Zu den wichtigsten Institutionen, von denen diese Verordnung einzuhalten ist, gehören:

1. Banken: Alle Arten von Banken, einschließlich Kommerz-, Investitions- und Kreditanstalten
2. Versicherungsanstalten: Lebens- und Nicht-Lebensversicherungsanstalten, als auch Rückversicherungsanstalten
3. Investmentfirmen: Firmen, die Investitionsdienstleistungen anbieten und Investmentfonds verwalten
4. Zahlungsdienste: Anbieter von Zahlungsdiensten und elektronischem Geld
5. Leasinggesellschaften: Gesellschaften, die Leasing-Dienstleistungen anbieten
6. Evaluationsagenturen: Agenturen, die Kreditprüfungen anbieten
7. Crowdfunding-Plattformen: Plattformen, die Crowdfunding-Investitionen ermöglichen

Darüber hinaus gilt DORA für Drittanbieter von IKT-Dienstleistungen, die mit den Finanzinstitutionen zusammenarbeiten, und zwar einschließlich der Anbieter außerhalb der EU, wenn sie ihre Dienstleistungen den EU-Finanzinstitutionen anbieten. Diese breite Abdeckung gewährleistet, dass alle relevanten Subjekte innerhalb des Finanzsektors auf die digitalen Bedrohungen vorbereitet sind und auf potentielle Vorfälle effektiv reagieren können.