DORA

DORA ist ein horizontaler Rahmen für das IKT-Risikomanagement, keine spezifische Vorschrift für Kryptowerte. Sie beruht auf fünf Säulen: Governance und IKT-Risikomanagement, verpflichtende Meldung schwerwiegender Vorfälle an die zuständige Behörde, Tests der operativen Resilienz (einschließlich TLPT, bedrohungsorientierter Penetrationstests für bedeutende Unternehmen), Management des IKT-Drittparteienrisikos mit einem Informationsregister aller Verträge sowie EU-weite Überwachung kritischer IKT-Drittdienstleister (CTPP) durch eine von den ESA (EBA, ESMA, EIOPA) benannte federführende Überwachungsbehörde (Lead Overseer).

Sie gehört zusammen mit MiCA zum Digital Finance Package der EU und wird von der Richtlinie (EU) 2022/2556 begleitet, die sektorale Richtlinien anpasst. Ergänzt wird sie durch technische Standards (RTS und ITS), die die drei ESA gemeinsam erarbeiten. Sie gilt für rund zwanzig Kategorien von Finanzunternehmen und deren Technologieanbieter.

Für ein Projekt der Tokenisierung ist die Konsequenz unmittelbar. Nach MiCA zugelassene Anbieter von Kryptowerte-Dienstleistungen (CASP) fallen in den Anwendungsbereich von DORA. Ein Stablecoin-Emittent oder eine Tokenisierungsplattform erfüllt beide Vorschriften parallel: Das Unternehmen steuert das IKT-Risiko, erfasst seine Anbieter für Cloud, Verwahrung und Oracles im Register und meldet Vorfälle fristgerecht. Die Abhängigkeit von externen Oracles und Verwahrern zählt als IKT-Drittparteienrisiko.