MSP Wachstum

Last updated April 11, 2025

13 min read

Vollständiger Guide: DORA vs. DSGVO: Worin besteht der Unterschied?

Chiara Quiocho
by Chiara Quiocho, Technical Writer | übersetzt von Dragos Frangulea

Der Digital Operational Resilience Act (DORA) ist eine neu in Kraft getretene EU-Verordnung, die darauf abzielt, die digitale Widerstandsfähigkeit von Finanzinstituten und deren Drittdienstleistern zu verbessern. In der Zwischenzeit regelt die Allgemeine Datenschutzverordnung (DSGVO), wie Organisationen die personenbezogenen Daten von Einzelpersonen innerhalb der EU erfassen, speichern, verarbeiten und schützen.

Beide Verordnungen zielen darauf ab, die Sicherheit zu erhöhen und Organisationen und Einzelpersonen im digitalen Raum zu schützen. Das Verständnis der Unterschiede und Gemeinsamkeiten zwischen DORA und DSGVO ist für in der EU tätige Institutionen von entscheidender Bedeutung, insbesondere da die digitale Abhängigkeit wächst und das Risiko von Cyber-Bedrohungen steigt.

Dieser Leitfaden befasst sich mit DORA vs. DSGVO und behandelt deren Definitionen, Zwecke, Hauptunterschiede, Gemeinsamkeiten und geschäftliche Auswirkungen.

Was ist DORA?

Der Digital Operational Resilience Act (DORA) ist eine EU-Verordnung zur Cybersicherheit, mit der die betriebliche Widerstandsfähigkeit von Finanzinstituten (wie Banken, Wertpapierfirmen und Versicherungsunternehmen) und ihren Drittanbietern (einschließlich Anbietern von Datenberichten und Cloud-Diensten) gestärkt werden soll.

Sie erkennt die wachsende Abhängigkeit des Finanzsektors von der digitalen Technologie und die damit verbundenen zunehmenden Sicherheitsrisiken an. DORA bietet einen standardisierten Ansatz, der fünf wichtige Säulen umfasst, um branchenweit einheitliche IKT-Resilienzverfahren zu gewährleisten:

IKT-Risikomanagement – Förderung des Verständnisses von IKT-Risiken und Einführung solider Managementstrategien oder -rahmen zur Minderung von Cyberrisiken und zur Gewährleistung der Geschäftskontinuität.
Meldung von IKT-Vorfällen – Verpflichtung zur Meldung von IKT-Vorfällen an die Aufsichtsbehörden innerhalb eines bestimmten Zeitrahmens.
Prüfung der digitalen operativen Belastbarkeit – Regelmäßige Prüfung von IT-Systemen zur Bewertung der Belastbarkeit und zur Ermittlung von Schwachstellen, einschließlich Penetrationstests, Red Teaming und anderer Sicherheitsbewertungen.
IKT-Risikomanagement für Dritte – Wachsame Überwachung von Drittanbietern, einschließlich klarer Vertragsbedingungen für Risikomanagement und Sicherheitsstandards.
Austausch von Informationen und Erkenntnissen – Austausch von Erkenntnissen über Bedrohungen der Cybersicherheit zur Verbesserung der kollektiven Widerstandsfähigkeit in der gesamten Branche.

DORA-Anforderungen und Fristen

Da DORA eine verbindliche Vorschrift für alle Finanzinstitute und ihre Drittdienstleister in der EU ist, kann die Nichteinhaltung zu Geldstrafen und Reputationsschäden führen. DORA wurde auf am 17. Januar 2025 vollständig umgesetzt, was bedeutet, dass Organisationen nun die Standards einhalten müssen. Im Folgenden finden Sie die wichtigsten Compliance-Anforderungen und Fristen, die Sie beachten sollten:

IKT-Risikomanagement
Beaufsichtigung durch Dritte
Berichterstattung über Vorfälle
Governance
System-Dokumentation
Verträge mit Anbietern
Konzentrationsrisiken
Überwachung
Ausbildung der Mitarbeiter
Kontinuierliche Verbesserung

Bis 30. April 2025 müssen die Finanzinstitute ihr Informationsregister vorlegen, einschließlich der Dokumentation von IKT-Anbietern, kritischen Funktionen und Untervertragsvereinbarungen. Künftig werden vierteljährliche und jährliche Berichte über laufende IKT-Vorfälle, Ausfallsicherheitskennzahlen und Testauswertungen während des Jahres erforderlich sein.

