Die DORA-Verordnung (EU) 2022/2554 legt nicht nur strenge Regeln für die digitale Resilienz fest, sondern definiert auch klare Haftungsregelungen für Unternehmen und deren Verantwortliche.
Die Haftung betrifft verschiedene Ebenen innerhalb eines Finanzunternehmens:
Unternehmen als Ganzes
- Finanzunternehmen und kritische IT-Drittanbieter haften für Verstöße gegen DORA und können mit Sanktionszahlungen, Betriebseinschränkungen oder Lizenzentzug belegt werden.
- Verstöße können auch zu Regulierungsmaßnahmen durch nationale Aufsichtsbehörden führen (z. B. die BaFin in Deutschland oder die FMA in Österreich).
C-Level, CISOs & technische Leiter
- Führungskräfte wie CISOs, CTOs und Vorstände sind persönlich haftbar, wenn sie nachweislich fahrlässig oder vorsätzlich gegen die DORA-Vorgaben verstoßen.
- Fehlende oder unzureichende Implementierung von IT-Sicherheitsmaßnahmen kann persönliche Strafen oder Berufsverbote nach sich ziehen.
Drittanbieter & IT-Dienstleister
- IT-Dienstleister, die als kritische Drittparteien gelten, müssen die gleichen Sicherheitsanforderungen wie Finanzunternehmen erfüllen.
- Banken, Versicherer und FinTechs haften mit, wenn ihre IT-Dienstleister die DORA-Anforderungen nicht erfüllen.
Welche Strafen drohen bei Verstößen?
Unternehmen, die gegen DORA verstoßen, müssen mit folgenden Sanktionen rechnen:
Geldstrafen:
- Bis zu 2 % des Jahresumsatzes oder 10 Mio. € für große Finanzunternehmen
- Bis zu 1 % des Jahresumsatzes oder 5 Mio. € für kleinere Unternehmen
Zusätzliche Maßnahmen:
- Behördliche Anordnungen zur Systemabschaltung oder Geschäftseinschränkung
- Haftung für Geschäftsführer, CISOs und Vorstände
- Persönliche Berufsverbote für Führungskräfte bei schweren Verstößen
Was müssen Unternehmen tun, um Haftung zu vermeiden?
- DORA-Compliance durch klare IKT-Risikomanagement-Prozesse sicherstellen
- Dokumentation & Nachweise für Behörden jederzeit abrufbar halten
- Regelmäßige Audits, Penetrationstests und Incident-Response-Übungen durchführen
- CISOs und CTOs sollten ein starkes internes Kontrollsystem etablieren
Fazit: Haftung unter DORA ist real!
C-Level, CISOs und Finanzunternehmen tragen eine direkte Verantwortung, um die digitale Resilienz sicherzustellen. Wer DORA nicht ernst nimmt, riskiert hohe Strafen und persönliche Konsequenzen.
