DORA: digitale operationale Resilienz

Question 1

Für wen gilt DORA?

Accepted Answer

Verordnung (EU) 2022/2554 (DORA) gilt für Finanzunternehmen nach Art. 2, unter anderem für: Banken, Zahlungsinstitute und E-Geld-Institute, einschließlich kleiner Zahlungsdienstleister und kleiner E-Geld-Emittenten, Anbieter von Kryptowerte-Dienstleistungen (CASP), Wertpapierfirmen, Verwalter alternativer Investmentfonds und Verwaltungsgesellschaften, Versicherer, Rückversicherer und größere Versicherungsvermittler, Schwarmfinanzierungsdienstleister (Crowdfunding). Nicht anwendbar ist DORA dagegen zum Beispiel auf Fondsverwalter unterhalb der Schwellenwerte nach Art. 3 Abs. 2 der AIFM-Richtlinie, in Tschechien typischerweise Personen nach § 15 ZISIF, und auf Versicherungsvermittler, die kleine oder mittlere Unternehmen sind (Art. 2 Abs. 3 DORA).

Question 2

Was verlangt DORA?

Accepted Answer

IKT-Risikomanagement (Art. 5 bis 16): Strategie für digitale operationale Resilienz, Inventar der Vermögenswerte, Sicherheitsrichtlinien, Geschäftsfortführung, Datensicherung und Wiederherstellung. Kleine Zahlungsdienstleister, kleine E-Geld-Emittenten und kleine Wertpapierfirmen können den vereinfachten Rahmen nach Art. 16 nutzen. Behandlung und Meldung von Vorfällen (Art. 17 bis 23): Klassifizierung von Vorfällen und Meldung schwerwiegender Vorfälle an die ČNB. Tests (Art. 24 bis 27): Testprogramm, kritische Systeme mindestens einmal jährlich. Bedrohungsorientierte Penetrationstests (TLPT) mindestens alle drei Jahre müssen nur Unternehmen durchführen, die die ČNB bestimmt. Management des Drittparteienrisikos (Art. 28 bis 30): Informationsregister über Verträge mit IKT-Dienstleistern, Pflichtinhalte der Verträge und Ausstiegsstrategien.

Question 3

Was prüft die ČNB in der Praxis?

Accepted Answer

Die ČNB hat 2025 mit der ersten Aufsicht nach DORA begonnen. In eine Pilotprüfung bezog sie 16 Unternehmen aus dem Wertpapier- und Zahlungsdienstebereich ein und verwendete einen Fragebogen mit mehr als 400 Prüffragen. Am meisten Arbeit bereitete den Unternehmen das Management der Beziehungen zu IKT-Dienstleistern: Sie mussten Verträge anpassen, Pflichten der Dienstleister ergänzen und eine Dokumentation einführen, die sie bisher nicht systematisch geführt hatten (Právní prostor, Jahresbericht der ČNB für 2025, tschechisch).

Question 4

Was ist das Informationsregister und wann wird es eingereicht?

Accepted Answer

Das Informationsregister erfasst alle Verträge mit IKT-Dienstleistern, einschließlich Cloud, Software und IT-Outsourcing (Art. 28 Abs. 3 DORA). Die ČNB erhebt es über das System SDAT. 2026 war der Stichtag der 2. 3. 2026. Über die Pflicht und den Termin informiert die ČNB die meldepflichtigen Unternehmen durch eine Aufforderung (ČNB, DORA – meldepflichtige Unternehmen, tschechisch).

Question 5

Wie schnell ist ein schwerwiegender Vorfall zu melden?

Accepted Answer

Erstmeldung: innerhalb von 4 Stunden nach Einstufung des Vorfalls als schwerwiegend, spätestens 24 Stunden nach Kenntnis, Zwischenbericht: innerhalb von 72 Stunden nach der Erstmeldung, Abschlussbericht: innerhalb eines Monats nach dem letzten Zwischenbericht. Die Fristen legt die Delegierte Verordnung (EU) 2025/301 der Kommission fest. Das Verfahren zur Klassifizierung und Meldung muss daher im Voraus vorbereitet sein, nicht erst während eines Vorfalls.

Question 6

Wie verhält sich DORA zum tschechischen Cybersicherheitsgesetz?

Accepted Answer

Für Finanzunternehmen ist DORA eine sektorspezifische Regelung. Soweit sie das Management von Cyberrisiken und die Meldung von Vorfällen gleichwertig regelt, hat sie Vorrang vor dem Gesetz Nr. 264/2025 Slg. über die Cybersicherheit, das die NIS2-Richtlinie umsetzt. Das Cybersicherheitsgesetz gilt aber dort, wo DORA einen Bereich nicht regelt, etwa bei der Registrierung beim NÚKIB. Die primäre Aufsicht übt die ČNB aus, das NÚKIB ergänzend (gemeinsame Erklärung von ČNB und NÚKIB, 24. 6. 2026, tschechisch).

Question 7

Wie helfen wir Ihnen?

Accepted Answer

DORA-Dokumentation nach Maß: Strategie, Richtlinien, interne Vorschriften, Inventar der IKT-Vermögenswerte und Notfallpläne. Verträge mit IKT-Dienstleistern: Prüfung und Ergänzung nach Art. 30 DORA. Informationsregister: Erstellung des Registers und Übermittlung an die ČNB. Vorfälle: Verfahren zur Klassifizierung und Meldung, Meldevorlagen für die ČNB. Tests: Programm zum Testen der digitalen operationalen Resilienz. Prüfung durch die ČNB: Vorbereitung auf den Fragebogen und die Prüfung. Die Dokumentation liefern wir als Servicepaket zur Umsetzung von DORA. Für neue Antragsteller auf eine ČNB-Lizenz erstellen wir sie direkt als Teil des Antrags.

Question 8

Gilt DORA auch für kleine Zahlungsinstitute?

Accepted Answer

Ja. DORA gilt auch für kleine Zahlungsdienstleister und kleine E-Geld-Emittenten. Diese können jedoch den vereinfachten Rahmen für das IKT-Risikomanagement nach Art. 16 nutzen.

Question 9

Gilt DORA für Personen nach § 15 ZISIF?

Accepted Answer

Nein. Fondsverwalter unterhalb der Schwellenwerte nach Art. 3 Abs. 2 der AIFM-Richtlinie sind vom Anwendungsbereich der DORA ausgenommen.

Question 10

Müssen wir TLPT-Penetrationstests durchführen?

Accepted Answer

Nur wenn die ČNB Sie dazu bestimmt. Andere Unternehmen testen nach ihrem eigenen Testprogramm, kritische Systeme mindestens einmal jährlich.

Question 11

Müssen wir Verträge mit Cloud- und Softwareanbietern ändern?

Accepted Answer

In den meisten Fällen ja. Die Verträge müssen die Inhalte nach Art. 30 DORA enthalten, und für Dienste, die kritische oder wichtige Funktionen unterstützen, gelten strengere Anforderungen, etwa Prüfungsrechte und Ausstiegsstrategien.

Question 12

Was kostet die Umsetzung von DORA?

Accepted Answer

Der Preis hängt von der Größe des Unternehmens, dem Umfang der Tätigkeiten und der bereits vorhandenen Dokumentation ab. Nach einer Erstberatung erstellen wir Ihnen ein maßgeschneidertes schriftliches Angebot. Schreiben Sie uns an info@stuchlikova.com und vereinbaren Sie eine Erstberatung.