Was ist DSGVO?

Die General Data Protection Regulation (DSGVO) ist ein EU-Gesetz, das die Erhebung, die Verarbeitung und den Schutz personenbezogener Daten für alle Personen in der Europäischen Union regelt. Sie gilt weithin als das weltweit strengste Gesetz zum Schutz der Privatsphäre und der Sicherheit, das jedem Unternehmen weltweit, das personenbezogene Daten von EU-Bürgern verarbeitet, Verpflichtungen auferlegt, unabhängig von deren Standort. Diese Verordnung gibt den EU-Bürgern mehr Kontrolle über ihre persönlichen Daten und deren Verwendung durch Unternehmen.

Werfen wir einen Blick auf die sieben Kernprinzipien der DSGVO:

Rechtmäßigkeit, Fairness und Transparenz – Die Erhebung und Verarbeitung personenbezogener Daten muss rechtmäßig, fair und offen gegenüber der betroffenen Person erfolgen.
Zweckbindung – Die Datenerhebung darf nur für festgelegte, rechtmäßige Zwecke erfolgen, die der betroffenen Person bei der Erhebung klar mitgeteilt werden müssen.
Datenminimierung – Es sollten nur die minimal notwendigen Daten gesammelt werden, um die angegebenen Zwecke zu erfüllen.
Genauigkeit – Die Daten müssen genau und aktuell gehalten werden.
Speicherbegrenzung – Daten sollten nur gespeichert werden, wenn sie notwendig sind, und Organisationen müssen sie löschen, sobald sie nicht mehr benötigt werden.
Integrität und Vertraulichkeit – Unternehmen müssen Daten sicher verarbeiten, ihre Integrität und Vertraulichkeit gewährleisten und sie gleichzeitig vor Verstößen und unbefugtem Zugriff schützen.
Rechenschaftspflicht – Organisationen müssen die DSGVO-Compliance nachweisen, indem sie sich an diese Grundsätze halten.

Anforderungen an die DSGVO-Compliance und Sanktionen

Die Einhaltung der DSGVO geht über die bloße Erfüllung der aufgelisteten Anforderungen hinaus. Dazu gehört auch der Nachweis der Richtlinien und Verfahren, die Unternehmen zur Einhaltung der Grundprinzipien der Verordnung einsetzen. Hier finden Sie eine detaillierte Aufschlüsselung der DSGVO-Anforderungen:

Rechtmäßige Grundlage und Transparenz – Organisationen müssen ein aktuelles Verzeichnis der Datenverarbeitungstätigkeiten, der Zugangsdaten und der Schutzmaßnahmen, einschließlich der Aufbewahrungsrichtlinien, führen. Für Verarbeitungen mit hohem Risiko verlangt die DSGVO eine Datenschutz-Folgenabschätzung (DPIA), die idealerweise während der Projektplanung durchgeführt wird. Sie ist zwar nicht immer obligatorisch, zeigt aber die Einhaltung der Datenschutzgrundverordnung. Wenn ein Datenschutzbeauftragter (DSB) beschäftigt ist, muss dieser konsultiert werden, um die Einhaltung der Rechtsvorschriften zu gewährleisten.
Datensicherheit – Organisationen müssen technische und organisatorische Maßnahmen zum Schutz von Daten ergreifen, wie z. B. Verschlüsselung und Anonymisierung. Außerdem müssen sie ihr Personal im Umgang mit Daten schulen und Aufzeichnungen über diese Schulungen führen. Darüber hinaus müssen Organisationen ein klares Protokoll für die Reaktion auf Datenschutzverletzungen haben, bei denen personenbezogene Daten preisgegeben werden, und sie müssen Datenschutzverletzungen innerhalb von 72 Stunden melden.
Rechenschaftspflicht und Governance – Unternehmen müssen einen Verantwortlichen für die Einhaltung der DSGVO benennen, der für die Überwachung der Umsetzung verantwortlich ist und als Hauptansprechpartner fungiert. Diese Person sollte ein Experte für die DSGVO, Datenschutzgesetze und deren Durchsetzung sein. Ein Datenschutzbeauftragter (DSB) wird im Allgemeinen für diese Aufgabe empfohlen.
Datenschutzrechte – Organisationen müssen sicherstellen, dass die Betroffenen ihre Rechte in Bezug auf den Datenschutz kennen. Dazu gehört, dass sie Kopien ihrer personenbezogenen Daten anfordern und sich auf ihr „Recht auf Vergessenwerden“ berufen können, das es ihnen ermöglicht, die dauerhafte Löschung ihrer Daten zu verlangen. Die Organisationen müssen sicherstellen, dass diese Anträge bearbeitet werden, und sie müssen diese Prozesse transparent machen.
Konzept der Einwilligung – Organisationen müssen ein Einwilligungssystem einführen, das es den Betroffenen ermöglicht, ausdrücklich zuzustimmen, bevor Daten gesammelt werden. Vorgefertigte Opt-in-Boxen sind nicht zulässig. Die Zustimmungsmöglichkeiten müssen getrennt von den Allgemeinen Geschäftsbedingungen und auf unterschiedliche Weise angegeben werden. Außerdem müssen die Organisationen Aufzeichnungen über die erhaltene Zustimmung führen.

