DORA in der Microsoft-Cloud: Was Finanzunternehmen umsetzen und belegen müssen

Der Digital Operational Resilience Act (DORA) verlangt von Finanzunternehmen in der EU, ihre digitale Widerstandsfähigkeit systematisch zu steuern, zu testen und nachzuweisen. Für viele mittelständische Institute läuft ein großer Teil der IT inzwischen in Microsoft 365 und Azure. Damit wird Microsoft selbst zum Gegenstand der DORA-Pflichten, und die Microsoft-Werkzeuge werden zur wichtigsten Quelle für Nachweise.

Für wen gilt DORA, und was verlangt die Verordnung?

DORA gilt seit dem 17. Januar 2025 für die in Art. 2 genannten Finanzunternehmen, darunter Kreditinstitute, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Versicherungen und Krypto-Dienstleister. In Deutschland hat das Finanzmarktdigitalisierungsgesetz (FinmadiG) den Anwendungsbereich auf weitere Institute nach KWG und VAG erweitert. Einzelheiten zur Betroffenheit beantwortet die BaFin in ihren FAQ zu DORA.

Inhaltlich gliedert sich die Verordnung in fünf Bereiche: IKT-Risikomanagement, Behandlung und Meldung IKT-bezogener Vorfälle, Tests der digitalen Betriebsstabilität, Management des IKT-Drittparteienrisikos und Austausch von Bedrohungsinformationen. Für die Geschäftsführung ist Art. 5 Abs. 2 entscheidend: Das Leitungsorgan definiert, genehmigt und überwacht den IKT-Risikomanagementrahmen und trägt die letztendliche Verantwortung für das Management der IKT-Risiken. Bestimmte kleinere Unternehmen, etwa kleine und nicht verflochtene Wertpapierfirmen, wenden nach Art. 16 einen vereinfachten Rahmen an.

Welche Rolle spielt Microsoft als IKT-Drittdienstleister?

Wer Microsoft 365 oder Azure für kritische oder wichtige Funktionen nutzt, muss Microsoft wie jeden anderen IKT-Drittdienstleister behandeln. Das betrifft drei Pflichten:

• Informationsregister (Art. 28 Abs. 3): Alle vertraglichen Vereinbarungen über IKT-Dienstleistungen gehören in das Register, auch die Microsoft-Verträge mit den genutzten Diensten und Funktionen.
• Vertragliche Mindestinhalte (Art. 30): Dazu zählen unter anderem die Regionen der Datenverarbeitung, Zugangs-, Inspektions- und Prüfrechte, Kündigungsrechte und Unterstützung bei IKT-Vorfällen. Microsoft adressiert diese Punkte über Produktbedingungen, Datenschutznachtrag (DPA) und das Financial Services Amendment und stellt auf Anfrage ein DORA-Mapping-Dokument bereit. Ob das für Ihren Vertragsstand trägt, prüfen Sie selbst.
• Ausstiegsstrategie (Art. 28 Abs. 8): Für Dienste, die kritische oder wichtige Funktionen unterstützen, brauchen Sie dokumentierte und getestete Ausstiegspläne. Praktisch heißt das: Wie kommen Postfächer, SharePoint-Inhalte und Azure-Workloads in einem leicht zugänglichen Format heraus, und in welcher Zeit?

Die europäischen Aufsichtsbehörden haben Microsoft Ireland Operations Limited am 18. November 2025 als kritischen IKT-Drittdienstleister benannt. Damit unterliegt Microsoft einer direkten EU-Aufsicht. Ihre eigenen Pflichten als Finanzunternehmen entfallen dadurch nicht.

Zur Datenverarbeitung: Mit der EU Data Boundary hat sich Microsoft verpflichtet, Kundendaten und personenbezogene Daten für Azure, Microsoft 365, Dynamics 365 und Power Platform innerhalb von EU und EFTA zu speichern und zu verarbeiten, mit dokumentierten Ausnahmen. Für Microsoft 365 gilt das bei einem Anmeldeort in der EU oder EFTA, nicht jedoch bei Multi-Geo-Tenants. In Azure hängt der Speicherort von den gewählten Regionen ab. Diese Angaben gehören in Register und Risikobewertung.

Wie belegen Sie DORA-Anforderungen mit Microsoft Purview Compliance Manager?

Für die Geschäftsführung ist Compliance Manager der Ort, an dem der Umsetzungsstand sichtbar wird: Welche Anforderungen sind erfüllt, welche offen, wer ist zuständig? Für die IT liefert das Werkzeug eine DORA-Vorlage, die zu den Premium-Vorlagen gehört. Sie ordnet den Anforderungen Verbesserungsmaßnahmen zu, teils mit automatischer Prüfung der Microsoft-365-Konfiguration, teils mit manuellem Nachweis per Dokument.

Zwei Einschränkungen gehören dazu. Der Compliance Score misst den Fortschritt bei Maßnahmen, er ist keine rechtliche Konformitätsbestätigung. Und organisatorische Anforderungen wie Notfallpläne oder Vertragsprüfungen belegen Sie weiterhin mit eigenen Dokumenten, die Sie im Assessment hinterlegen.

