DORA-Compliance in Spanien für Finanzunternehmen

Erfüllen Sie die DORA-Verordnung (Digital Operational Resilience Act) mit spezialisierter Beratung: Gap-Analyse, IKT-Risikomanagement, Anforderungen an IKT-Drittdienstleister, Resilienztests und Meldung von Vorfällen für Finanzunternehmen, die der Verordnung (EU) 2022/2554 unterliegen.

Kontakt aufnehmen

Kostenlose Beratung zu DORA

Wir antworten Ihnen innerhalb von 24 Std.

Erstmeldung
4 Stunden
Zwischenmeldung
72 Stunden
Abschlussmeldung
1 Monat
DORA-Verordnung
VO 2022/2554
Die fünf Säulen

DORA in der Praxis: fünf konkrete Pflichten

IKT-Risikomanagement, Meldung von Vorfällen, Resilienztests, Drittdienstleister und Informationsaustausch: Jede Säule hat eigene Fristen, Rollen und geforderte Nachweise.

Finanzunternehmen

DORA-Gap-Analyse

„Wir bewerten den aktuellen Umsetzungsstand gegenüber den Anforderungen der DORA-Verordnung und ermitteln die vorrangigen Lücken für Ihren Umsetzungsplan.“

IKT-Risikomanagement

IKT-Risikomanagementrahmen

„Wir konzipieren und implementieren den von DORA geforderten IKT-Risikomanagementrahmen: Leitlinien, Kontrollen, Rollen und Verfahren, vom Leitungsorgan genehmigt.“

Drittdienstleister

Management kritischer IKT-Dienstleister

„Wir prüfen Verträge mit IKT-Dienstleistern, ermitteln die kritischen, passen die Klauseln an die DORA-Anforderungen an und richten das vorgeschriebene Informationsregister ein.“

Vorfälle und Resilienz

Meldung von Vorfällen und TLPT

„Wir führen die Verfahren zur Klassifizierung und Meldung von IKT-Vorfällen ein und koordinieren die TLPT, die DORA für bedeutende Unternehmen vorschreibt.“

Warum es wichtig ist

Warum ist die Erfüllung von DORA dringend?

DORA gilt seit Januar 2025. Unternehmen, die mit der Umsetzung noch nicht begonnen haben, riskieren Verwaltungssanktionen, eine Haftung der Geschäftsleitung und Reputationsschäden gegenüber der Aufsicht.

Gesetzliche Pflicht seit Januar 2025: Die DORA-Verordnung gilt unmittelbar in der gesamten EU. Unternehmen, die sie nicht erfüllen, riskieren erhebliche Verwaltungssanktionen und die aktive Aufsicht durch die Banco de España, die CNMV oder die DGSFP.

Weiter Anwendungsbereich: DORA betrifft Banken, Versicherungsunternehmen, Fondsverwaltungsgesellschaften, Wertpapierfirmen, Zahlungsinstitute, Anbieter von Kryptowerte-Dienstleistungen (MiCA) und ihre kritischen IKT-Drittdienstleister (CTPPs).

Risiken in der IKT-Lieferkette: Eine Sicherheitslücke bei einem Cloud- oder Softwareanbieter kann Vorfälle auslösen, die das Finanzunternehmen innerhalb sehr strenger Fristen melden muss (4 Stunden ab der Klassifizierung).

Direkte Verantwortung Geschäftsleitung

DORA weist dem Leitungsorgan die Verantwortung zu, den IKT-Risikomanagementrahmen zu genehmigen, zu überwachen und zu überprüfen. Unkenntnis schützt nicht vor Verantwortung.

Sanktionen Bis zu 2 % des Umsatzes

Sehr schwerwiegende Verstöße können mit Sanktionen von bis zu 2 % des gesamten Jahresumsatzes geahndet werden, zusätzlich zu einem Tätigkeitsverbot für die verantwortlichen Führungskräfte.

Vorfall ohne Prozess Automatischer Verstoß

Wird ein schwerwiegender IKT-Vorfall nicht fristgerecht gemeldet, ist das an sich bereits ein Verstoß gegen die DORA-Verordnung, der unmittelbar mit einer Verwaltungssanktion geahndet werden kann.

