6. November 2026 • Cybersicherheit
Kurz gesagt: Das Gesetz über digitale Betriebsresilienz (DORA, Verordnung (EU) 2022/2554) gilt seit dem 17. Januar 2025 für Banken, Versicherer, Wertpapierfirmen, Zahlungsinstitute, Pensionsfonds und andere Finanzunternehmen in der EU. Artikel 13 Absatz 6 schreibt vor, dass Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operativen Widerstandsfähigkeit obligatorische Bestandteile der Mitarbeiterschulung sein müssen – sowohl für alle Mitarbeiter als auch für die Führungskräfte –, wobei der Umfang der Schulungen der jeweiligen Rolle angemessen sein muss. Artikel 5 überträgt die letztendliche Verantwortung für IKT-Risiken dem Leitungsgremium, das Mittel für diese Schulungen einplanen und sein eigenes Wissen durch regelmäßige, spezifische Schulungen auf dem neuesten Stand halten muss. In den Niederlanden überwachen die DNB und die AFM die Einhaltung der Vorschriften und können Geldbußen verhängen. Was sie sehen wollen, sind Nachweise: Wer wurde geschult, zu welchem Thema, wie oft und ob sich das Verhalten dadurch geändert hat.
Die DORA-Schulungsanforderungen auf einen Blick
DORA enthält kein eigenes Kapitel zum Thema Schulung. Die Verpflichtungen sind auf mehrere Artikel und eine technische Norm verteilt. Das ist es, was damit gemeint ist, und was Sie vorlegen sollten, wenn der Vorgesetzte danach fragt.
| DORA-Anforderung | Was das für das Training bedeutet | Nachweis für den Vorgesetzten |
|---|---|---|
| § 13 Abs. 6: Sensibilisierungsprogramme und Resilienz-Schulungen als Pflichtmodule für alle Mitarbeiter | Alle machen mit, auch neue Mitarbeiter und Aushilfskräfte – nicht nur die IT-Abteilung | Schulungsplan, Anmeldung und Abschluss pro Mitarbeiter, Unterlagen zur Einarbeitung |
| Art. 13 Abs. 6: Komplexität, die dem Aufgabenbereich der jeweiligen Funktion entspricht | Rollenbasierte Lernpfade: Die Bereiche Zahlungsverkehr, Kundenservice, Entwickler, IT-Mitarbeiter und Führungskräfte erhalten nicht dieselben Inhalte. | Zuordnung von Rollen zu Lehrplänen mit Begründung |
| Art. 13 Abs. 6 und Art. 30 Abs. 2 Ziff. i: Externe IKT-Dienstleister, die gegebenenfalls geschult werden | In den Verträgen ist festgelegt, wie Lieferanten an Ihrem Sensibilisierungsprogramm teilnehmen | Vertragsklauseln, Teilnahmeunterlagen der Mitarbeiter des Lieferanten |
| Art. 5 Abs. 2 Buchstabe g: Das Leitungsgremium legt das Budget für Sensibilisierungs- und Schulungsmaßnahmen fest und überprüft es | Die Fortbildung ist eine Entscheidung des Vorstands und kein Posten, der im IT-Budget versteckt ist | Protokoll der Vorstandssitzung zur Genehmigung und Überprüfung des Haushaltsplans |
| § 5 Abs. 4: Die Vorstandsmitglieder halten ihr Wissen über IKT-Risiken auf dem neuesten Stand, unter anderem durch regelmäßige spezifische Schulungen. | Separate, regelmäßig stattfindende Sitzungen für Vorstands- und Aufsichtsratsmitglieder | Anwesenheit, Programminhalte, Termine pro Vorstandsmitglied |
| Art. 13 Abs. 3 und Abs. 5: Die aus Tests und Vorfällen gewonnenen Erkenntnisse fließen in das Rahmenwerk ein und werden dem Vorstand mindestens einmal jährlich vorgelegt. | Änderungen der Schulungsinhalte nach Vorfällen und Testergebnissen | Änderungsprotokoll des Programms, Jahresbericht an das Leitungsgremium |
| Delegierte Verordnung (EU) 2024/1774, Art. 19: Die Mitarbeiter kennen die IKT-Sicherheitsrichtlinien und die Meldewege | Die Mitarbeiter wissen, wie und wo sie eine verdächtige E-Mail oder ein verdächtiges Verhalten melden können | Bestätigungen zu Richtlinien, Berichtsdaten |
Wer fällt unter DORA?