Es ist wichtig, daran zu denken, dass die Nichteinhaltung der DSGVO zu schweren finanziellen Strafen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist) führen kann.

ALSO READ: Warum NinjaOne die Privatsphäre der Kunden schützt, um DSGVO-konform zu sein

DORA vs. DSGVO: Wesentliche Unterschiede

DORA und DSGVO haben das gemeinsame Ziel, die Datensicherheit und den Schutz der betroffenen Personen zu gewährleisten. Sie haben jedoch unterschiedliche Perspektiven, die es zu verstehen gilt. Hier sind die wichtigsten Unterschiede zwischen DORA und DSGVO:

DORA-Anwendungsbereich vs. DSGVO-Anwendungsbereich

DORA konzentriert sich auf die operationelle Widerstandsfähigkeit der IKT und bietet einen harmonisierten Rahmen für Finanzinstitute und ihre Drittanbieter, um sich gegen Cybersecurity- und IKT-Risiken zu schützen, die den Betrieb stören könnten.

Auf der anderen Seite konzentriert sich die DSGVO auf den Datenschutz und die Privatsphäre und regelt die Erhebung, Verarbeitung, Speicherung und Weitergabe personenbezogener Daten von Einzelpersonen in der EU. Die DSGVO räumt den Nutzerrechten Vorrang ein, um Datenmissbrauch zu verhindern und transparente Datenverarbeitungspraktiken zu gewährleisten.

DORA-Fokus vs. DSGVO-Fokus

Was DORA von der DSGVO unterscheidet, ist der starke Fokus auf das Cybersecurity-Risikomanagement. DORA erkennt die zunehmende Abhängigkeit der Finanzinstitute von der digitalen Technologie sowie die wachsenden Risiken an. Ihr Ziel ist es, einen sicheren digitalen Betrieb und die Widerstandsfähigkeit gegen Cyber-Bedrohungen zu gewährleisten.

Die Datenschutz-Grundverordnung hingegen legt den Schwerpunkt auf den Schutz personenbezogener Daten und gibt den Nutzern mehr Kontrolle über ihre persönlichen Daten, unabhängig davon, mit welchem Unternehmen oder welcher Branche sie weltweit interagieren.

DORA-anwendbare Einrichtungen vs. DSGVO-anwendbare Einrichtungen

DORA gilt für Finanzinstitute wie Banken, Versicherungen, Wertpapierfirmen, Kreditinstitute, Krypto-Asset-Dienstleister und Zahlungsabwickler sowie für IKT-Drittanbieter, einschließlich Cloud-Service-Anbieter, Rechenzentren und Software-Anbieter innerhalb der EU.

Inzwischen gilt die DSGVO für jede Organisation weltweit, die personenbezogene Daten von EU-Bürgern verarbeitet, unabhängig von ihrem Standort.

DORA-Compliance vs. DSGVO-Compliance

Die Einhaltung der DORA-Bestimmungen konzentriert sich auf die Umsetzung eines soliden Rahmens für das IKT-Risikomanagement, der eine kontinuierliche Überwachung, Cybersicherheitstests, die Meldung von Zwischenfällen und die Gewährleistung der Einhaltung von Sicherheitsstandards durch Drittanbieter umfasst.

