Der Rechtsakt, formal
Für ein Zitat in einer Richtlinie, einer Vorstandsvorlage oder einem Vertrag sind das die maßgeblichen Angaben. Der ELI-Link ist der stabile: er bricht nicht, wenn EUR-Lex seine Oberfläche ändert.
- Kurzname : DORA
- Formales Zitat : Regulation (EU) 2022/2554
- Amtsblatt : OJ L 333, 27.12.2022, p. 1
- CELEX-Nummer : 32022R2554
- Inkrafttreten : 16. Januar 2023
- Geltung ab : 17. Januar 2025
- Aufbau : 9 Kapitel, 64 Artikel, 106 Erwägungsgründe, kein Anhang
- Rechtsform : Verordnung, unmittelbar anwendbar, keine nationale Umsetzung
Den amtlichen Text abrufen
Beide Links führen zu EUR-Lex, dem Publikationsdienst des Amtsblatts. Die HTML-Fassung trägt stabile Sprungmarken, sodass jede Artikelnummer in der Übersicht unten direkt an die richtige Stelle führt. Das PDF ist der Satz des Amtsblatts, also die Fassung für eine Vorstandsvorlage oder eine Prüfungsakte.
Volltext auf EUR-Lex lesen · PDF herunterladen (Deutsch)
Diese Seite hostet keine Kopie. Eine Verordnung wird geändert, berichtigt und konsolidiert; eine auf einer fremden Website abgelegte PDF-Datei veraltet stillschweigend, und wer sie in einer Aufsichtsakte zitiert, trägt dieses Risiko. EUR-Lex veröffentlicht den authentischen Text.
Die 64 Artikel, Kapitel für Kapitel
Die Überschriften sind die amtlichen. Jede Artikelnummer führt in die deutsche Fassung des Textes auf EUR-Lex. Wo ein Artikel ein Mandat trägt, das die Kommission mit einem delegierten oder Durchführungsrechtsakt ausgefüllt hat, steht die Nummer dieses Rechtsakts dahinter.
Kapitel I · Allgemeine Bestimmungen
Kapitel II · IKT-Risikomanagement
- Art. 5 · Governance und Organisation
- Art. 6 · IKT-Risikomanagementrahmen
- Art. 7 · IKT-Systeme, -Protokolle und -Tools
- Art. 8 · Identifizierung
- Art. 9 · Schutz und Prävention
- Art. 10 · Erkennung
- Art. 11 · Reaktion und Wiederherstellung
- Art. 12 · Richtlinie und Verfahren zum Backup sowie Verfahren und Methoden zur Wiedergewinnung und Wiederherstellung
- Art. 13 · Lernprozesse und Weiterentwicklung
- Art. 14 · Kommunikation
- Art. 15 · Weitere Harmonisierung von Tools, Methoden, Prozessen und Richtlinien für IKT-Risikomanagement (Rechtsakt 2024/1774)
- Art. 16 · Vereinfachter IKT-Risikomanagementrahmen
Kapitel III · Behandlung, Klassifizierung und Berichterstattung IKT-bezogener Vorfälle
- Art. 17 · Prozess für die Behandlung IKT-bezogener Vorfälle
- Art. 18 · Klassifizierung von IKT-bezogenen Vorfällen und Cyberbedrohungen (Rechtsakt 2024/1772)
- Art. 19 · Meldung schwerwiegender IKT-bezogener Vorfälle und freiwillige Meldung erheblicher Cyberbedrohungen
- Art. 20 · Harmonisierung von Inhalt und Vorlagen von Meldungen (Rechtsakt 2025/301, 2025/302)
- Art. 21 · Zentralisierung der Berichterstattung über schwerwiegende IKT-bezogene Vorfälle
- Art. 22 · Rückmeldungen von Aufsichtsbehörden
- Art. 23 · Zahlungsbezogene Betriebs- oder Sicherheitsvorfälle, die Kreditinstitute, Zahlungsinstitute, Kontoinformationsdienstleister und E-Geld-Institute betreffen
Kapitel IV · Testen der digitalen operationalen Resilienz
- Art. 24 · Allgemeine Anforderungen für das Testen der digitalen operationalen Resilienz
- Art. 25 · Testen von IKT-Tools und -Systemen
- Art. 26 · Erweiterte Tests von IKT-Tools, -Systemen und -Prozessen auf Basis von TLPT (Rechtsakt 2025/1190)
- Art. 27 · Anforderungen an Tester bezüglich der Durchführung von TLPT
Kapitel V · Management des IKT-Drittparteienrisikos
- Art. 28 · Allgemeine Prinzipien (Rechtsakt 2024/1773, 2024/2956)
- Art. 29 · Vorläufige Bewertung des IKT-Konzentrationsrisikos auf Unternehmensebene
- Art. 30 · Wesentliche Vertragsbestimmungen (Rechtsakt 2025/532)
- Art. 31 · Einstufung kritischer IKT-Drittdienstleister (Rechtsakt 2024/1502)
- Art. 32 · Struktur des Überwachungsrahmens
- Art. 33 · Aufgaben der federführenden Überwachungsbehörde
- Art. 34 · Operative Zusammenarbeit zwischen den federführenden Überwachungsbehörden
- Art. 35 · Befugnisse der federführenden Überwachungsbehörde
- Art. 36 · Ausübung der Befugnisse der federführenden Überwachungsbehörde außerhalb der Union
- Art. 37 · Auskunftsersuchen
- Art. 38 · Allgemeine Untersuchungen
- Art. 39 · Inspektionen
- Art. 40 · Laufende Überwachung
- Art. 41 · Harmonisierung der Voraussetzungen für die Durchführung der Überwachungstätigkeiten (Rechtsakt 2025/295, 2025/420)