In Artikel 2 Absatz 1 sind zwanzig Arten von Finanzunternehmen aufgeführt. Dazu gehören: Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Krypto-Asset-Dienstleister, Handelsplätze, Fondsverwalter, Versicherer, Versicherungsvermittler, Altersversorgungsträger, Ratingagenturen und Crowdfunding-Plattformen.
Es gibt Ausnahmen. Versicherungsvermittler, bei denen es sich um Kleinst-, kleine oder mittlere Unternehmen handelt, fallen ebenso außerhalb des Anwendungsbereichs wie Altersversorgungseinrichtungen mit insgesamt nicht mehr als 15 Mitgliedern. Kleine und nicht vernetzte Wertpapierfirmen, ausgenommene Zahlungs- und E-Geld-Institute sowie kleine Altersversorgungseinrichtungen unterliegen einem vereinfachten IKT-Risikorahmen gemäß Artikel 16. Selbst diese gelockerte Regelung verlangt von ihnen, Sensibilisierungsprogramme und Resilienzschulungen für Mitarbeiter und Führungskräfte zu entwickeln, „entsprechend den Bedürfnissen und dem IKT-Risikoprofil“.
IKT-Drittanbieter stehen ganz am Ende der Liste. Die meisten von ihnen sind im Rahmen der Verträge mit ihren Kunden von der DORA betroffen. Die größten unter ihnen werden direkt beaufsichtigt: Am 18. November 2025 veröffentlichten die europäischen Aufsichtsbehörden die erste Liste kritischer IKT-Drittanbieter, die 19 Unternehmen umfasst, von Hyperscale-Cloud-Anbietern bis hin zu Anbietern von Finanzsoftware.
Die fünf Säulen im Überblick
In Artikel 1 wird dargelegt, was DORA regelt; dies lässt sich in der Regel in fünf Säulen unterteilen:
- IKT-Risikomanagement. Ein dokumentiertes Rahmenwerk, Governance und Kontrollmaßnahmen (Artikel 5 bis 16). Hier fallen auch Schulungen darunter.
- Meldung von Vorfällen. Einstufung schwerwiegender IKT-bezogener Vorfälle und Meldung dieser an den Vorgesetzten.
- Prüfung der digitalen Betriebsresilienz. Ein risikobasiertes Prüfprogramm sowie für bestimmte Einrichtungen mindestens alle drei Jahre bedrohungsorientierte Penetrationstests (Artikel 26).
- IKT-Risiken durch Dritte. Vertragliche Anforderungen, ein jährliches Informationsverzeichnis und die Überwachung kritischer Anbieter.
- Informationsaustausch. Freiwilliger Austausch von Bedrohungsinformationen zwischen Finanzinstituten.
Was Artikel 13 Absatz 6 zur Ausbildung besagt
Der Kernsatz ist kurz. „Finanzinstitute müssen Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operativen Widerstandsfähigkeit als obligatorische Module in ihre Personalschulungsprogramme aufnehmen. Diese Programme und Schulungen müssen für alle Mitarbeiter sowie für Führungskräfte gelten und einen Komplexitätsgrad aufweisen, der dem Umfang ihrer Aufgaben entspricht.“
Drei Wörter sind entscheidend. „Obligatorisch“ bedeutet, dass ein optionales E-Learning-Angebot im Intranet nicht ausreicht. „Alle“ bedeutet sowohl die Empfangsmitarbeiterin als auch den Finanzvorstand, nicht nur eine Auswahl von Risikoposten. „Angemessen“ bedeutet, dass ein allgemeines Modul für alle ebenfalls nicht ausreicht: Ein Entwickler mit Zugriff auf die Produktionsumgebung benötigt tiefgreifendere Kenntnisse als ein Kollege aus der Haustechnik. Im selben Absatz wird hinzugefügt, dass gegebenenfalls externe IT-Dienstleister in die Schulung einbezogen werden sollten, und Artikel 30 Absatz 2 Buchstabe i schreibt vor, dass die Bedingungen hierfür in den Verträgen festgelegt werden müssen.
