Die Anforderungen aus dem Digital Operational Resilience Act (DORA) nehmen weiter Gestalt an und haben spürbare Auswirkungen auf die tägliche Arbeit von Finanzunternehmen und deren IKT-Drittdienstleistern. Neben dem Abschluss des ersten Einreichungsprozesses für Informationsregister wurde nun ein weiterer Meilenstein erreicht: die Veröffentlichung der Delegierten Verordnung zur Unterauftragsvergabe (RTS-SUB).

Der Einreichungsprozess für das Informationsregister mit dem Referenzdatum 31. März 2025 ist abgeschlossen. Seit dem 2. Juni 2025 akzeptieren die Systeme der European Banking Authority (EBA) keine weiteren Einreichungen mehr über das Fachverfahren „Digital Operational Resilience Act (DORA)“. Stattdessen erhalten Finanzunternehmen bei einer verspäteten Einreichung lediglich ein Fehlerprotokoll mit dem Hinweis auf das Ende des Abgabezeitraums. Für Tests steht jedoch weiterhin das Fachverfahren „TEST: Digital Operational Resilience Act (DORA)“ zur Verfügung. Damit können Finanzunternehmen ihre Informationsregister gemäß Art. 28 Abs. 3 DORA bereits im Vorfeld auf Plausibilität und Konformität prüfen und sich auf den Einreichungsprozess 2026 vorbereiten. Der jährliche Stichtag zur Einreichung bleibt der 31. März. Gleichzeitig weist die BaFin darauf hin, dass die Taxonomie für den Einreichungsprozess 2026 durch die ESAs noch angepasst werden könnte.

Ein weiterer Meilenstein folgte am 2. Juli 2025 mit der Veröffentlichung der Delegierten Verordnung zur Unterauftragsvergabe (RTS-SUB) im Amtsblatt der Europäischen Union. Die Verordnung konkretisiert die Anforderungen, die Finanzunternehmen bei der Untervergabe von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen berücksichtigen müssen. Mit der finalen Veröffentlichung besteht nun regulatorische Klarheit, sodass Finanzunternehmen wie auch IKT-Drittdienstleister ihre Verträge nun entsprechend finalisieren können. Die von der BaFin aktualisierte Übersicht zu den DORA-Mindestvertragsinhalten bietet dabei eine wertvolle Hilfestellung bei der praktischen Umsetzung der vertraglichen Anforderungen.

Mit dem Abschluss des Einreichungsprozesses für die Informationsregister und der Veröffentlichung der RTS-SUB schreitet die praktische Umsetzung von DORA weiter voran. Die aktualisierte BaFin-Übersicht zu den Mindestvertragsinhalten, das Testverfahren und diverse Anleitungen für den Einreichungsprozess der Informationsregister bieten dabei eine hilfreiche Orientierung für Finanzunternehmen.

Seit dem Startschuss am 27. Dezember 2022 sind über 2,5 Jahre bis zur letzten Veröffentlichung am 2. Juli 2025 vergangen. Nun sind alle Anforderungen veröffentlicht, sodass der vollständigen Umsetzung von DORA nichts mehr im Wege steht.