Ist Ihr Unternehmen bereit für DORA?

Eine erste Gap-Analyse zeigt in wenigen Wochen die vorrangigen Lücken, das anwendbare Verhältnismäßigkeitsregime und den effizientesten Umsetzungsplan für Ihr Unternehmen.

Fintech-Regulierung ansehen
Häufige Fragen

DORA: häufige Fragen

Was ist die DORA-Verordnung?

Die DORA-Verordnung (Digital Operational Resilience Act), Verordnung (EU) 2022/2554, ist die europäische Vorschrift, die die Anforderungen an die digitale operationale Resilienz von Finanzunternehmen festlegt. Sie gilt seit dem 17. Januar 2025 und ist in allen Mitgliedstaaten unmittelbar anwendbar, ohne dass sie umgesetzt werden muss.

Ihr Ziel ist es, dass Finanzunternehmen allen Arten von IKT-bezogenen Störungen und Vorfällen vorbeugen, darauf reagieren und sich davon erholen können. Es handelt sich nicht um eine Empfehlung, sondern um eine gesetzliche Pflicht mit Sanktionsregime.

Für welche Unternehmen gilt DORA?

Der Anwendungsbereich von DORA ist sehr weit. Erfasst sind Kreditinstitute, Wertpapierfirmen, Zahlungs- und E-Geld-Institute, Fondsverwaltungsgesellschaften (SGIIC, AIFM), Versicherungs- und Rückversicherungsunternehmen, Pensionsfonds, Anbieter von Kryptowerte-Dienstleistungen (CASP nach MiCA), Crowdfunding-Plattformen und ihre kritischen IKT-Drittdienstleister (CTPPs).

Wenn Ihr Unternehmen im Finanzsektor der EU tätig ist, unterliegt es sehr wahrscheinlich DORA. Der erste Schritt ist, den Umfang der Anwendung und das Verhältnismäßigkeitsregime zu bestimmen.

Was sind die fünf Säulen von DORA?

Die DORA-Leistungen gliedern sich nach den fünf Säulen der Verordnung, die die verpflichtenden Compliance-Bereiche bilden:

  • IKT-Risikomanagement: Rahmen, Leitlinien, Klassifizierung der Assets und Sicherheitskontrollen.
  • Management, Klassifizierung und Meldung schwerwiegender IKT-Vorfälle an die Aufsichtsbehörden.
  • Tests der digitalen operationalen Resilienz: jährliche Basistests und TLPT für bedeutende Unternehmen.
  • Management des IKT-Drittparteienrisikos: Verträge, Register, Due Diligence und CTPPs.
  • Austausch von Informationen und Erkenntnissen über Cyberbedrohungen zwischen Finanzunternehmen.
Was verlangt DORA beim IKT-Risikomanagement?

Artikel 6 DORA verlangt einen dokumentierten IKT-Risikomanagementrahmen, der vom Leitungsorgan genehmigt und mindestens jährlich überprüft wird. Er muss Identifizierung, Schutz, Erkennung, Reaktion und Wiederherstellung bei IKT-Risiken abdecken.

  • Inventar und Klassifizierung der IKT-Assets nach ihrer Kritikalität für das Geschäft.
  • Leitlinie zur Informationssicherheit und Zugriffskontrolle.
  • IKT-Business-Continuity-Plan und Notfallwiederherstellungsplan (DRP).
  • Verfahren für Change-, Patch- und Schwachstellenmanagement.

Die Geschäftsleitung kann die Verantwortung nicht delegieren: DORA verlangt, dass das Leitungsorgan diesen Rahmen selbst genehmigt und überwacht.

Was sind CTPPs und warum sind sie wichtig?

Kritische IKT-Drittdienstleister (CTPPs) werden von den Europäischen Aufsichtsbehörden (EBA, ESMA, EIOPA) aufgrund ihrer systemischen Bedeutung benannt. Sie unterliegen einer direkten Überwachung auf europäischer Ebene.