Artikel 13 trägt den Titel „Lernen und Weiterentwickeln“: Vorfälle und Testergebnisse müssen in das Rahmenwerk einfließen. Ein Programm, das sich nach einem tatsächlichen Phishing-Vorfall nie ändert, entspricht dieser Logik nicht.
Artikel 5: Der Vorstand trägt die Verantwortung
Gemäß Artikel 5 Absatz 2 definiert, genehmigt und überwacht das Leitungsorgan das gesamte Rahmenwerk für das IKT-Risikomanagement und trägt die Verantwortung dafür. Buchstabe a) überträgt ihm „die letztendliche Verantwortung für das Management der IKT-Risiken des Finanzinstituts“. Buchstabe g) verpflichtet es, das Budget zuzuweisen und regelmäßig zu überprüfen, wobei die Sensibilisierungsprogramme und Schulungen gemäß Artikel 13 Absatz 6 ausdrücklich einbezogen werden.
Artikel 5 Absatz 4 wendet sich dann an die Vorstandsmitglieder selbst: Sie „müssen sich aktiv über ausreichende Kenntnisse und Fähigkeiten auf dem Laufenden halten, um IKT-Risiken und deren Auswirkungen auf den Geschäftsbetrieb des Finanzunternehmens zu verstehen und zu bewerten, unter anderem durch die regelmäßige Teilnahme an spezifischen Schulungen, die dem zu steuernden IKT-Risiko angemessen sind.“ Die DNB hat diesen Satz im November 2024 in ihre eigenen Folien für Versicherer aufgenommen. Die gleiche Logik zieht sich durch NIS2: Unser Artikel zu NIS2 und der Haftung des Vorstands erläutert, wie die persönliche Verantwortlichkeit dort funktioniert, und die Schulungen für Führungskräfte zeigen, wie ein Programm für den Vorstand aussehen kann.
Können Sie dem Vorgesetzten zeigen, wer letzten Monat geschult wurde?
Erfahren Sie, wie Guardey jedem Mitarbeiter eine kurze wöchentliche Herausforderung stellt und der Compliance-Abteilung eine Übersicht über die Teilnahme und den Fortschritt jedes Einzelnen zur Verfügung stellt.
Entdecken Sie Schulungen zum Thema SicherheitsbewusstseinWas die Aufsicht erwartet: das Beispiel DNB und AFM
In den Niederlanden wird DORA von der DNB und der AFM beaufsichtigt. Die DNB gab im Dezember 2024 bekannt, dass DORA für die betroffenen Unternehmen die „Good Practice Informatiebeveiliging 2023“ ersetzt und dass dabei risikobasiert und verhältnismäßig vorgegangen wird: Fragebögen, Gespräche und Vor-Ort-Prüfungen, ergänzt durch Maßnahmen, die von einem Schreiben bis hin zu einer Geldbuße reichen. Die niederländische Regierung bestätigt, dass beide Aufsichtsbehörden Geldbußen gegen Finanzunternehmen verhängen können, die die Vorschriften nicht einhalten. In Deutschland ist die BaFin für die DORA-Aufsicht zuständig, in Zusammenarbeit mit der Deutschen Bundesbank.
