Vergleich
Cyberresilienz-Verordnung und DORA: Was gilt für Ihr Produkt?
Geprüft im August 2026 anhand der Verordnung (EU) 2024/2847, ABl. L, 20.11.2024.
Kurz gesagt: DORA regelt das Management des IKT-Risikos von Finanzunternehmen der Union und, über den Vertrag, das ihrer Technologielieferanten; die Cyberresilienz-Verordnung regelt die Cybersicherheit von Produkten mit digitalen Elementen, die in den Verkehr gebracht werden. Keine verdrängt die andere, und unser geprüfter Wortlaut der Cyberresilienz-Verordnung erwähnt DORA überhaupt nicht.
Was jede von beiden regelt
Die Cyberresilienz-Verordnung gilt für ein Produkt mit digitalen Elementen: ein Software- oder Hardwareprodukt samt seinen Datenfernverarbeitungslösungen, auf dem Markt bereitgestellt und mit einer Datenverbindung zu einem Gerät oder Netz. Ihre Pflichten, also die Behandlung von Schwachstellen, eine Software-Stückliste, sichere Voreinstellungen und ein erklärter Unterstützungszeitraum, hängen an diesem Produkt und an dem Wirtschaftsakteur, der es liefert: dem Hersteller, dem Bevollmächtigten, dem Einführer, dem Händler oder einer anderen Person, die Pflichten aus der Verordnung trägt.
„ein Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen, einschließlich Software- oder Hardwarekomponenten, die getrennt in den Verkehr gebracht werden“
„den Hersteller, den Bevollmächtigten, den Einführer, den Händler oder jede andere natürliche oder juristische Person, die Verpflichtungen im Zusammenhang mit der Herstellung von Produkten mit digitalen Elementen oder der Bereitstellung auf dem Markt von Produkten mit digitalen Elementen im Einklang mit dieser Verordnung unterliegt“
Die Verordnung (EU) 2022/2554 (DORA-Verordnung, die Verordnung über die digitale operationale Resilienz im Finanzsektor) verpflichtet Banken, Versicherer, Wertpapierfirmen und weitere beaufsichtigte Finanzunternehmen, das IKT-Risiko im eigenen Betrieb zu steuern, ihre digitale operationale Resilienz zu testen und die Aufsicht über den Vertrag auf ihre Technologielieferanten zu erstrecken, wobei bestimmte Lieferanten als kritische IKT-Drittdienstleister behandelt werden. Sie zielt darauf, wie der Finanzsektor seinen Technikeinsatz steuert, nicht unmittelbar auf die Produkte, die diese Lieferanten bauen. Vollständiger Wortlaut: Verordnung (EU) 2022/2554, ABl. L 333 vom 27.12.2022 (DORA).
Überschneiden sie sich, und welche geht vor
Die Cyberresilienz-Verordnung nennt eine kurze, abschließende Liste anderer Rechtsakte der Union, die ihr für bestimmte Produktkategorien vorgehen: Medizinprodukte, In-vitro-Diagnostika, luftfahrtzertifizierte Ausrüstung, Schiffsausrüstung und die Typgenehmigung von Kraftfahrzeugen.
„Diese Verordnung gilt nicht für Produkte mit digitalen Elementen, auf die folgende Rechtsakte der Union Anwendung finden:“
DORA steht nicht auf dieser Liste, und kein anderer Auszug in unserem geprüften Korpus nennt DORA in irgendeiner Richtung. Die Ausnahmeliste oben ist ein abgeschlossener Satz von Produktsicherheitsregeln; DORA regelt die operationale Resilienz des Finanzsektors, einen völlig anderen Gegenstand. Nichts im geprüften Wortlaut der Cyberresilienz-Verordnung legt nahe, dass DORA sie verdrängt oder umgekehrt: Ein Lieferant kann über den Vertrag einer Kundin oder eines Kunden in den Wirkungskreis von DORA geraten und zugleich eigenständig Pflichten aus der Cyberresilienz-Verordnung als Hersteller, Einführer oder Händler tragen, wie oben beschrieben.
Was das in der Praxis bedeutet
- Ist Ihre Kundschaft ein in der Union beaufsichtigtes Finanzunternehmen, kann DORA sie verpflichten, Sicherheits- und Meldeklauseln als IKT-Drittdienstleister in Ihren Vertrag aufzunehmen; diese Pflicht kommt von deren Seite aus DORA, nicht aus etwas, das die Cyberresilienz-Verordnung von Ihnen verlangt.
- Ihre Pflichten aus der Cyberresilienz-Verordnung zu erfüllen (Behandlung von Schwachstellen, eine Software-Stückliste, sichere Voreinstellungen, ein erklärter Unterstützungszeitraum) kann bei der von DORA getriebenen Prüfung durch eine Kundin aus dem Finanzsektor helfen, doch die Cyberresilienz-Verordnung selbst verweist nirgends auf DORA und begründet keine DORA-eigene Pflicht.
- Ist Ihr eigenes Produkt ein Produkt mit digitalen Elementen, schulden Sie Ihrer Marktüberwachungsbehörde die Herstellerpflichten aus der Cyberresilienz-Verordnung, unabhängig davon, ob eine Kundin oder ein Kunde ein Finanzunternehmen ist.
- Behandeln Sie die Einhaltung von DORA und die Einhaltung der Cyberresilienz-Verordnung als zwei getrennte Arbeitsstränge mit zwei getrennten Beratungen.
- Cybiq prüft ausschließlich die Cyberresilienz-Verordnung: Ob Sie ein Finanzunternehmen im Sinne von DORA oder ein kritischer IKT-Drittdienstleister sind, wird hier nicht bewertet; diese Feststellung liegt vollständig außerhalb dessen, was wir prüfen.
Orientierung, keine Rechtsberatung. Cybiq prüft ausschließlich die Cyberresilienz-Verordnung. Die zitierten Auszüge stammen aus der Verordnung (EU) 2024/2847 in der im Amtsblatt veröffentlichten Fassung und werden durch automatisierte Tests am Wortlaut nachgeprüft. Prüfen Sie jeden Punkt, bevor Sie sich darauf stützen; für eine verbindliche Bewertung wenden Sie sich an eine qualifizierte Fachkraft.