DORA-Manager

Die Verordnung · Kapitel II: IKT-Risikomanagement · Der IKT-Risikomanagementrahmen

Artikel 7

IKT-Systeme, -Protokolle und -Tools

Wen dieser Artikel betrifft

  • VVoller Rahmen
  • 16Artikel 16
  • IKTIKT-Dienstleister

Verordnung (EU) 2022/2554 · Kapitel II, Artikel 7 · gilt seit dem 17. Januar 2025 · Amtlicher Text bei EUR-Lex (CELEX 32022R2554)
Rechtsstand dieser Seite: 28. September 2026

Wortlaut

Amtliche deutsche Fassung, Verordnung (EU) 2022/2554, veröffentlicht im Amtsblatt der Europäischen Union L 333 vom 27.12.2022. Verbindlich ist der dort veröffentlichte Wortlaut.

Um IKT-Risiken zu bewältigen und zu managen, verwenden und unterhalten Finanzunternehmen stets auf dem neuesten Stand zu haltende IKT-Systeme, -Protokolle und -Tools, die

  • a)dem Umfang von Vorgängen, die die Ausübung ihrer Geschäftstätigkeiten unterstützen, im Einklang mit dem Grundsatz der Verhältnismäßigkeit nach Artikel 4 angemessen sind;
  • b)zuverlässig sind;
  • c)mit ausreichenden Kapazitäten ausgestattet sind, um die Daten, die für die Ausführung von Tätigkeiten und die rechtzeitige Erbringung von Dienstleistungen erforderlich sind, genau zu verarbeiten und Auftragsspitzen, Mitteilungen oder Transaktionen auch bei Einführung neuer Technologien bewältigen zu können;
  • d)technologisch resilient sind, um dem unter angespannten Marktbedingungen oder anderen widrigen Umständen erforderlichen zusätzlichen Bedarf an Informationsverarbeitung angemessen zu begegnen.

Neben jedem Absatz steht ein . Ein Klick darauf setzt die Adresse genau dieses Absatzes in die Adresszeile, zum Kopieren in Ihre eigene Richtlinie, eine Vorlage oder ein Prüfungsprotokoll. Verweise auf andere Artikel dieser Verordnung sind verlinkt.

Worum es geht

Artikel 7 ist kurz und wird deshalb unterschätzt. Er verlangt, dass die eingesetzten Systeme angemessen, zuverlässig, ausreichend leistungsfähig und technisch aktuell sind.

Er ist die Vorschrift, an der sich Altsysteme brechen, und der Grund, warum eine Kapazitätsplanung nicht nur eine gute Idee, sondern eine Anforderung ist.

In der Praxis

„Technisch aktuell“ ist die Klippe

Kaum ein Haus im Finanzsektor hat keine Altsysteme. Die Anforderung verlangt auch nicht, dass es keine gibt. Sie verlangt, dass man weiß, welche es sind, welches Risiko daraus folgt und was dagegen getan wird.

Was trägt, ist ein dokumentierter Umgang: Liste der Systeme außerhalb des Supports, Risikobewertung je System, kompensierende Maßnahmen, Ablösefahrplan mit Datum. Was nicht trägt, ist die Aussage, man kenne das Thema.

Kapazität ist eine Nachweisfrage, keine Gefühlsfrage

Die Delegierte Verordnung konkretisiert das in einem eigenen Artikel zum Kapazitäts- und Leistungsmanagement. Verlangt wird kein Kapazitätsmanagement-Werkzeug, sondern eine nachvollziehbare Planung: Welche Ressourcen werden beobachtet, mit welchen Schwellen, wer reagiert wann.

Bei ausgelagerten Systemen liegt die Messung beim Dienstleister; dann gehört die entsprechende Berichterstattung in den Vertrag und in die laufende Überwachung.

Konkretisiert durch

Die Zuordnung der einzelnen Artikel ist eine fachliche Einschätzung. Verbindlich ist allein der Wortlaut der jeweiligen Verordnung.

Was am Ende vorliegen muss

Erfüllt ist die Anforderung, wenn diese Unterlagen vorliegen, aktuell sind und zueinander passen, nicht, wenn sie einzeln existieren:

  • Verzeichnis der IKT-Systeme mit Angabe des Supportstatus
  • Bewertung und Behandlung der Altsysteme einschließlich Ablösefahrplan
  • Kapazitäts- und Leistungsplanung, bei ausgelagerten Systemen die Berichterstattung des Dienstleisters

Häufige Fragen zu Artikel 7

Verbietet DORA Altsysteme?

Nein. Artikel 7 DORA verlangt technisch aktuelle Systeme, Artikel 8 Absatz 7 DORA verlangt für Altsysteme aber eine besondere, mindestens jährliche Risikobewertung. Zulässig ist der Weiterbetrieb mit dokumentierter Bewertung, kompensierenden Maßnahmen und einem Ablösefahrplan.

Stand: 28. September 2026