2026 ist der eigentliche Startpunkt des Digital Operational Resilience Act Ein Jahr Dora und die Schonfrist ist vorbei

Anbieter zum Thema

NTT DATA Deutschland SE

Rosenberger-OSI GmbH & Co. OHG

Kentix GmbH

STACKIT GmbH & Co. KG

Nach zwölf Monaten Digital Operational Resilience Act, kurz Dora, ist eines klar: Die Verordnung hat ihre Feuertaufe vielleicht hinter sich, doch die eigentliche Arbeit für die Finanzinstitute beginnt erst jetzt.

Das erste Jahr war geprägt von Aufbauarbeit, Orientierung und dem Versuch, Ordnung in ein komplexes Regelwerk zu bringen. Register sind gefüllt, Prozesse beschrieben, Zuständigkeiten definiert. Das ist gelungen. Aber es war auch der bequemere Teil.

Ab 2026 geht es nicht mehr nur um Strukturen, sondern um Routine bilden und Belastbarkeit. Denn die BaFin beziehungsweise die europäischen Aufsichtsbehörden haben ein klares Ziel: operationale Resilienz statt lediglich Compliance.

Dora ist also kein Projekt mit Enddatum, sondern ein umfangreicher Maßnahmenkatalog, der ab sofort im Tagesgeschäft umgesetzt werden muss und vom Gesetzgeber eingefordert wird. Kurzum: Die Branche steht jetzt (wieder) am Startpunkt. Zwei Themen kristallisieren sich dabei aktuell besonders heraus.

Erstens: Critical Third Party Provider und die gefährliche Illusion der Auslagerung

Die europäische Benennung kritischer IKT-Drittanbieter stellt eine Zäsur dar. Erstmals wird dort angesetzt, wo sich Abhängigkeiten real bündeln. Das sorgt für mehr Transparenz, Vergleichbarkeit und neue Eingriffsmöglichkeiten der Aufsicht.

Zwar schafft dieser Schritt für viele Institute eine gewisse Entlastung, aber keine Entwarnung; denn die Verantwortung bleibt dort, wo sie nach Auffassung der Aufsicht hingehört: bei den Instituten selbst. Die neue Aufsicht über kritische Dienstleister ergänzt das eigene Risiko-Management, ersetzt es aber nicht. Institute müssen weiterhin begründen können, warum sie bestimmte Anbieter für kritische Funktionen einsetzen, wie sie die Substituierbarkeit bewerten und welche Exit-Szenarien tragfähig sind. Dora schafft hierfür den Rahmen und die Vergleichbarkeit – die konkrete Steuerung bleibt Teil der unternehmerischen Verantwortung.

Auch die auf der BaFin-Veranstaltung „IT-Aufsicht im Finanzsektor“ genannte Zahl von über 600 schwerwiegenden Vorfällen im ersten Dora-Jahr ist in diesem Kontext zu sehen. Sie klingt dramatisch, ist aber vor allem Ausdruck von Cluster-Effekten: ein Vorfall bei einem großen Dienstleister, viele betroffene Institute, viele Meldungen.

Das Problem ist nicht die Meldequote, sondern die strukturelle Abhängigkeit und die lässt sich nicht outsourcen, auch nicht unter europäischer Aufsicht. Die Konzentrationsrisiken, die sich heute bei Cloud-Computing und Softwarelösungen bemerkbar machen, werden sich zudem über kurz oder lang auch durch Künstliche Intelligenz ergeben.

Zweitens: Resilienz-Testing, der unterschätzte Kraftakt

In den kommenden Jahren wird sich der Charakter von Dora noch stärker beim Thema Resilienz-Testing zeigen. Zwar haben viele Institute Testprogramme aufgesetzt und methodisch sauber beschrieben, doch auch hier gilt: Der nächste Schritt ist anspruchsvoller.

Die Tests müssen regelmäßig, realitätsnah und wirksam durchgeführt werden. Allein im Rahmen des Drittparteienrisiko-Managements müssen die Institute alle drei Jahre bedrohungsorientierte Penetrationstests durchführen. Diese stellen eine extreme organisatorische und finanzielle Belastung dar.

Der Maßstab hat sich dabei verschoben. Es zählt nicht mehr die Frage „Ist das System sicher?“, sondern „Kann das Institut weiterarbeiten, während es angegriffen wird?“. Dies lässt sich nicht simulieren, ohne die Finanzbranche massiv unter Druck zu setzen.

Threat-Led-Penetrationstests im laufenden Betrieb, End-to-End-Szenarien und Purple Teaming – also das Zusammenspiel der eigenen IT-Security-Spezialisten als angreifendes und verteidigendes Team – beschäftigen Sicherheits-, Betriebs- und Fachbereiche über Monate hinweg. Spätestens hier zeigt sich, ob Rollen, Schwellenwerte und Eskalationswege tatsächlich gelebt werden oder nur beschrieben sind.

Die Ergebnisse lassen sich auch nicht wegdokumentieren. Sie verlangen vielmehr nach Priorisierung, Budget, Umsetzung und Management-Entscheidungen. Genau hier wird die Aufsicht in den kommenden Jahren hinschauen: nicht auf die Existenz von Konzepten, sondern auf deren Wirksamkeit. Das heißt, auf Ergebnisse, abgeleitete Maßnahmen und deren tatsächliche Umsetzung.

(ID:50679846)