Der Digital Operational Resilience Act, kurz DORA, schafft einen einheitlichen europäischen Standard dafür, wie Finanzunternehmen ihre Technologierisiken steuern. Er gilt in der Europäischen Union seit Anfang 2025, und 2026 ist die Phase, in der aufsichtliche Erwartungen, Vorfallmeldungen und die Aufsicht über Drittparteien aktiv durchgesetzt und nicht mehr nur erwartet werden. Für Krypto- und Zahlungsplattformen verändert dies die Grundlage, auf der Technologieentscheidungen getroffen werden.
DORA wird häufig als reine Cybersicherheitsvorschrift verstanden. Der Rahmen reicht weiter. Die Fähigkeit, den Betrieb auch bei Störungen aufrechtzuerhalten — Ausfälle, Cybervorfälle, das Versagen eines kritischen Dienstleisters — wird als beaufsichtigtes Ergebnis behandelt, verbunden mit Governance, Tests und Nachweisen. Für einen unter MiCA zugelassenen Krypto-Dienstleister oder ein E-Geld- beziehungsweise Zahlungsinstitut ist DORA keine optionale Ergänzung. Der Rahmen steht neben der Zulassung und prägt die Architektur, die sie trägt.
Dieser Beitrag erläutert, was DORA von Krypto- und Zahlungsplattformen auf technischer und betrieblicher Ebene verlangt, wer in den Anwendungsbereich fällt und wie ein DORA-bereites Betriebsmodell aus Planungs- und Beschaffungssicht aussieht. Er legt das Recht nicht aus, sondern beschreibt die technischen und betrieblichen Folgen, die sich daraus ergeben.
Was DORA regelt
DORA fasst Regeln, die zuvor auf nationale Regime und Branchenleitlinien verteilt waren, in einem Rahmen zusammen, der den gesamten Lebenszyklus des Technologierisikos abdeckt. Statt einzelne Kontrollen vorzuschreiben, definiert der Rahmen Ergebnisse, die ein Finanzunternehmen nachweisen können muss: dass ICT-Risiken auf Leitungsebene gesteuert werden, dass Vorfälle innerhalb definierter Fristen erkannt und gemeldet werden, dass Resilienz getestet wird und dass die Abhängigkeit von externen Dienstleistern verstanden und kontrolliert wird.
Die praktische Verschiebung geht von dokumentierter Absicht zu nachweisbarer Fähigkeit. Eine Leitlinie, die einen Prozess zur Vorfallreaktion beschreibt, genügt für sich allein nicht mehr; das Unternehmen muss zeigen können, dass der Prozess funktioniert, dass Rollen zugewiesen sind und dass Nachweise über Tests und Behebung vorliegen. Deshalb wird DORA am besten als Architektur- und Betriebsfrage behandelt und nicht als rein rechtliche Frage.
Wer in den Anwendungsbereich fällt
DORA gilt für einen breiten Kreis von Finanzunternehmen, und beide Plattformtypen, die diese Wissensdatenbank behandelt, sind erfasst. Unter MiCA zugelassene Krypto-Dienstleister fallen in den Anwendungsbereich, ebenso E-Geld-Institute und Zahlungsinstitute. Handelsplattformen, Verwahrdienste, Börsen- und Orderausführungsfunktionen sowie Zahlungs- und E-Geld-Infrastruktur unterliegen dem Rahmen. Die Technik hinter einer Krypto-Börsen-Plattform oder einer E-Geld- und Zahlungsplattform ist damit in gleicher Weise erfasst wie die zugelassene Tätigkeit, die sie trägt.
Die Pflichten gelten verhältnismäßig. Ein kleineres Institut mit engem Leistungsangebot trägt geringere Erwartungen als eine große Multi-Asset-Börse oder eine Zahlungsplattform mit hohem Volumen; kein erfasstes Unternehmen ist jedoch von den Kernanforderungen zu ICT-Risiko, Vorfallmeldung und Drittparteienmanagement befreit. Die Verhältnismäßigkeit bestimmt Tiefe und Formalität, nicht die Frage, ob die Anforderungen überhaupt gelten.