Die großen Cloud-Anbieter (Microsoft Azure, Amazon AWS, Google Cloud) gehören zu den naheliegenden Kandidaten. Unternehmen, die sie für kritische Funktionen nutzen, müssen ihre Verträge anpassen, an Inspektionen mitwirken und dokumentierte Ausstiegspläne haben.

Verträge mit IKT-Dienstleistern, die kritische Funktionen unterstützen, müssen Pflichtklauseln enthalten: Leistungsbeschreibung, SLA, Prüfungsrechte, Datenportabilität und Ausstiegsplan.

Welche Fristen gelten für die Meldung von IKT-Vorfällen?

DORA schafft ein harmonisiertes Meldesystem für schwerwiegende IKT-Vorfälle mit sehr strengen Fristen:

  • 4 Stunden ab der Einstufung des Vorfalls als schwerwiegend: Erstmeldung an die Aufsicht.
  • 72 Stunden: Zwischenmeldung mit aktualisierten Informationen zum Vorfall.
  • 1 Monat: Abschlussmeldung mit Analyse der Ursachen, der Auswirkungen und der ergriffenen Maßnahmen.

Eine nicht fristgerechte Meldung ist an sich bereits ein sanktionierbarer Verstoß gegen die DORA-Verordnung. Die einzige echte Absicherung ist ein Prozess, der vor dem Vorfall eingeführt wurde.

Wie lange dauert die Umsetzung von DORA?

Die Dauer hängt von der Größe des Unternehmens, seiner Reife in der Cybersicherheit und dem Umfang der festgestellten Lücken ab:

  • Kleine oder mittlere Unternehmen mit grundlegendem Reifegrad: 6 bis 12 Monate für eine vollständige Umsetzung.
  • Bedeutende Unternehmen oder solche mit komplexer Infrastruktur: Das Projekt kann länger dauern, vor allem bei TLPT und der Vertragsanpassung mit kritischen Dienstleistern.

Da DORA seit Januar 2025 gilt, müssen Unternehmen, die noch nicht begonnen haben, dringend handeln, um ihr regulatorisches Risiko und ihr Reputationsrisiko zu verringern.

Was ist der Unterschied zwischen DORA und NIS2?

DORA und NIS2 bestehen nebeneinander, aber DORA hat als Lex specialis für Finanzunternehmen beim IKT-Risikomanagement Vorrang. Ein Finanzunternehmen, das DORA erfüllt, gilt als konform mit den entsprechenden Anforderungen von NIS2.

Anders als NIS2, das einen breiteren sektoralen Anwendungsbereich hat, ist DORA ausschließlich auf den Finanzsektor zugeschnitten und enthält deutlich detailliertere Anforderungen: strengere Meldefristen, spezifische TLPT und ein Aufsichtsregime für Drittdienstleister, für das es in NIS2 keine Entsprechung gibt.

Praxisleitfaden

Praxisleitfaden: DORA-Verordnung

DORA ist nicht nur ein IT-Projekt: Die Verordnung hat rechtliche, vertragliche, Governance- und Compliance-Dimensionen, die die aktive Mitwirkung von Rechtsabteilung, Compliance und Geschäftsleitung erfordern, nicht nur des Technikteams.

IKT-Rahmen

Der erste Fehler: DORA als IT-Projekt behandeln

DORA verlangt die Genehmigung und aktive Überwachung durch das Leitungsorgan. Ohne die Einbindung von Rechtsabteilung, Compliance und Geschäftsleitung fehlt dem IKT-Risikomanagementrahmen von Anfang an der Rückhalt der Unternehmensführung, den die Verordnung verlangt.

Verträge

Die Vertragsarbeit: komplexer, als es scheint

Alle Verträge mit IKT-Dienstleistern an die DORA-Anforderungen anzupassen, zumal bei Dutzenden aktiver Dienstleister, ist eine umfangreiche Aufgabe, die über Monate die Abstimmung zwischen Rechtsabteilung, Einkauf und IT erfordert.

