DORA: juristische und Compliance-Arbeitspakete – und was FINMA in der Schweiz verlangt

Kurzantwort: Für Legal und Compliance entstehen aus DORA (Verordnung (EU) 2022/2554), die seit dem 17. Januar 2025 für Finanzunternehmen in der EU gilt, vier wiederkehrende Arbeitspakete: das Informationsregister über alle Verträge mit IKT-Drittdienstleistern führen und jährlich einreichen (Art. 28 Abs. 3), IKT-Verträge auf die Mindestinhalte nach Art. 30 bringen, das dreistufige Meldewesen für schwerwiegende IKT-Vorfälle betreiben (Art. 19) und die Governance dokumentieren. Schweizer Banken unterstehen nicht DORA, sondern dem FINMA-Rundschreiben 2023/1, dessen Übergangsfristen am 1. Januar 2026 endeten.

Dieser Ratgeber richtet sich an Heads of Legal, Heads of Compliance und DORA-Projektleitungen in Banken, Versicherern, Vermögensverwaltern und Zahlungsinstituten in Deutschland und der Schweiz. Er zeigt, welche juristischen Aufgaben hinter dem DORA-Informationsregister, den Vertragsanforderungen und den Vorfallmeldungen stecken und welche Kapazität dafür nötig ist.

DORA in fünf Themenbereichen

Die BaFin gliedert DORA in fünf Themenbereiche. Legal und Compliance sind in jedem davon gefordert, am stärksten beim Drittparteienrisiko und beim Informationsregister.

• IKT-Risikomanagement und IKT-Drittparteienrisikomanagement: Rahmenwerk, Richtlinien, Verträge. Die letztendliche Verantwortung für das IKT-Risiko liegt beim Leitungsorgan (Art. 5 Abs. 2 lit. a DORA).
• Überwachung kritischer IKT-Drittdienstleister: Am 18. November 2025 haben die europäischen Aufsichtsbehörden (ESAs) 19 kritische IKT-Drittdienstleister benannt, die unter direkter EU-Überwachung stehen (Art. 31).
• Informationsaustausch, Krisenübungen und Tests: Testprogramme, bei reifen Instituten bedrohungsorientierte Penetrationstests (TLPT), an denen Dienstleister mitwirken sollen.
• IKT-bezogene Vorfälle: Klassifizierung und Meldung schwerwiegender Vorfälle.
• Informationsregister und Anzeigepflichten: vollständige Übersicht aller IKT-Drittdienstleisterverträge.

DORA-Informationsregister: Inhalt, Stichtag und Einreichung

Das DORA-Informationsregister erfasst alle vertraglichen Vereinbarungen eines Finanzunternehmens mit IKT-Drittdienstleistern und wird bei der zuständigen Behörde eingereicht (Art. 28 Abs. 3 DORA). In Deutschland ist das die BaFin.

Die bisherigen Einreichungen bei der BaFin

• 2025: Stichtag 31. März 2025, Einreichung bis 28. April 2025 (ursprünglich war der 11. April 2025 vorgesehen).
• 2026: Stichtag 31. Dezember 2025. Test-Einreichungen ab 4. Februar 2026, formelle Einreichung über das MVP-Portal vom 9. bis 30. März 2026, Fehlerkorrekturen bis 24. April 2026. Formate: Excel/xlsm oder xBRL-CSV.
• 2027 und folgende Jahre: Das Register gibt jeweils den Stand vom 31. Dezember des Vorjahres wieder und ist bis spätestens 31. März fehlerfrei einzureichen. Ab wann die BaFin Register entgegennimmt, gibt sie zu Beginn jedes Jahres auf ihrer Website bekannt. Für den Zyklus 2027 sind keine Taxonomie-Änderungen vorgesehen.

Die juristische Arbeit liegt vor allem in der Datenerhebung aus Verträgen: Welche Leistung wird bezogen, wo werden Daten verarbeitet, welche Kündigungs-, Zugangs- und Prüfrechte bestehen, welche Funktion unterstützt der Vertrag? Bei vielen Altverträgen fehlen diese Angaben oder sind verstreut. Das macht die erste Befüllung zu einem klassischen Vertragsreview-Projekt, ähnlich einem Contract-Review-Backlog.