Hinweis: DORA gilt bereits und ist keine künftige Pflicht. Für neue EU-Vorhaben im Krypto- und Zahlungsbereich sollte der Resilienzrahmen von Beginn an eingeplant und nicht erst nach dem Start nachgerüstet werden, da sich die von DORA erwarteten Nachweise nachträglich nur schwer rekonstruieren lassen.
Die Säulen der operativen Resilienz
DORA ordnet seine Erwartungen um wenige, miteinander verbundene Bereiche. Jeder übersetzt sich in konkrete architektonische und betriebliche Entscheidungen für eine Krypto- oder Zahlungsplattform, und jeder erzeugt Nachweise, die eine Aufsicht oder ein Prüfer einsehen kann.
| Resilienzbereich | Auswirkung auf die Plattform |
|---|---|
| ICT-Risikomanagement und Governance | Verantwortung für Technologierisiken auf Leitungsebene, mit einem definierten Rahmen, der Systeme, Abhängigkeiten und Kontrollen zuständigen Rollen zuordnet. |
| Erkennung und Meldung von Vorfällen | Klassifizierung ICT-bezogener Vorfälle und die Fähigkeit, schwerwiegende Vorfälle innerhalb definierter Fristen an die Aufsicht zu melden, gestützt auf Monitoring und Prüfpfade. |
| Resilienztests | Regelmäßige Tests kritischer Systeme, mit anspruchsvolleren bedrohungsgeleiteten Tests für größere Unternehmen, und dokumentierte Behebung der Feststellungen. |
| ICT-Drittparteienrisiko | Ein Register externer Technologieabhängigkeiten, vertragliche Kontrollen sowie Ausstiegs- und Kontinuitätspläne für kritische Dienstleister. |
| Informationsaustausch | Vorkehrungen zum Austausch von Erkenntnissen über Cyberbedrohungen mit Branchenpartnern, wo sinnvoll, die in Monitoring und Abwehr zurückfließen. |
Diese Bereiche sind voneinander abhängig. Vorfallmeldung setzt Monitoring und Klassifizierung voraus; Drittparteienrisiko setzt ein genaues Verzeichnis der Abhängigkeiten voraus; Tests sind nur dann sinnvoll, wenn Feststellungen in die Behebung einfließen. Eine Plattform, die sie als getrennte Compliance-Aufgaben behandelt, erzeugt tendenziell Dokumentation ohne Fähigkeit — genau das, was der Rahmen offenlegen soll.
ICT-Drittparteienrisiko und Aufsicht
Krypto- und Zahlungsplattformen stützen sich stark auf externe Technik: Cloud-Hosting, Verwahr- und Schlüsselverwaltungsdienste, Marktdaten- und Liquiditätsanbindungen, Screening- und Verifizierungsanbieter sowie Zahlungsschienen. DORA verlangt, jede dieser Abhängigkeiten zu identifizieren, zu bewerten und zu steuern, mit besonderem Augenmerk auf Dienste, die sich kurzfristig nur schwer ersetzen lassen.
Der Rahmen führt zudem eine direkte europäische Aufsicht über die größten Technologieanbieter des Finanzsektors ein. Die Europäischen Aufsichtsbehörden haben begonnen, kritische ICT-Drittdienstleister zu benennen, wodurch große Cloud- und Infrastrukturanbieter einem formalen Aufsichtsregime unterstellt werden. Für eine Plattform entfällt damit die Verantwortung nicht. Die Pflicht, Konzentrationsrisiken zu verstehen, angemessene vertragliche Rechte zu halten und den Ausfall eines kritischen Dienstleisters einzuplanen, verbleibt beim regulierten Unternehmen. Das Vertrauen auf einen benannten Anbieter ersetzt nicht die eigene Resilienzplanung der Plattform.
