalisiert, aber bis dato fehlte ein einheitlicher, sektorübergreifender Rahmen für digitale Resilienz. Cyberangriffe, IT-Ausfälle und Datenlecks haben gezeigt, wie verwundbar das System ist – und wie schnell einzelne Vorfälle systemische Risiken auslösen können.

Ziel von DORA ist es, diese Risiken strukturiert zu beherrschen. Dazu setzt die Verordnung auf fünf zentrale Säulen: IKT-Risikomanagement, Vorfallmeldung, Resilienztests, das Management von Drittanbietern sowie den Austausch zu Cyberbedrohungen. DORA unterscheidet sich dabei deutlich von NIS2. DORA gilt direkt in allen EU-Ländern und ist speziell auf die Anforderungen an den Finanzsektor zugeschnitten.

Besonders relevant: Auch Tech-Anbieter geraten stärker in den Fokus der Aufsicht. Mit dem Konzept des „kritischen IKT-Dienstleisters“ führt DORA erstmals eine direkte EU-Aufsicht über zentrale IT-Partner der Branche ein – von Cloud-Diensten über Core-Banking-Anbieter bis zu Softwareplattformen. Für viele Unternehmen bedeutet das neue Anforderungen an Vertragsgestaltung, Meldeprozesse und Exit-Strategien.

In der nächsten Folge von „Alles Legal – Fintech-Recht kompakt“ geht es deshalb weiter mit dem Thema IKT-Drittparteienmanagement: Welche Anforderungen stellt DORA an Verträge – und wie gelingt die praxisnahe Umsetzung? 🎧 Jetzt reinhören!