Nachweise

Den Prozess zu dokumentieren ist so wichtig wie die Erfüllung selbst

DORA verlangt nicht nur die Erfüllung, sondern auch, dass Sie sie der Aufsicht jederzeit nachweisen können. Die lückenlose Dokumentation jeder Entscheidung, jeder Leitlinie und jedes durchgeführten Tests ist unerlässlich.

DORA-Umsetzungsplan in 6 Schritten

  1. Gap-Analyse: den aktuellen Umsetzungsstand gegenüber den fünf Säulen von DORA bewerten, vorrangige Lücken ermitteln und das anwendbare Verhältnismäßigkeitsregime bestimmen.
  2. IKT-Risikomanagementrahmen: den Rahmen nach Artikel 6 DORA konzipieren und genehmigen, einschließlich Asset-Inventar, Sicherheitsleitlinien, Kontrollen und Business-Continuity-Plan.
  3. Meldeprozess für Vorfälle: den Prozess zur Klassifizierung, Behandlung und Meldung an die Banco de España, die CNMV oder die DGSFP innerhalb der DORA-Fristen (4 Std. / 72 Std. / 1 Monat) konzipieren und einführen.
  4. Verträge mit IKT-Dienstleistern: Verträge prüfen und neu verhandeln, um die DORA-Pflichtklauseln aufzunehmen, das Vertragsregister anlegen und die kritischen Dienstleister (CTPPs) einstufen.
  5. Resilienztests: jährliche Basistests durchführen und bei bedeutenden Unternehmen die TLPT nach dem TIBER-EU-Rahmen koordinieren.
  6. Dokumentation und Schulung: den gesamten Prozess dokumentieren, um die Erfüllung gegenüber der Aufsicht nachzuweisen, und Leitungsorgan sowie Schlüsselteams schulen.

Wenn Sie die DORA-Umsetzung in Ihrem Unternehmen starten möchten, sehen Sie sich unsere Leistungen zur Fintech-Regulierung oder unseren Bereich umfassende Fintech-Compliance an.

DORA im Betrieb

Von der Pflicht zum System: wie DORA in der Praxis umgesetzt wird

Die DORA-Verordnung erfüllt man nicht mit einem Dokument: Sie verlangt lebendige Prozesse (IKT-Risikomanagement, Meldung von Vorfällen, Drittdienstleister und Resilienztests), die gegenüber der Aufsicht lückenlos nachgewiesen werden.

DORA-IKT-Risikomanagementrahmen1) IKT-Risiken

IKT-Risikorahmen: der am häufigsten improvisierte Teil

Ohne einen dokumentierten Rahmen, der vom Leitungsorgan genehmigt und jährlich überprüft wird, fehlt der übrigen DORA-Compliance die Grundlage. Diesen Baustein prüft die Aufsicht zuerst.

  • Inventar und Klassifizierung der Assets
  • Sicherheitsleitlinien und Zugriffskontrolle
  • Kontinuitäts- und Wiederherstellungsplan (DRP)
Meldung von IKT-Vorfällen nach DORA an Banco de España und CNMV2) Vorfälle

Meldung von Vorfällen: Die Uhr läuft ab der Klassifizierung

4 Stunden für die Erstmeldung, 72 Stunden für die Zwischenmeldung, 1 Monat für die Abschlussmeldung. Ohne eingeführten Prozess ist jeder schwerwiegende Vorfall zugleich ein Verstoß gegen DORA.

  • Dokumentierter Klassifizierungsprozess
  • Meldekanal zur Aufsicht
  • Vorfallregister mit lückenloser Nachverfolgbarkeit
IKT-Drittdienstleister, CTPPs und Verträge nach DORA3) IKT-Drittdienstleister

Drittdienstleister: die Vertragsarbeit, die am meisten verzögert

Verträge mit allen IKT-Dienstleistern anzupassen, CTPPs zu identifizieren und die Due Diligence zu dokumentieren, ist der Block, der am meisten Zeit kostet und zu Beginn am häufigsten unterschätzt wird.

