事件概述：欧盟《数字运营韧性法案》（DORA）全面生效，合规大限已至
2026年1月17日，欧盟《数字运营韧性法案》（Digital Operational Resilience Act, DORA）正式进入全面执行阶段。该法规于2023年1月通过，给予金融行业及关键第三方技术服务商（如云服务商）三年的过渡期。DORA强制要求所有在欧盟运营的银行、保险公司、投资公司及支付机构，必须建立统一的、可审计的ICT风险管理框架，并完成强制性渗透测试。据欧盟委员会统计，超过22,000家欧盟金融实体及约600家关键第三方供应商直接受此法规约束。对于在德经营的中国金融科技企业及为中资企业提供IT服务的公司而言，这意味着合规成本与法律责任的双重升级。
深度分析：从“最佳实践”到“法律义务”的范式转变
DORA的核心影响在于将IT韧性从行业自律建议提升为具有法律约束力的义务。首先，罚款力度空前。违反关键条款的企业可能面临高达其全球年营业额2%的行政罚款，对于大型金融机构，这一数字可达数亿欧元。其次，第三方风险管理被彻底重塑。DORA要求金融实体对其所有ICT外包服务商进行尽职调查、持续监控和合同约束。特别是被指定为“关键”的第三方服务商（如AWS、阿里云或华为云在欧洲的分支），必须接受欧盟监管机构（欧洲银行管理局EBA等）的直接审查。一位来自法兰克福金融管理中心的合规顾问向本报指出：“过去，很多中资企业将IT系统外包后便认为责任已转移。现在，DORA明确规定，金融实体必须对其整个供应链的运营韧性负最终责任。”此外，强制性的威胁情报共享（如网络攻击事件须在4小时内向监管机构报告）也带来了数据跨境与商业秘密保护的新挑战。根据德勤2025年底的一项调研，仅有约35%的受访金融科技公司已完全准备好DORA合规，大量中小企业仍面临显著的合规缺口。
对中国企业/投资者的启示和建议
- 立即启动ICT供应商合规审计：所有在德提供金融科技服务或IT支持的中国企业，应主动对标DORA附件III中的“关键功能”定义，梳理自身是否属于监管范围。建议聘请德国本地TÜV或四大会计师事务所进行差距分析，重点审查事件响应流程、业务连续性计划（BCP）及合同条款中的监管权限条款。
- 重构第三方风险管理（TPRM）框架：若贵司作为云服务商、数据中心或软件开发商服务于欧盟金融机构，必须准备好接受客户及监管机构的穿透式审查。应在2026年第三季度前，建立符合ISO 27001及DORA标准的内部控制文档，并在合同中明确加入“监管访问权”和“数据本地化”条款，以避免因客户合规压力而失去欧洲市场。
- 利用DORA实现合规壁垒优势：合规是成本，也是护城河。对于已通过DORA认证的中资金融科技公司，应将其作为核心市场准入资质进行推广。在参与德国联邦金融监管局（BaFin）许可的支付或信贷业务时，DORA合规记录可显著缩短审批周期。建议投资者在评估欧洲金融科技标的时，将DORA合规成熟度作为估值调整的关键因子。
来源：欧盟委员会官方公报（2023/2554号法规）、欧洲银行管理局（EBA）DORA实施指南（2025年更新）、德勤《2025年欧洲金融科技合规准备度报告》。本文基于2026年7月1日前的公开信息撰写。