In der Zwischenzeit umfasst die Einhaltung der DSGVO umfassendere Datenschutzmaßnahmen, einschließlich der Verwaltung personenbezogener Daten. Organisationen müssen nachweisen, wie sie Datenzugriff und -übertragbarkeit, sichere Speicherung und Verschlüsselung, Datenlöschungsanträge und Benachrichtigungen über Datenschutzverletzungen gewährleisten.

Durchsetzung der DORA-Vorschriften vs. Durchsetzung der DSGVO-Vorschriften

Die DORA wird von den Finanzaufsichtsbehörden überwacht und durchgesetzt, zu denen die Europäische Bankenaufsichtsbehörde (EBA), die Europäische Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung (EIOPA), die Europäische Wertpapier- und Marktaufsichtsbehörde (ESMA) und die nationalen Finanzaufsichtsbehörden gehören.

Die DSGVO wird von Datenschutzbehörden wie dem Europäischen Datenschutzausschuss (EDPB), nationalen Datenschutzbehörden in jedem EU-Mitgliedstaat und Aufsichtsbehörden durchgesetzt.

Ähnlichkeiten zwischen DORA und DSGVO

Auch wenn DORA und DSGVO aus unterschiedlichen Blickwinkeln betrachtet werden, so weisen sie doch gemeinsame Aspekte auf, durch die sie sich gegenseitig ergänzen. Zu den wichtigsten Ähnlichkeiten zwischen DORA und DSGVO gehören:

Risikomanagement und Berichterstattung über Vorfälle

Sowohl DORA als auch DSGVO wurden eingeführt, um den zunehmenden Risiken im expandierenden digitalen Raum zu begegnen. Diese Verordnungen schreiben den Unternehmen, die in ihren Geltungsbereich fallen, einen strengen Rahmen für das Risikomanagement vor.

Darüber hinaus müssen in beiden Fällen Vorfälle innerhalb strenger Fristen gemeldet werden, um eine kontinuierliche Verbesserung des Risikomanagements zu gewährleisten. DORA schreibt vor, dass Vorfälle im Bereich der Cybersicherheit innerhalb bestimmter Fristen an die Aufsichtsbehörden gemeldet werden müssen, während DSGVO von Unternehmen verlangt, Datenschutzverletzungen innerhalb von 72 Stunden zu melden.

Strenge Auflagen und Sanktionen

Es gibt große Unterschiede zwischen den DORA- und den DSGVO-Anforderungen. Beide setzen jedoch strenge Normen zur Einhaltung der Vorschriften durch. DORA schreibt Ausfallsicherheitstests, Sicherheitsrahmen und Compliance-Audits vor, während DSGVO sich auf Datenschutzrichtlinien, Verschlüsselung, Einwilligung und Datenhandhabungsmanagement konzentriert.

Beide Verordnungen sehen auch schwere Strafen vor. DORA sieht hohe Geldstrafen, Geschäftsbeschränkungen und rechtliche Konsequenzen vor, während DSGVO Geldstrafen von bis zu 20 Millionen Euro oder 4 % des weltweiten Umsatzes sowie potenzielle Rufschädigung bei Verstößen vorsieht.

Schutz von Verbrauchern und Unternehmen vor Cyber-Bedrohungen

DORA und DSGVO verfolgen vor allem das gleiche Ziel: den Schutz von Verbrauchern und Unternehmen vor Cyber-Bedrohungen. Beide Verordnungen enthalten standardisierte Richtlinien, die den Instituten helfen sollen, sich selbst und ihre Kunden zu schützen, wenn sie sich bei ihren täglichen Geschäften auf die digitale Technologie verlassen, die sich ständig weiterentwickelt und immer komplexer wird.

Auswirkungen für Unternehmen

DORA und DSGVO sind komplexe Vorschriften mit erheblichen Auswirkungen auf Unternehmen. Die Nichteinhaltung kann zu schweren Strafen führen und den Ruf, die Integrität und die Zuverlässigkeit eines Unternehmens schädigen. Die Einhaltung der Vorschriften trägt jedoch dazu bei, ein sicheres Umfeld für die Institutionen, ihre Mitarbeiter und die Verbraucher zu schaffen, das Vertrauen und Widerstandsfähigkeit gewährleistet.

Wie man sich auf die DORA- und DSGVO-Compliance vorbereitet

Organisationen müssen die Grundprinzipien beider Vorschriften verstehen und umfassende Rahmenwerke entwickeln, um sie nach den höchsten Standards einzuhalten.