Das Thema Aufklärung ist für sie kein Nebenschauplatz. In einer Präsentation vor Versicherern am 12. November 2024 stellte die DNB die Ergebnisse ihrer Prüfungen aus dem Jahr 2024 vor. Eines davon: Wissens- und Sensibilisierungsprogrammen muss mehr Aufmerksamkeit gewidmet werden. Die AFM hatte zu Beginn des Jahres ein Factsheet veröffentlicht, das auf einer Selbstbewertung von 212 Wertpapierfirmen aus dem Jahr 2023 basierte. Beim Thema „Sensibilisierung und Schulung“ erfüllten 37 Prozent noch nicht das erwartete Niveau. Diese Zahlen stammen zwar aus der Zeit vor DORA, zeigen aber, in welchen Bereichen die Aufsichtsbehörde Handlungsbedarf sah: Rechnen Sie damit, dass die Frage zur Schulung mit der Aufforderung zur Angabe von Zahlen einhergeht.
Inwiefern steht DORA mit NIS2 in Zusammenhang?
Viele Finanzinstitute gelten zudem als wesentliche oder wichtige Einrichtungen im Sinne der NIS2-Richtlinie. Artikel 1 Absatz 2 der DORA regelt diese Überschneidung: Für diese Einrichtungen gilt die DORA als sektorspezifischer Rechtsakt der Union im Sinne von Artikel 4 der NIS2-Richtlinie. In der Praxis hat die DORA Vorrang, wenn beide denselben Regelungsbereich abdecken, weshalb sie oft als „lex specialis“ bezeichnet wird. Die niederländische Regierung bringt es auf den Punkt: Bei Überschneidungen der Vorschriften haben für Finanzinstitute die Bestimmungen der DORA Vorrang.
In den Niederlanden wird NIS2 durch das seit dem 15. August 2026 geltende Cyberbeveiligingswet umgesetzt. Für Banken und Versicherungen bedeutet dies, dass DORA den wichtigsten Rahmen für IKT-Risiken und Schulungen bildet, während NIS2 weiterhin für Konzerngesellschaften und Lieferanten außerhalb des Finanzsektors von Bedeutung ist. Unser NIS2-Leitfaden für 2026 erläutert, wer in den Geltungsbereich fällt, und der Vergleich zwischen NIS1 und NIS2 verdeutlicht, wie sich der Geltungsbereich erweitert hat. In Deutschland wurde NIS2 mit dem NIS2UmsuCG umgesetzt, das seit dem 6. Dezember 2025 gilt.
Ein praktischer Einführungsplan
- Ordnen Sie Rollen den Risiken zu. Listen Sie Funktionen auf, die Zahlungsbefugnis, Zugriff auf Produktionsdaten, Kundendaten oder Lieferantenkontakte beinhalten. Diese werden genauer betrachtet; alle anderen erhalten die Basisinformationen.
- Halten Sie den Beschluss des Vorstands schriftlich fest. Das Budget, der Umfang und das eigene Fortbildungsprogramm des Vorstands müssen gemäß Artikel 5 Absatz 2 Buchstabe g und Artikel 5 Absatz 4 im Protokoll genehmigt werden.
- Machen Sie die Basiserhebung verbindlich und kontinuierlich. Ein kurzer, regelmäßig wiederkehrender Rhythmus über das ganze Jahr hinweg funktioniert besser als ein einmaliges jährliches Modul und liefert Ihnen jeden Monat Daten.
- Fügen Sie Phishing-Simulationen und einen Meldeweg hinzu. Erfassen Sie, wer darauf klickt und wer Vorfälle meldet, und stellen Sie sicher, dass jeder weiß, wo er Vorfälle melden kann.
- Beziehen Sie Lieferanten mit ein. Nehmen Sie die Schulungsklausel gemäß Artikel 30 Absatz 2 Buchstabe i in neue und verlängerte IKT-Verträge auf.
- Schließen Sie den Kreislauf. Passen Sie nach jedem größeren Vorfall oder Test den Inhalt an, protokollieren Sie die Änderung und nehmen Sie sie in den Jahresbericht an das Leitungsgremium auf.