Vertragsanforderungen an IKT-Drittdienstleister nach Art. 30

Verträge über IKT-Dienstleistungen müssen nach Art. 30 Abs. 2 DORA Mindestinhalte haben, darunter eine vollständige Leistungsbeschreibung mit den Bedingungen für Unteraufträge, die Standorte der Leistungserbringung und Datenverarbeitung, Regeln zu Datenschutz und Datenzugang bei Insolvenz oder Vertragsende, Unterstützung bei IKT-Vorfällen, die Zusammenarbeit mit den Behörden sowie Kündigungsrechte mit Mindestkündigungsfristen. Für Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, kommen nach Art. 30 Abs. 3 unter anderem präzise Leistungsziele, Notfallpläne, die Mitwirkung an TLPT, uneingeschränkte Zugangs-, Inspektions- und Auditrechte und Ausstiegsstrategien mit Übergangszeitraum hinzu.

So läuft eine Vertragsremediation typischerweise ab

1. Inventar abgleichen: Vertragsbestand mit dem Informationsregister und der Einkaufsdatenbank abstimmen.
2. Funktionen einstufen: markieren, welche Verträge kritische oder wichtige Funktionen unterstützen.
3. Lückenanalyse: jeden Vertrag gegen eine Art.-30-Checkliste prüfen und Lücken je Klausel erfassen.
4. Verhandlungsleitfaden: Musterklauseln, Rückfallpositionen und Eskalationswege festlegen.
5. Nachträge verhandeln: priorisiert nach Kritikalität, grosse Anbieter mit eigenen DORA-Addenda zuerst klären.
6. Register aktualisieren: Ergebnisse zurück ins Informationsregister schreiben und den Stand dokumentieren.

Vorfallmeldungen: Fristen und die Rolle von Legal

Schwerwiegende IKT-Vorfälle werden der BaFin in drei Stufen über das MVP-Portal gemeldet: Erstmeldung innerhalb von 4 Stunden nach der Klassifizierung, spätestens 24 Stunden nach Kenntnis; Zwischenbericht innerhalb von 72 Stunden nach der Erstmeldung; Abschlussbericht spätestens einen Monat nach dem letzten Zwischenbericht (Art. 19 DORA; Art. 5 Abs. 1 Delegierte VO (EU) 2025/301).

Legal und Compliance übernehmen dabei drei Aufgaben. Sie definieren die Klassifizierungskriterien im Meldeprozess, prüfen parallele Pflichten und stimmen die Kommunikation ab. Betrifft ein Vorfall personenbezogene Daten, läuft zusätzlich die 72-Stunden-Frist zur Meldung an die Datenschutzaufsicht (Art. 33 DSGVO). In der Schweiz meldet der Verantwortliche dem EDÖB „so rasch als möglich“, wenn ein hohes Risiko droht (Art. 24 DSG).

Schweiz: FINMA-Rundschreiben 2023/1 und Meldepflichten

Für Schweizer Banken gilt statt DORA das FINMA-Rundschreiben 2023/1 „Operationelle Risiken und Resilienz – Banken“. Es ist seit dem 1. Januar 2024 in Kraft, ersetzt das RS 2008/21, und seit Ablauf der Übergangsfristen am 1. Januar 2026 ist es vollständig umzusetzen. Die Details beschreibt unser Ratgeber zum FINMA-Rundschreiben 2023/1.

• Cyber-Meldungen an die FINMA: Wesentliche Cyberangriffe auf kritische Funktionen sind nach der Aufsichtsmitteilung 05/2020 zu melden (Art. 29 Abs. 2 FINMAG): Erstmeldung innerhalb von 24 Stunden, vollständige Meldung innerhalb von 72 Stunden. Die Aufsichtsmitteilung 03/2024 präzisiert die Meldepflicht und regelt szenariobasierte Cyberübungen.
• Drittparteien im Fokus: Laut FINMA-Risikomonitor 2025 betraf fast die Hälfte der gemeldeten Cybervorfälle Dritte. Die FINMA fordert robustere Kontrollen bei kritischen Auslagerungen.
• Gruppen mit EU-Gesellschaften: EU-Gesellschaften einer Schweizer Gruppe, die als Finanzunternehmen nach Art. 2 DORA gelten, wenden DORA selbst an. Das Informationsregister führen sie auf Unternehmensebene sowie auf teilkonsolidierter und konsolidierter Ebene (Art. 28 Abs. 3 DORA); für die Schweizer Gesellschaften gelten weiter die FINMA-Vorgaben. Wie Register, Verträge und Zuständigkeiten gruppenweit abgestimmt werden, ist im Einzelfall festzulegen.