Für DORA müssen Finanzinstitute IKT-Risikomanagement-Rahmenwerke, Ausfallsicherheitstests und Reaktionspläne für Zwischenfälle einrichten und sicherstellen, dass Drittanbieter die Sicherheitsanforderungen von DORA erfüllen.

Für die DSGVO müssen Unternehmen Datenschutzpläne, Zustimmungsmanagement und Datenverarbeitungsrichtlinien implementieren und starke Verschlüsselungs- und Zugangskontrollen zum Schutz personenbezogener Daten durchsetzen.

Sich überschneidende Compliance-Anforderungen für DORA und DSGVO

Da beide Verordnungen ein gemeinsames Ziel verfolgen, gibt es sich überschneidende Anforderungen, die den Instituten, die beide erfüllen müssen, zugute kommen können. DORA und DSGVO sind streng in Bezug auf die Meldung von Vorfällen, Risikobewertungen und kontinuierliche Überwachung. Unternehmen müssen ihre Sicherheits-, Compliance- und Datenschutzrichtlinien aufeinander abstimmen, um einen einheitlichen Ansatz für Datenschutz und Cybersicherheit zu gewährleisten.

Darüber hinaus unterliegen die unter DORA fallenden Finanzinstitute auch der DSGVO. Diejenigen, die sowohl mit finanziellen als auch mit personenbezogenen Daten umgehen, müssen die Cybersicherheitsmaßnahmen der DORA mit den Datenschutzgrundsätzen der DSGVO verbinden.

Die Rolle der IT-Sicherheit, der Rechtsteams und der Compliance-Beauftragten bei der Gewährleistung der Compliance

IT-Sicherheitsteams sind für die Überwachung, Prävention und Reaktion auf Cyber-Bedrohungen sowie für die Umsetzung von Datensicherheitsmaßnahmen zur Aufrechterhaltung einer sicheren digitalen Umgebung zuständig. Sie arbeiten eng mit den Rechts- und Compliance-Teams zusammen, die sicherstellen, dass alle rechtlichen Anforderungen gemäß DORA und DSGVO vollständig erfüllt werden.

Digital Operational Resilience Act vs. General Data Protection Regulation: Zusammenfassung

Die Europäische Union hat sich verpflichtet, Cybersicherheitsrisiken zu bekämpfen, wobei DORA und DSGVO als wichtige Schritte zur Sicherung des digitalen Finanzsektors dienen. DORA unterstützt den Finanzsektor bei der Bewältigung der digitalen Komplexität und der operationellen Risiken, um die Widerstandsfähigkeit im Tagesgeschäft zu gewährleisten. In der Zwischenzeit konzentriert sich die DSGVO auf den Schutz der betroffenen Personen und die Schaffung eines sicheren digitalen Umfelds, in dem die Daten der EU-Bürger geschützt sind und sie die Kontrolle über ihre persönlichen Informationen haben.

Für Unternehmen, die sich mit beiden Vorschriften auseinandersetzen müssen, kann ein integrierter Ansatz, der das IKT-Risikomanagement mit den Grundsätzen des Datenschutzes in Einklang bringt, die Einhaltung der Vorschriften erheblich unterstützen. Die funktionsübergreifende Zusammenarbeit zwischen IT-Sicherheits-, Rechts- und Compliance-Teams muss ebenfalls strikt eingehalten werden, um die vollständige DORA und DSGVO-Compliance zu gewährleisten.

Weitere Einzelheiten finden Sie in den nachstehenden Ressourcen.

Häufig gestellte Fragen (FAQs)

Wie wirkt sich die DORA auf Finanzinstitute aus?

DORA schreibt strengere Maßnahmen zur Cybersicherheit und zum IKT-Risikomanagement für Finanzinstitute und deren Drittdienstleister vor. Es zielt insbesondere darauf ab, Cyber-Bedrohungen und Betriebsstörungen im Finanzsektor zu verhindern.

Gilt die DSGVO für die Cybersicherheit?

Ja, die Datenschutz-Grundverordnung enthält strenge Cybersicherheitsanforderungen in Bezug auf Datenschutz, Verschlüsselung und Benachrichtigung bei Verstößen. Ihr Hauptaugenmerk liegt auf dem Datenschutz, was die Integration bewährter Verfahren der Cybersicherheit erforderlich macht.