  • DORA-Pflichtklauseln in Verträgen
  • Aktuelles Register der IKT-Dienstleister
  • Dokumentierter Ausstiegsplan je Dienstleister
DORA-Resilienztests, TLPT und TIBER-EU4) Tests

Resilienztests: Basistests und TLPT

Alle Unternehmen müssen jährliche Basistests durchführen. Bedeutende Unternehmen müssen TLPT mit zertifizierten Anbietern nach dem TIBER-EU-Rahmen koordinieren, mindestens alle drei Jahre.

Tipp: Für die Aufsicht ist der Plan zur Behebung der bei den Tests festgestellten Mängel ebenso wichtig wie die Tests selbst.
DORA-Verhältnismäßigkeit für Finanzunternehmen in SpanienSchnelle Entscheidung

DORA-Verhältnismäßigkeit: Was gilt für Ihr Unternehmen?

Kleine Unternehmen

Vereinfachtes Regime: grundlegender IKT-Rahmen, Basistests. Keine TLPT-Pflicht. Dokumentierte Verhältnismäßigkeitsanalyse.

Mittlere Unternehmen

Vollständiger IKT-Rahmen, Vorfallprozess, Verträge mit DORA-Klauseln und jährliche Basistests mit Behebungsplan.

Bedeutende Unternehmen

Vollständiger IKT-Rahmen + TLPT alle drei Jahre + Überwachung der CTPPs + Mitwirkung an Inspektionen der europäischen Aufsicht.

DORA-Playbook

DORA in der Praxis

DORA-Säule
Was erwartet wird
Typische Nachweise

IKT-Risikomanagement

Dokumentierter, vom Leitungsorgan genehmigter Rahmen mit Asset-Inventar, Sicherheitsleitlinien und jährlich überprüftem IKT-Kontinuitätsplan.

Genehmigte IKT-Risikoleitlinie, Asset-Inventar, Protokolle des Leitungsorgans und Änderungsregister.

Meldung von Vorfällen

Prozess zur Klassifizierung, Behandlung und Meldung an Banco de España / CNMV / DGSFP innerhalb der DORA-Fristen (4 Std., 72 Std., 1 Monat).

Meldeverfahren, Vorfallregister, an die Aufsicht übermittelte Meldungen und Behebungsplan.

Resilienztests

Jährliche Basistests für alle Unternehmen; TLPT alle drei Jahre für bedeutende Unternehmen nach TIBER-EU.

Testberichte, Plan zur Behebung von Mängeln und bei TLPT die Zertifizierung des Anbieters und die Validierung durch die Aufsicht.

IKT-Drittdienstleister

Leitlinie zum Drittparteienrisiko, Vertragsregister, DORA-Pflichtklauseln und Due Diligence der CTPPs.

Register der IKT-Dienstleister, angepasste Verträge, Due-Diligence-Berichte und dokumentierte Ausstiegspläne.

Governance und Schulung

Das Leitungsorgan ist unmittelbar für den IKT-Rahmen verantwortlich, mit spezifischer DORA-Schulung und regelmäßigem Reporting zum Stand der operationalen Resilienz.

Genehmigungsprotokolle, Schulungsprogramm, Teilnahmenachweise und Reporting der Resilienz-KPIs an das Leitungsorgan.

Häufige Fehler in DORA-Umsetzungsprojekten

Erkennen Sie sie vor Projektbeginn, um Nacharbeit und aufsichtliche Risiken zu vermeiden.

  • DORA als reines IT-Projekt behandeln, ohne Rechtsabteilung, Compliance und Geschäftsleitung einzubinden.
  • Die Vertragsarbeit mit IKT-Dienstleistern unterschätzen: Dutzende Verträge anzupassen dauert Monate.
  • Den Umsetzungsprozess nicht dokumentieren: Erfüllung ohne Nachweise ist so schlecht wie Nichterfüllung.
  • Das Verhältnismäßigkeitsregime ignorieren und Anforderungen für bedeutende Unternehmen auf kleine anwenden (oder umgekehrt).
  • Den Meldeprozess für Vorfälle nicht einführen, bevor ein schwerwiegender Vorfall eintritt.
Praxisglossar

Zentrale Begriffe: DORA-Verordnung

Wenn Sie DORA-Compliance in Ihrem Unternehmen einführen, begegnen Ihnen diese Begriffe in Leitlinien, Verträgen und im Austausch mit der Aufsicht. Wer sie richtig versteht, vermeidet Auslegungsfehler, die sich später im Verfahren rächen.