Wie Phishing-Simulationen und kontinuierliche Schulungen die erforderlichen Nachweise liefern
DORA erwähnt Phishing-Simulationen nicht namentlich. Artikel 25 listet die Tests auf, die ein Programm zur Überprüfung der Widerstandsfähigkeit umfassen kann – von Schwachstellenscans bis hin zu szenariobasierten Tests – und überlässt die Wahl der Organisation. Simulationen sind nach wie vor der direkteste Weg, um zu zeigen, dass Schulungen das Verhalten verändern, und sie entsprechen Artikel 13 Absatz 4, der von den Organisationen verlangt, die Wirksamkeit ihrer Strategie zur Widerstandsfähigkeit zu überwachen. Ein Abschlusszertifikat belegt, dass jemand ein Modul absolviert hat. Eine sinkende Klickrate und eine steigende Melderate zeigen, dass es funktioniert hat.
Genau hier zahlt sich kontinuierliches Training aus. Mit Guardey absolviert jeder Mitarbeiter jede Woche eine spielerisch gestaltete Herausforderung von etwa drei Minuten Dauer, Teams messen sich in einer Rangliste, und es werden Phishing-Simulationen durchgeführt. Das Ergebnis ist ein Pro-Kopf-Wert pro Woche, den Sie dem Auditor in Berichten vorlegen können, die für NIS2, ISO 27001 und mehr als 40 weitere Rahmenwerke anerkannt sind. Arbeiten Sie bereits nach ISO 27001? Unser Leitfaden zur Sicherheitsschulung nach ISO 27001 lässt sich nahtlos auf DORA abbilden.
Häufig gestellte Fragen
Sind Schulungen zur Sensibilisierung für Sicherheitsfragen gemäß DORA verpflichtend?
Ja. Artikel 13 Absatz 6 schreibt vor, dass Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen Betriebsresilienz als Pflichtmodule in die Mitarbeiterschulungen für alle Beschäftigten und die Führungskräfte aufgenommen werden müssen. Auch Unternehmen, die unter die vereinfachte Regelung gemäß Artikel 16 fallen, müssen diese entsprechend ihren Bedürfnissen und ihrem Risikoprofil anbieten.
Muss der Vorstand im Rahmen von DORA geschult werden?
Ja. Gemäß Artikel 5 Absatz 4 sind die Mitglieder des Leitungsorgans verpflichtet, ihre Kenntnisse und Fähigkeiten auf dem neuesten Stand zu halten, unter anderem durch regelmäßige Teilnahme an spezifischen Schulungen, die dem zu bewältigenden IKT-Risiko angemessen sind.
Seit wann gilt DORA?
Seit dem 17. Januar 2025. Da es sich bei DORA um eine Verordnung handelt, gilt sie in jedem Mitgliedstaat unmittelbar, ohne dass eine nationale Umsetzung erforderlich ist.
Ersetzt DORA NIS2 für Finanzinstitute?
Soweit sich beide Rechtsakte überschneiden, hat die DORA Vorrang. Gemäß Artikel 1 Absatz 2 gilt die DORA als sektorspezifisches Gesetz für Finanzunternehmen, die zugleich als wesentliche oder wichtige Unternehmen im Sinne der NIS2 gelten.
Wer beaufsichtigt DORA in Deutschland?
Die BaFin, in Zusammenarbeit mit der Deutschen Bundesbank. In den Niederlanden sind es die DNB und die AFM, jeweils für die ihnen unterstellten Unternehmen. Die europäischen Aufsichtsbehörden beaufsichtigen kritische IKT-Drittanbieter.
Wie würden Ihre DORA-Nachweise nach drei Monaten aussehen?
Wir führen Sie durch die Plattform und die Berichte und gehen dabei speziell auf Ihre Fragen zur Compliance ein: Teilnahme nach Rolle, Schulungen für Vorstandsmitglieder und Phishing-Ergebnisse im Zeitverlauf.
Vereinbaren Sie eine persönliche Vorführung
