Seit dem 17. Januar 2025 ist der Digital Operational Resilience Act (DORA) für Finanzunternehmen in der EU verbindlich anwendbar. Wie zu erwarten war hat DORA in der Praxis erhebliche Anpassungsanforderungen ausgelöst – von der Neufassung von Verträgen mit IKT-Dienstleistern über die Erstellung detaillierter Informationsregister bis hin zu verpflichtenden Penetrationstests und Meldepflichten bei Vorfällen. Das erste volle Praxisjahr zeigt: Viele Finanzunternehmen kommen gut voran, aber es bestehen auch noch einige Herausforderungen.
Was DORA in der Praxis bedeutet
DORA richtet sich an ein breites Spektrum von Finanzunternehmen – Banken, Versicherungen, Wertpapierfirmen, Zahlungsdienstleister, Krypto-Dienstleister und viele weitere – sowie an kritische IKT-Drittdienstleister. Das Regelwerk bündelt fünf Kernbereiche: IKT-Risikomanagement, Incident Reporting, Resilienztesting, Drittparteienrisiko und Informationsaustausch.
In der Praxis zeigt sich, dass viele Unternehmen die formale Compliance (Policies, Dokumentation, Vertragsanpassungen) inzwischen weitgehend abgebildet haben. Der eigentliche Stresstest beginnt jetzt: bei der operativen Umsetzung, der behördlichen Aufsicht und der Frage, ob die neuen Prozesse tatsächlich gelebt werden.
Incident Reporting – zwischen Theorie und Praxis
Die verpflichtende Meldung schwerwiegender IKT-bezogener Vorfälle an die zuständigen Behörden (in Deutschland: BaFin) war eine der meistdiskutierten Neuerungen. Die Realität des ersten Jahres zeigt: Die Klassifizierungskriterien – Anzahl betroffener Nutzer, Dauer des Ausfalls, Transaktionsvolumen – werfen in der Praxis Auslegungsfragen auf, die nicht immer eindeutig zu beantworten sind.
Eine besondere Herausforderung ist dabei die dreistufige Meldestruktur aus Erstmeldung (spätestens 24 Stunden nach Entdeckung), Zwischenmeldung (bis 72 Stunden nach der Erstmeldung) und Abschlussbericht (nach einem Monat). Sie setzt funktionierende interne Eskalationsprozesse voraus, die in dieser Form bei vielen Instituten noch im Aufbau sind. Aufsichtsbehörden haben signalisiert, dass sie 2026 verstärkt auf Qualität und Vollständigkeit der Meldungen achten werden – nicht nur auf das Ob.
TLPT: Wo die Umsetzung stockt
Threat-Led Penetration Testing (TLPT) ist eines der ambitioniertesten Elemente von DORA. Es verlangt realitätsnahe, behördenbegleitete Angriffssimulationen auf kritische Systeme – nach dem TIBER-EU-Framework. Die Pflicht gilt für bedeutende Finanzunternehmen in einem Drei-Jahres-Zyklus.
In der Praxis sind insbesondere folgende Herausforderungen zu beobachten: Zum einen ist der Markt für zertifizierte Tester (sog. Red Teams) mit der erforderlichen Expertise eng begrenzt. Zum anderen stellt die Koordination zwischen dem Finanzunternehmen, den eingebundenen IKT-Drittdienstleistern und der Aufsicht erhebliche organisatorische Anforderungen. Unternehmen, die ihren ersten TLPT-Zyklus noch vor sich haben, sollten frühzeitig mit der Planung beginnen.
Drittparteienrisiko: Das unterschätzte Kernstück
Das IKT-Drittparteienmanagement ist das Thema, das in der Praxis mit den größten Aufwand verursacht. DORA verlangt nicht nur die Inventarisierung aller relevanten IKT-Dienstleister, sondern auch die Überprüfung und ggf. Nachverhandlung bestehender Verträge auf DORA-konforme Mindestinhalte: Kündigungsrechte, Auditrechte, Sub-Outsourcing-Regelungen, Notfallpläne.
