DORA 2026: Auswirkungen auf Fintechs und Privatkunden

Die europäische Verordnung DORA (Digital Operational Resilience Act), die am 17. Januar 2025 in Kraft getreten ist, erreicht 2026 eine entscheidende Phase: die der Konsolidierung und aktiven Überwachung. Für Fintechs markiert diese Phase den Übergang von der anfänglichen Compliance zu einer eingehenden Kontrolle durch die Behörden. Für Privatkunden bedeutet dies digitale Finanzdienstleistungen, die besser gegen Ausfälle und Cyberangriffe gewappnet sind. Dieser Artikel beleuchtet die konkreten Herausforderungen von DORA im Jahr 2026.

Was ist DORA und warum ist 2026 ein Schlüsseljahr?

DORA entspricht der Verordnung (EU) 2022/2554, die im Dezember 2022 vom Europäischen Parlament und dem Rat verabschiedet wurde. Ihr Ziel ist es, die digitale operationelle Resilienz des europäischen Finanzsektors zu stärken, d.h. seine Fähigkeit, seine Dienstleistungen trotz IT-Vorfällen, Cyberangriffen oder Ausfällen von Technologieanbietern aufrechtzuerhalten.

Die Verordnung gilt seit dem 17. Januar 2025 direkt in allen Mitgliedstaaten, ohne vorherige nationale Umsetzung. Das Jahr 2026 stellt daher keinen neuen Stichtag für das Inkrafttreten dar, sondern eine Phase der Intensivierung: Die europäischen und nationalen Aufsichtsbehörden prüfen nun die tatsächliche Reife der implementierten Maßnahmen, und die ersten Überwachungsübungen für kritische Technologieanbieter werden durchgeführt.

Wer ist von DORA betroffen?

Der Anwendungsbereich von DORA ist breit gefächert. Er umfasst insbesondere:

* Kreditinstitute und Banken;
* Zahlungsinstitute und E-Geld-Institute, eine Kategorie, zu der viele Fintechs gehören;
* Wertpapierfirmen und Handelsplattformen;
* Anbieter von Krypto-Asset-Dienstleistungen, die gemäß der MiCA-Verordnung zugelassen sind;
* Versicherungs- und Rückversicherungsunternehmen;
* Drittanbieter von IT-Dienstleistungen, die als kritisch eingestuft werden.

Für kleinere Strukturen sind verhältnismäßige Erleichterungen vorgesehen, doch die allgemeine Logik bleibt die einer verstärkten Verantwortung für das Management von IT-Risiken.

Die fünf Säulen von DORA

Die Verordnung gliedert sich in fünf Hauptanforderungsbereiche, die das Handeln der Finanzunternehmen strukturieren.

1. Management des IT-Risikos

Jedes Unternehmen muss über einen internen Rahmen für das Management von Risiken im Zusammenhang mit Informations- und Kommunikationstechnologien (IKT) verfügen. Dies umfasst die Identifizierung kritischer Vermögenswerte, den Schutz von Systemen, die Erkennung von Anomalien und Notfallpläne. Die letztendliche Verantwortung für diesen Rahmen liegt beim Leitungsorgan.

2. Management und Meldung von Vorfällen

DORA schreibt einen harmonisierten Prozess für die Klassifizierung und Meldung schwerwiegender IKT-bezogener Vorfälle an die zuständigen Behörden innerhalb festgelegter Fristen vor. Ziel ist es, die Transparenz der Aufsichtsbehörden über die tatsächlichen Bedrohungen für den Sektor zu verbessern.

3. Tests der operationellen Resilienz

Die Unternehmen müssen ihre Systeme regelmäßig testen. Die bedeutendsten Akteure unterliegen fortgeschrittenen, bedrohungsgesteuerten Penetrationstests (TLPT, Threat-Led Penetration Testing), die realistische Angriffe simulieren. Die schrittweise Einführung dieser Tests ist eine der sichtbaren Aufgaben im Jahr 2026.

4. Management des Risikos im Zusammenhang mit Drittanbietern

Viele Fintechs verlassen sich auf externe Anbieter (Cloud-Hosting, Datendienste, Zahlungslösungen). DORA regelt diese Beziehungen: Vertragsregister, obligatorische Klauseln, Überwachung von Abhängigkeiten und Ausstiegsstrategien. Anbieter, die auf europäischer Ebene als kritisch eingestuft werden, unterliegen einer direkten Aufsicht durch die europäischen Aufsichtsbehörden.

5. Informationsaustausch

Die Verordnung fördert den freiwilligen Austausch von Informationen über Cyberbedrohungen zwischen Finanzakteuren, um die kollektive Verteidigung des Sektors zu stärken.

Konkrete Auswirkungen auf Fintechs im Jahr 2026

Für Fintechs, die oft jünger und stärker von Technologiepartnern abhängig sind als traditionelle Banken, stellt DORA eine strukturelle Veränderung dar.

Eine verstärkte Risikogovernance

Die Compliance kann nicht mehr allein auf den technischen Teams ruhen. Sie bezieht die Geschäftsleitung mit ein, die die Strategie zur digitalen Resilienz verstehen und validieren muss. Im Jahr 2026 konzentrieren sich die Kontrollen auf die tatsächliche Qualität dieser Governance und nicht nur auf die Existenz von Dokumenten.

Eine verstärkte Kontrolle der Lieferkette

Die Kartierung der IT-Dienstleister wird zu einer zentralen Aufgabe. Fintechs müssen ihre Abhängigkeiten dokumentieren, konforme Vertragsklauseln aushandeln und Ausfallszenarien für Anbieter antizipieren. Diese Anforderung kann kleinere Strukturen, die über begrenztere rechtliche und technische Ressourcen verfügen, stärker belasten.

Zu integrierende Compliance-Kosten

Die Implementierung von Tests, Erkennungstools und Meldeprozessen stellt eine Investition dar. Für viele Fintechs besteht die Herausforderung im Jahr 2026 darin, diese Maßnahmen langfristig zu etablieren, anstatt sie als einmaliges Projekt zu behandeln. Langfristig kann ein solider Rahmen auch ein Vertrauensargument gegenüber Partnern und Investoren werden.

Welche Auswirkungen hat dies für Privatkunden?

Obwohl sich DORA an Finanzakteure richtet, wirken sich seine Effekte indirekt auf Privatkunden von Bankanwendungen, Neobanken und Zahlungsdiensten aus.

Eine bessere Dienstleistungskontinuität

Die Anforderungen an die Kontinuität