Erfahrungen aus den ersten DORA-Audits DORA ist keine Ressourcenfalle, sondern steigert Resilienz von Unternehmen

Anbieter zum Thema

Rosenberger-OSI GmbH & Co. OHG

EPS Rechenzentrum Infrastruktur GmbH

STACKIT - Schwarz Digits Cloud GmbH & Co. KG

Mit den ersten DORA-Prüfungen zeigt sich, wie widerstandsfähig Europas Finanzsektor wirklich ist. Zwischen verschiedenen Reifegraden, verschärften Anforderungen an die Kontrolle von Dienstleistern und einer stetig wachsenden Cyberbedrohung wird der Digital Operational Resilience Act (DORA) zu einem zentralen Bewertungsmaßstab für digitale Resilienz und zugleich zu einem Prüfstein europäischer Souveränität.

Europa testet seine digitale Wehrhaftigkeit, nicht nur theoretisch, sondern zunehmend in der praktischen Umsetzung. Mit den ersten Prüfungshandlungen und einer deutlich intensiveren Kommunikation durch die Aufsichtsinstanzen verdichtet sich die Aufsichtspraxis spürbar. Banken, Versicherer und IT-Dienstleister müssen nachweisen, dass sie Angriffe, Störungen und kritische Abhängigkeiten nicht nur erkennen, sondern kontrolliert bewältigen können.

Wie relevant diese Anforderungen sind, zeigt ein beachtenswerter Vorfall aus dem Jahr 2025: Im Mai wurden rund 15,8 Millionen Paypal-Zugangsdaten im Darknet zum Verkauf angeboten. Nach öffentlich zugänglichen Informationen handelte es sich dabei nicht um einen direkten Angriff auf die Paypal-Systeme selbst, sondern um kompromittierte Endgeräte, die durch Infostealer-Malware Zugangsdaten preisgaben. Der Vorfall verdeutlicht, wie schnell externe Cyberereignisse Reputationsrisiken auslösen und wirtschaftliche Auswirkungen für Finanzunternehmen und deren Kunden haben können.

Keine Trockenübung

Datacenter-Meldepflichten und das EU-Rating

Für Finanzunternehmen ist dies ein eindrückliches Beispiel dafür, wie entscheidend ein wirksames Incident Management ist. Genau hier greift DORA: Schwerwiegende IKT-bezogene Vorfälle müssen innerhalb von 24 Stunden an die Aufsichtsbehörden gemeldet werden. Viele Häuser haben deshalb inzwischen 24/7-Teams eingerichtet, um handlungsfähig zu bleiben.

Fokus auf Third Party Risk Management und Informationsregister

Seit Januar 2025 gilt DORA verbindlich und zwingt die Finanzwirtschaft, ihre technischen und organisatorischen Grundlagen auf den Prüfstand zu stellen. Während bedeutende, von der EZB beaufsichtigte Institute häufig weiter fortgeschritten sind, zeigen sich bei kleineren Banken und mittelständischen Versicherern teilweise noch Umsetzungsdefizite, insbesondere dort, wo Ressourcen knapp und Abhängigkeiten von Dienstleistern besonders groß sind.

Ein Schwerpunkt der Gespräche mit Aufsicht und Prüfern liegt auf dem Third-Party-Risk-Management (TPRM). Kaum ein anderes Thema macht die neuen Anforderungen so greifbar wie der Umgang mit IT- und Cloud-Dienstleistern. Die Finanzunternehmen müssen externe Partner systematisch klassifizieren und deren Rolle für kritische Geschäftsprozesse bewerten.

Externe Partner und Dienste müssen transparent sein

Der Hintergrund ist klar: Die Nutzung von Cloud-Services und spezialisierten IT-Dienstleistern nimmt kontinuierlich zu. Damit steigen auch die Anforderungen an Transparenz, Steuerung und Risikokontrolle innerhalb des europäischen Finanzsystems. Systemausfälle, Datenschutzverletzungen oder Cyberangriffe bei externen Dienstleistern können unmittelbare Auswirkungen auf zentrale Geschäftsprozesse haben.

TPRM sorgt dafür, dass diese Abhängigkeiten kein „Blindflug“ bleiben, sondern durch strukturierte Risikoanalysen, kontinuierliches Monitoring, klare verbindliche Vertragsregelungen und vorbereitete Exit-Strategien aktiv gesteuert werden können. So lassen sich Risiken externer Dienstleister frühzeitig erkennen, aktiv managen und im Ereignisfall gezielt adressieren.

2026 ist der eigentliche Startpunkt des Digital Operational Resilience Act

Ein Jahr Dora und die Schonfrist ist vorbei

Eng damit verknüpft ist das sogenannte Informationsregister. Erstmals müssen alle IKT-Dienstleistungen systematisch und zentral erfasst werden. Das schafft Transparenz über komplexe Lieferantenketten und hilft, Konzentrationsrisiken frühzeitig zu erkennen und zu adressieren. Ohne diese Datenbasis ist eine ganzheitliche Risikobewertung und eine wirkungsvolle digitale Resilienz kaum möglich.

Prüfungsrealität: Methode statt Marathon

In der aktuellen Prüfungsphase konzentriert sich die Aufsicht auf ausgewählte DORA-Teilbereiche wie IKT-Risikomanagement, Business Continuity Management oder TPRM. Vollprüfungen über alle Anforderungen hinweg sind bislang vor allem bei großen Häusern üblich. Dort dauern sogenannte Full-Scope-Analysen in der Regel bis zu zwölf Wochen und involvieren über ein Dutzend Prüfer. Die Notwendigkeit ergibt sich aus der organisatorischen Komplexität, der Vielzahl kritischer Systeme sowie der höheren Bedeutung für das Finanzsystem insgesamt. Bei diesen Instituten reichen stichprobenartige Prüfungen nicht aus, um die komplette digitale operationelle Resilienz verlässlich zu bewerten.

Kleinere Institute dagegen werden risikoorientiert und proportional geprüft. Punktuelle Schwerpunktprüfungen tragen der geringeren Komplexität Rechnung, ohne dass die Mindestanforderungen an digitale Resilienz infrage gestellt werden. Dieses Vorgehen folgt konsequent dem in DORA verankerten Proportionalitätsprinzip.

Kurzfristige Last, langfristiger Beitrag zu Sicherheit und europäischer Souveränität

Viele Unternehmen empfinden die Umsetzung aktuell noch als Ressourcenfalle: mehr Dokumentation, mehr Meldepflichten, mehr Koordination. Doch schon jetzt zeichnet sich ab, dass DORA mittel- bis langfristig positive Effekte entfalten kann. Wer Transparenz über seine Dienstleisterketten besitzt, seine Incident-Prozesse automatisiert und im Ernstfall handlungsfähig bleibt, stärkt nicht nur die Compliance, sondern die Widerstandsfähigkeit des gesamten Geschäftsmodells.

Resistent gegen mögliche Angriffe von Quantencomputern aus

DORA und die Auswirkungen von Quantum Computing

Mit DORA verfolgt die EU ihren Anspruch, kritische Infrastrukturen und digitale Kernsysteme möglichst unabhängig und widerstandsfähig zu halten. Der Paypal-Vorfall zeigt exemplarisch, dass selbst robuste IT-Infrastrukturen durch externe Faktoren beeinträchtigt werden können. DORA ist daher mehr als regulatorische Bürokratie, es ist ein zentraler Baustein für Sicherheit, Souveränität und Stabilität des Finanzstandorts Europa.

(ID:50831712)