DORAGrundlage

Digital Operational Resilience Act

Verordnung (EU) 2022/2554, anwendbar seit dem 17. Januar 2025. Harmonisierter Rahmen für die digitale operationale Resilienz von Finanzunternehmen in der gesamten EU.

Aufsicht in Spanien: Banco de España, CNMV, DGSFP.
IKT-RahmenSäule 1

IKT-Risikomanagementrahmen

Dokumentiertes System zur Identifizierung, zum Schutz, zur Erkennung, Reaktion und Wiederherstellung bei IKT-Risiken. Es muss vom Leitungsorgan genehmigt und überwacht werden.

Nachweis: genehmigte Leitlinie + Protokolle des Leitungsorgans + jährliche Überprüfung.
Schwerwiegender IKT-VorfallSäule 2

Meldepflichtig

IKT-Vorfall, der die in den RTS zu DORA festgelegten Schwellenwerte überschreitet. Er muss der Aufsicht innerhalb von 4 Stunden (Erstmeldung), 72 Stunden (Zwischenmeldung) und 1 Monat (Abschlussmeldung) gemeldet werden.

Eine nicht fristgerechte Meldung ist ein eigenständiger Verstoß.
TLPTSäule 3

Bedrohungsorientierte Penetrationstests

Threat-Led Penetration Testing: fortgeschrittene Tests, die für bedeutende Unternehmen mindestens alle drei Jahre nach dem TIBER-EU-Rahmen vorgeschrieben sind.

Erfordert einen zertifizierten Anbieter und die Validierung durch die Aufsicht.
CTPPsSäule 4

Kritische IKT-Drittdienstleister

IKT-Dienstleister, die von EBA, ESMA oder EIOPA aufgrund ihrer systemischen Bedeutung benannt werden. Sie unterliegen einer direkten Überwachung auf europäischer Ebene. Microsoft Azure, AWS und Google Cloud sind naheliegende Kandidaten.

Unternehmen, die sie beauftragen, haben zusätzliche Pflichten.
VerhältnismäßigkeitRegime

DORA-Verhältnismäßigkeitsprinzip

Kleine und nicht verflochtene Unternehmen können für einige Anforderungen ein vereinfachtes Regime nutzen. Die Einstufung erfordert eine dokumentierte Analyse nach den Kriterien der RTS.

Nicht automatisch: Sie muss geprüft und dokumentiert werden.
RTS / ITSTechnisch

Technische Regulierungsstandards

Regulatory Technical Standards und Implementing Technical Standards, von EBA, ESMA und EIOPA ausgearbeitet, die die konkreten Anforderungen jeder Säule der DORA-Verordnung präzisieren.

Die RTS sind verbindlich und ergänzen die Verordnung.
TIBER-EUTests

Europäischer Rahmen für fortgeschrittene Tests

Rahmenwerk der EZB für bedrohungsorientierte Penetrationstests (TLPT). In Spanien von der Banco de España und der CNMV koordiniert. Methodische Grundlage der TLPT nach DORA.

Gilt für bedeutende Unternehmen mit TLPT-Pflicht.
Gap-AnalyseDiagnose

DORA-Gap-Analyse

Erste Bewertung des aktuellen Umsetzungsstands gegenüber den fünf Säulen von DORA. Sie zeigt Lücken auf, bestimmt das Verhältnismäßigkeitsregime und liefert den Umsetzungsfahrplan.

Verpflichtender erster Schritt vor jedem Umsetzungsprojekt.
Kontakt

Anruf buchen

Schildern Sie uns die Situation Ihres Unternehmens, und wir erklären Ihnen, welche DORA-Leistungen Vorrang haben und wie Sie den Umsetzungsplan effizient aufbauen.