Wie klassifizieren und melden Sie IKT-Vorfälle fristgerecht?

Schwerwiegende IKT-bezogene Vorfälle sind der zuständigen Behörde in drei Stufen zu melden. Die Fristen regelt Art. 5 der Delegierten Verordnung (EU) 2025/301:

• Erstmeldung innerhalb von vier Stunden nach Einstufung als schwerwiegend, spätestens 24 Stunden nach Kenntniserlangung.
• Zwischenmeldung spätestens 72 Stunden nach der Erstmeldung.
• Abschlussmeldung spätestens einen Monat nach der letzten Zwischenmeldung.

Die Vier-Stunden-Frist beginnt mit der Einstufung. Deshalb braucht es vorab definierte Klassifizierungskriterien und eine klare Zuständigkeit. Technisch bündeln Microsoft Defender XDR und Microsoft Sentinel die Signale aus Identitäten, Endgeräten, E-Mail und Azure zu Vorfällen mit Zeitstempeln und Bearbeitungsverlauf. Aus diesen Daten lassen sich betroffene Dienste, Dauer und Auswirkungen ableiten, also genau die Angaben, die die Meldung verlangt.

Was gilt für Resilienztests und TLPT?

DORA verlangt ein risikobasiertes Testprogramm mit Schwachstellenanalysen, Szenariotests und Penetrationstests (Art. 24 und 25). Finanzunternehmen, die von der Aufsicht dafür ausgewählt werden, müssen zusätzlich mindestens alle drei Jahre bedrohungsgeleitete Penetrationstests (TLPT) durchführen (Art. 26). Verträge mit IKT-Drittdienstleistern für kritische Funktionen müssen die Mitwirkung an TLPT vorsehen (Art. 30 Abs. 3). Für Tests der eigenen Ressourcen in Microsoft 365 und Azure gelten die Microsoft Security Testing Rules of Engagement; eine vorherige Anmeldung bei Microsoft ist dafür nicht erforderlich.

Wo liegen die typischen Lücken?

In der Praxis zeigen sich immer wieder dieselben Themen: ein Informationsregister ohne vollständige Abbildung der Microsoft-Dienste, keine getestete Ausstiegsstrategie, fehlende Klassifizierungskriterien für Vorfälle und ein Testprogramm, das Cloud-Dienste nicht einschließt. Wer bereits ein ISMS nach ISO 27001 betreibt, kann vieles darauf aufbauen. DORA ist jedoch bei Register, Meldefristen und Tests konkreter.

Unser Gap Assessment prüft Ihre Microsoft-Umgebung zum Festpreis gegen die DORA-Anforderungen und zeigt, welche Nachweise vorhanden sind und welche fehlen. Für Erkennung und Vorfallbehandlung im laufenden Betrieb gibt es unser Managed Security, für Penetrationstests und Szenarioprüfungen unsere Security Assessments.

Erstgespräch vereinbaren

Häufig gestellte Fragen

Welche Bußgelder sieht DORA vor?

DORA selbst legt für Finanzunternehmen keine festen Bußgeldbeträge fest. Nach Art. 50 bestimmen die Mitgliedstaaten wirksame, verhältnismäßige und abschreckende Sanktionen und Abhilfemaßnahmen; in Deutschland ist das über das Finanzmarktdigitalisierungsgesetz in den Aufsichtsgesetzen geregelt. Einen konkreten Betrag nennt die Verordnung nur für kritische IKT-Drittdienstleister: ein Zwangsgeld von bis zu 1 Prozent des durchschnittlichen weltweiten Tagesumsatzes, täglich für bis zu sechs Monate (Art. 35). Begriffe wie „wesentliche Einrichtung“ stammen aus NIS2 und spielen für DORA keine Rolle.

Entbindet uns die Benennung von Microsoft als kritischer Drittdienstleister von eigenen Pflichten?

Nein. Die Aufsicht der ESAs über Microsoft ergänzt Ihre Pflichten, ersetzt sie aber nicht. Register, Risikobewertung, Vertragsprüfung und Ausstiegsstrategie bleiben Aufgaben des Finanzunternehmens.

Gilt DORA auch für IT-Dienstleister einer Bank?

Unmittelbar beaufsichtigt werden nur IKT-Drittdienstleister, die als kritisch benannt wurden. Unterstützt Ihre Leistung kritische oder wichtige Funktionen, muss die Bank jedoch die Anforderungen aus Art. 30 vertraglich mit Ihnen vereinbaren, etwa Prüfrechte, Vorfallunterstützung und Mitwirkung an Tests.

Wir haben ISO 27001. Reicht das für DORA?

Nicht vollständig. ISO 27001 deckt viele Grundlagen ab. DORA verlangt darüber hinaus ein Informationsregister im vorgegebenen Format, feste Meldefristen und ein Testprogramm, für ausgewählte Unternehmen einschließlich TLPT. Eine Gap-Analyse zeigt, welche bestehenden Maßnahmen sich anrechnen lassen.