Besondere Aufmerksamkeit gilt den kritischen IKT-Drittdienstleistern (CTPPs), die die ESAs (EBA, EIOPA, ESMA) seit 2025 designieren. Für als kritisch eingestufte Anbieter – darunter voraussichtlich große Cloud-Hyperscaler – gelten verschärfte Aufsichtsanforderungen, die auch ihre Kunden im Finanzsektor betreffen.
Was Finanzunternehmen jetzt tun sollten
Der Blick auf 2026 zeigt: DORA ist kein abgeschlossenes Compliance-Projekt, sondern ein laufendes operatives Programm. Prioritäten für die nächsten Monate:
- Incident-Klassifizierung schärfen: Interne Schwellenwerte und Eskalationspfade überprüfen und mit den regulatorischen Kriterien abgleichen.
- TLPT-Planung anstoßen: Frühzeitig Red-Team-Kapazitäten sichern und die behördliche Koordination vorbereiten.
- Drittparteienregister aktualisieren: Vollständigkeit und Vertragskonformität aller IKT-Dienstleister sicherstellen, insbesondere im Hinblick auf CTPP-Designierungen.
- Vertragsnachverhandlungen priorisieren: Bestehende IKT-Verträge sollten inzwischen weitestgehend auf DORA-Mindestinhalte angepasst worden sein, bei Neuverträgen haben sich entsprechend Muster bewährt.
- Dialog mit der Aufsicht suchen: BaFin und andere NCAs haben signalisiert, proaktive Kommunikation zu schätzen, insbesondere bei strukturellen Umsetzungsfragen.
Häufig gestellte Fragen (FAQ)
Ja, mit wenigen Ausnahmen nach Art. 2 Abs. 3 DORA. DORA unterscheidet jedoch zwischen Unternehmen je nach Größe und Systemrelevanz: Das Proportionalitätsprinzip erlaubt kleineren Instituten vereinfachte IKT-Risikomanagement-Rahmenwerke. Ausgenommen sind jedoch die Kernpflichten, wie etwa Incident Reporting und Drittparteienmanagement, die für nahezu alle erfassten Unternehmen gelten.
Verstöße gegen die Meldepflichten können von den zuständigen Aufsichtsbehörden mit Sanktionen geahndet werden. Die konkrete Ausgestaltung liegt bei den nationalen Behörden, in Deutschland bei der BaFin. Neben Beanstandungen und Reputationsschäden droht auch eine erhöhte aufsichtliche Beobachtung in Folgejahren.
Nicht direkt. DORA richtet sich primär an Finanzunternehmen. Mittelbar sind Cloud-Anbieter jedoch betroffen: Finanzunternehmen müssen DORA-konforme Vertragsklauseln mit ihren Cloud-Anbietern vereinbaren und die Cloud-Anbieter jedenfalls bei kritischen und wichtigen Funktionen überwachen. Besonderheiten gelten für Cloud-Anbieter, die von den europäischen Aufsichtsbehörden (ESAs) als kritische IKT-Drittdienstleister designiert und entsprechend überwacht werden.
In der Praxis fehlen besonders häufig: konkrete Auditrechte gegenüber IKT-Dienstleistern, Regelungen zu Sub-Outsourcing-Ketten, Notfall- und Exit-Pläne sowie Anforderungen an Business-Continuity-Maßnahmen beim Dienstleister. Viele Bestandsverträge wurden schlicht nicht mit Blick auf regulatorische Resilienzanforderungen verhandelt.
DORA überlagert im Bereich IKT-Risikomanagement die nationalen Vorgaben und hat zur Aufgabe diverser Rundschreiben (BAIT, VAIT, KAIT) geführt, im Übrigen ergänzt es die nationalen Bestimmungen. Die BaFin hat angekündigt, dass eine weitere Harmonisierung angestrebt ist, wie man etwa auch im aktuellen Konsultationsentwurf der MaRisk-Novelle sieht.