DORA-Rechtsrahmen in Spanien: Verordnung (EU) 2022/2554 und technische Standards

Die DORA-Verordnung (Digital Operational Resilience Act) ist die erste europäische Vorschrift, die einen harmonisierten und umfassenden Rahmen für die digitale operationale Resilienz speziell für den Finanzsektor schafft. Sie gilt seit dem 17. Januar 2025 und ist in allen Mitgliedstaaten unmittelbar anwendbar, ohne dass eine nationale Umsetzung nötig ist. Anders als NIS2, das einen breiteren sektoralen Anwendungsbereich hat, ist DORA ausschließlich auf Finanzunternehmen und ihre kritischen IKT-Dienstleister zugeschnitten, mit deutlich detaillierteren Anforderungen und einem eigenen Aufsichtsregime.

Anwendungsbereich und Verhältnismäßigkeit

DORA gilt für mehr als zwanzig Arten regulierter Finanzunternehmen in der EU. Die Verordnung enthält jedoch das Verhältnismäßigkeitsprinzip: Kleine und nicht verflochtene Unternehmen haben für einige Anforderungen Zugang zu einem vereinfachten Regime. Ob ein Unternehmen das vereinfachte Regime nutzen kann, setzt eine vorherige Prüfung der Kriterien in den RTS von EBA, ESMA und EIOPA voraus; diese Prüfung muss dokumentiert und in vielen Fällen der Aufsicht mitgeteilt werden.

Zuständige Aufsichtsbehörden in Spanien

In Spanien überwachen je nach Art des Unternehmens drei Behörden die Einhaltung von DORA: die Banco de España, die spanische Zentralbank, für Kreditinstitute, Zahlungsinstitute und E-Geld-Institute; die CNMV für Wertpapierfirmen, Verwaltungsgesellschaften und Plattformen; und die DGSFP (Generaldirektion für Versicherungen und Pensionsfonds) für Versicherungsunternehmen und Pensionsfonds. Das Sanktionsregime von DORA wird über Änderungen der spanischen Sektorgesetze umgesetzt.

CTPPs und direkte europäische Überwachung

Eine der wichtigsten Neuerungen von DORA ist die direkte Überwachung kritischer IKT-Drittdienstleister (CTPPs) durch die Europäischen Aufsichtsbehörden (EBA, ESMA, EIOPA). Die großen Cloud-Anbieter (Microsoft Azure, Amazon AWS, Google Cloud) gehören zu den naheliegenden Kandidaten für eine Benennung als CTPP. Unternehmen, die sie für kritische Funktionen nutzen, sollten sich auf die vertraglichen und operativen Folgen dieser Benennung vorbereiten.

DORA und NIS2: Nebeneinander und Lex specialis

DORA und NIS2 bestehen nebeneinander, aber DORA hat als Lex specialis für Finanzunternehmen beim IKT-Risikomanagement Vorrang. Ein Finanzunternehmen, das DORA erfüllt, gilt als konform mit den entsprechenden Anforderungen von NIS2. Finanzunternehmen sollten NIS2 nicht ignorieren, doch DORA ist die vorrangige Referenzvorschrift für ihren Rahmen der digitalen operationalen Resilienz.

Verordnung (EU) 2022/2554 EBA / ESMA / EIOPA TIBER-EU NIS2 Banco de España CNMV CTPPs

Leistungen Fintech-Regulierung

Fintech-Regulierung (Übersicht) → Umfassende Fintech-Compliance → Lizenz als Zahlungsinstitut → E-Geld-Lizenz → Fintech-Lizenz →

Verwandte Bereiche

Corporate Compliance → Geldwäscheprävention (AML/CFT) → MiCA und Kryptowerte → Bericht des externen Prüfers → Wertpapiermarktregulierung →

Ressourcen und Blog

Blog: Artikel zu DORA und Fintech-Regulierung → Branchenleitfäden → Fintech-Anwalt →

Offizielle Quellen

Maßgebliche Vorschriften, mit Link zum amtlichen Text:

Vorschriften und Links im geprüft.

Mehr zu Corporate Compliance