DORA und MiCA für Krypto-Plattformen
Für Krypto-Plattformen wirken DORA und MiCA zusammen. MiCA regelt Zulassung und Wohlverhalten als Krypto-Dienstleister; DORA regelt die operative Resilienz der Technik, die diese Dienste erbringt. Die MiCA-Übergangsphase ist beendet. Neue EU-Kryptoprojekte müssen von Anfang an für ein zugelassenes CASP-Betriebsmodell ausgelegt sein. Dieses Betriebsmodell trägt die Resilienzerwartungen von DORA nun als ständiges Merkmal und nicht als spätere Ergänzung.
In der Praxis bedeutet dies, dass dieselben architektonischen Entscheidungen beiden Rahmen dienen. Klare Verantwortung für Systeme, kontrollierte Bereitstellung, überwachte Infrastruktur, getestete Wiederherstellung und gesteuerte Drittparteienbeziehungen stützen die MiCA-Zulassung und erfüllen DORA zugleich. Sie als ein einziges Engineering-Programm zu behandeln statt als zwei getrennte Compliance-Übungen ist in der Regel effizienter und erzeugt stimmigere Nachweise.
Wie eine DORA-bereite Architektur aussieht
Eine DORA-bereite Plattform ist so gestaltet, dass sie Störungen einkalkuliert und Nachweise als Nebenprodukt des normalen Betriebs erzeugt. Auf hoher Ebene bedeutet dies eine Infrastruktur, in die der Betreiber Einblick hat und die er kontrolliert, Bereitstellungs- und Änderungsprozesse mit prüfbaren Aufzeichnungen, getestete statt angenommene Wiederherstellungsvorkehrungen und eine gepflegte Übersicht der externen Dienste, von denen die Plattform abhängt. Eine dedizierte oder On-Premises-Bereitstellung kann diese Position stärken, indem Eigentum und Prüfzugang beim Betreiber bleiben; das geeignete Modell hängt jedoch von Umfang und Risikobereitschaft ab.
Nichts davon ist eine Frage des Kaufs eines einzelnen Werkzeugs. Resilienz ist eine Eigenschaft davon, wie Systeme, Prozesse und Dienstleister organisiert sind, und sie muss gepflegt werden, während sich die Plattform verändert. Wir erstellen keine Rechtsgutachten und garantieren keine Zulassung. Wir setzen regulatorische und prüfungsbezogene Anforderungen in Technologie, Infrastruktur und Betrieb um, damit eine Krypto- oder Zahlungsplattform zeigen — und nicht nur behaupten — kann, dass sie innerhalb der von DORA gesetzten Resilienzerwartungen arbeitet.
Fazit und nächste Schritte
DORA hat operative Resilienz zu einem beaufsichtigten Ergebnis für Krypto- und Zahlungsplattformen in der gesamten Europäischen Union gemacht. Der Rahmen gilt jetzt, er gilt für unter MiCA zugelassene CASPs sowie für E-Geld- und Zahlungsinstitute, und er begünstigt Plattformen, die Resilienz und Nachweise in ihre Architektur einbauen, statt sie nachträglich hinzuzufügen. Für neue Vorhaben ist es am effizientesten, das Technologieprogramm von Beginn an gemeinsam an DORA und MiCA auszurichten.
Unternehmen, die eine EU-Plattform planen oder prüfen, können mit unserer Sicht auf die regulatorische Bereitschaft in der EU beginnen und, wenn es um die Strukturierung des Aufbaus geht, mit unserer Fintech-Architektur-Beratung.
Bauen Sie Resilienz und Nachweise in die Plattform ein, nicht um sie herum. Grumpio strukturiert Krypto- und Zahlungstechnologie entlang der Anforderungen, die Aufsicht und Prüfer tatsächlich prüfen.