- Art. 42 · Folgemaßnahmen zuständiger Behörden
- Art. 43 · Überwachungsgebühren (Rechtsakt 2024/1505)
- Art. 44 · Internationale Zusammenarbeit
Kapitel VI · Vereinbarungen über den Austausch von Informationen
- Art. 45 · Vereinbarungen über den Austausch von Informationen und Erkenntnissen zu Cyberbedrohungen
Kapitel VII · Zuständige Behörden
- Art. 46 · Zuständige Behörden
- Art. 47 · Zusammenarbeit mit den durch die Richtlinie (EU) 2022/2555 geschaffenen Strukturen und Behörden
- Art. 48 · Zusammenarbeit der Behörden
- Art. 49 · Sektorübergreifende Übungen, Kommunikation und Zusammenarbeit im Finanzbereich
- Art. 50 · Verwaltungsrechtliche Sanktionen und Abhilfemaßnahmen
- Art. 51 · Ausübung der Befugnis zur Auferlegung von verwaltungsrechtlichen Sanktionen und Abhilfemaßnahmen
- Art. 52 · Strafrechtliche Sanktionen
- Art. 53 · Mitteilungspflichten
- Art. 54 · Öffentliche Bekanntmachung verwaltungsrechtlicher Sanktionen
- Art. 55 · Wahrung des Berufsgeheimnisses
- Art. 56 · Datenschutz
Kapitel VIII · Delegierte Rechtsakte
- Art. 57 · Ausübung der Befugnisübertragung
Kapitel IX · Übergangs- und Schlussbestimmungen
- Art. 58 · Überprüfungsklausel
- Art. 59 · Änderungen der Verordnung (EG) Nr. 1060/2009
- Art. 60 · Änderungen der Verordnung (EU) Nr. 648/2012
- Art. 61 · Änderungen der Verordnung (EU) Nr. 909/2014
- Art. 62 · Änderungen der Verordnung (EU) Nr. 600/2014
- Art. 63 · Änderungen der Verordnung (EU) 2016/1011
- Art. 64 · Inkrafttreten und Anwendung
Die delegierten Rechtsakte und Durchführungsrechtsakte
DORA selbst legt die Pflichten fest; die Einzelheiten stehen in den Rechtsakten der Stufe 2, die die Kommission auf die in den Artikeln verankerten Mandate hin erlässt. Alle sind inzwischen erlassen. Entscheidend für die Praxis ist die Spalte mit dem Mandat: sie sagt, welchen Artikel Sie tatsächlich erfüllen, wenn Sie einen technischen Standard umsetzen.
Die Daten, die wirklich im Text stehen
Drei Daten stammen aus der Verordnung selbst. Alles andere, was als „DORA-Frist“ zirkuliert, kommt aus einem Rechtsakt der Stufe 2, aus dem Kalender einer zuständigen Behörde oder aus keiner Quelle.
- Inkrafttreten : 16. Januar 2023 (Art. 64)
- Geltung ab : 17. Januar 2025 (Art. 64)
- 17/01/2028 : Art. 58
Der 17. Januar 2028 ist eine Überprüfungsklausel, keine Compliance-Frist. Artikel 58 verpflichtet die Kommission, bis dahin eine Überprüfung vorzunehmen und dem Europäischen Parlament und dem Rat zu berichten. Für ein Finanzunternehmen verschiebt das keine Pflicht.
Was DORA in der Praxis verlangt →
Häufige Fragen
Wo kann ich die DORA-Verordnung als PDF herunterladen?
Auf EUR-Lex, das den Satz des Amtsblatts für jede der 24 Amtssprachen veröffentlicht. Die deutsche Fassung liegt unter eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX:32022R2554, der stabile Einstieg für jede Sprache ist die ELI-Adresse eur-lex.europa.eu/eli/reg/2022/2554/oj. Von Kopien auf anderen Websites ist abzuraten: eine Verordnung wird konsolidiert, und ein Schnappschuss veraltet, ohne es zu sagen.
Ist DORA eine Verordnung oder eine Richtlinie?
Eine Verordnung. Artikel 64 sagt, dass sie in allen Teilen verbindlich ist und unmittelbar in jedem Mitgliedstaat gilt, es gibt also kein nationales Umsetzungsgesetz zu suchen. Nationales Recht greift an einer Stelle ein: Artikel 50 überlässt die verwaltungsrechtlichen Sanktionen den Mitgliedstaaten.
Wie viele Artikel hat DORA?
64 Artikel in neun Kapiteln, mit 106 Erwägungsgründen und ohne Anhang. Kapitel II behandelt das IKT-Risikomanagement (Artikel 5 bis 16), Kapitel III die Behandlung und Meldung von Vorfällen (17 bis 23), Kapitel IV das Testen der digitalen operationalen Resilienz (24 bis 27), Kapitel V das IKT-Drittparteienrisiko und den Überwachungsrahmen (28 bis 44) und Kapitel VI den Informationsaustausch (45).
Welche Sprachfassung ist maßgeblich?
Alle 24 Sprachfassungen sind gleichermaßen verbindlich; keine ist rechtlich die Übersetzung einer anderen. In der Praxis arbeiten Sie für interne Unterlagen und Verträge mit der Fassung Ihrer Arbeitssprache, weil die zuständigen Behörden diese Terminologie verwenden, und gleichen dort ab, wo ein Begriff Folgen hat.
Diese Seite ist eine fachliche Hilfestellung, keine Rechtsberatung. · English version