Arbeitspakete und Kapazität

Ein DORA-Programm bindet Legal und Compliance vor allem in Spitzen: bei der Registerbefüllung vor dem Einreichungsfenster und bei der Vertragsremediation. Die Tabelle ordnet die Arbeitspakete Rollen und Fristen zu.

Alpinum Solutions stellt für solche Programme Projektjuristen, Compliance Officers und Regulatory Counsel über Staff Leasing oder Freelancing bereit, in Teilzeit oder Vollzeit, einzeln oder als Team. Im Staff Leasing steuert das Institut die Arbeit fachlich, im Freelancing arbeitet die Fachkraft eigenverantwortlich im Rahmen des Mandats. Ausgewählte Profile liegen in der Regel innerhalb von 48 Stunden vor; den Einsatzbeginn stimmen Unternehmen und Alpinum gemeinsam ab. Wie Sie ein solches Team aufstellen, zeigt der Ratgeber Taskforce für Legal- und Compliance-Projekte.

Grenzen und Risiken

Die Verantwortung für das IKT-Risiko und für fristgerechte Meldungen bleibt beim Finanzunternehmen und seinem Leitungsorgan. Temporäre Fachkräfte bereiten vor, prüfen und verhandeln im Auftrag des Instituts. Für Auslegungsfragen, etwa ob eine Dienstleistung eine kritische oder wichtige Funktion unterstützt, entscheidet das Institut, bei Bedarf mit externer Rechtsberatung. Alpinum ist keine Kanzlei. Zugriffsrechte und Vertraulichkeit sind vor dem Start zu regeln.

Häufige Fragen zu DORA

Gilt DORA für Schweizer Banken?

Nicht direkt. DORA gilt für Finanzunternehmen in der EU. Schweizer Banken unterstehen dem FINMA-Rundschreiben 2023/1 zur operationellen Resilienz, das seit dem 1. Januar 2026 voll umzusetzen ist. Hat eine Schweizer Gruppe Finanzunternehmen in der EU, gilt DORA für diese Gesellschaften. Schweizer IKT-Dienstleister von EU-Instituten spüren DORA über die Vertragsanforderungen ihrer Kunden.

Wann ist das Informationsregister einzureichen?

Das Register wird jährlich bei der zuständigen Behörde eingereicht. In Deutschland lief die Einreichung 2026 mit Stichtag 31. Dezember 2025 vom 9. bis 30. März 2026 über das MVP-Portal, Korrekturen waren bis 24. April 2026 möglich. Grundsätzlich gilt: Stichtag ist der 31. Dezember des Vorjahres, Einreichung bis spätestens 31. März; den Beginn des Einreichungsfensters gibt die BaFin zu Jahresbeginn bekannt.

Was ist ein kritischer IKT-Drittdienstleister?

Kritische IKT-Drittdienstleister sind Anbieter, die die europäischen Aufsichtsbehörden nach Art. 31 DORA benennen und direkt überwachen. Am 18. November 2025 wurden 19 solcher Anbieter benannt. Für das einzelne Institut ändert das die eigenen Pflichten nicht: Verträge, Register und Ausstiegsstrategien bleiben seine Aufgabe.

Wie verhält sich die DORA-Meldung zur Datenschutzmeldung?

Beide Pflichten bestehen nebeneinander. Ein schwerwiegender IKT-Vorfall wird der BaFin nach Art. 19 DORA gemeldet. Sind personenbezogene Daten betroffen, ist zusätzlich die Datenschutzaufsicht innerhalb von 72 Stunden zu informieren (Art. 33 DSGVO). Ein gemeinsamer Meldeprozess mit klaren Zuständigkeiten verhindert, dass eine der Fristen übersehen wird.

Können Interim-Fachkräfte die Vertragsremediation übernehmen?

Ja. Lückenanalyse, Entwürfe für Nachträge und Verhandlungen mit Anbietern sind typische Aufgaben für Projektjuristen und Senior Legal Counsel, die temporär ins Team kommen. Das Institut legt Prioritäten, Musterklauseln und Freigabewege fest. So bleibt die Verantwortung beim Institut, während der Durchsatz steigt.

Nächster Schritt

Nennen Sie uns Vertragsvolumen, Fristen und Sprachen Ihres DORA-Programms. Wir zeigen Ihnen passende Profile oder ein Team-Setup.

• Regulatory Compliance und Regulatory Change
• FINMA-Rundschreiben 2023/1 umsetzen
• Regulatorik-Kalender Legal & Compliance
• Bedarf besprechen

Stand: 30. Oktober 2026.