DORA – von der kleinsten Finanzboutique bis zum globalen IT-Giganten: die Umsetzung ist Pflicht
Die EU-Verordnung 2022/2554 zur digitalen operationalen Resilienz war in mehrfacher Hinsicht ein Novum:
- No individual flavours – DORA wurde als direkt anwendbare Verordnung verabschiedet und damit ohne Umsetzungsakt durch nationale Behörden verbindlich.
- One size fits all – DORA gilt sektorübergreifend und zieht eine gemeinsame Linie über unterschiedliche Aufsichtsregime sowie Lizenz‑ und Unternehmensarten.
- More is more – DORA adressiert Risikomanagement, IKT-Sicherheit, Drittparteienrisiken, Business Continuity, Informationssicherheit und Datenspeicherung übergreifend in einem Rahmen.
- A bit spicy: – DORA reguliert nicht nur Finanzunternehmen, sondern nimmt auch die großen IT-Anbieter in den Blick, von denen der Finanzsektor abhängig ist. Unternehmen, die unter DORA als „kritische IKT-Anbieter“ eingeordnet werden, stehen damit unter europäischer Finanzmarktaufsicht.
Was vor der Verabschiedung kontrovers diskutiert wurde, ist mittlerweile Realität.
Die erste Liste mit den Namen von 19 IKT-Dienstleistern, die künftig als „kritische IKT-Dienstleister unter europäischer Finanzaufsicht stehen, wurde bereits veröffentlicht. Diese werden dann – je nach Sektor – von der Europäischen Bankenaufsichtsbehörde (EBA), der Europäischen Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung (EIOPA) oder der Europäischen Wertpapier- und Marktaufsichtsbehörde (ESMA) überwacht.
Die tatsächlichen Auswirkungen auf die Landschaft der IKT‑Dienstleister in der EU werden sich erst in den kommenden Jahren voll zeigen – insbesondere mit Blick auf zusätzliche Regelungen wie NIS2 als „Lex generalis“ zur DORA oder die neuen Leitlinien der EBA zum Drittparteienrisiko.
Realität: Projekte abgeschlossen, Praxis offen
Die Finanzunternehmen haben ihre DORA‑Implementierungsprojekte abgeschlossen – praktisch ist DORA aber in den wenigsten Häusern vollständig angekommen.
Zum einen, weil sich Auslegungen seit Januar 2025 weiterentwickelt haben: RTS/ITS wurden teilweise spät veröffentlicht, Q&As und Veranstaltungen der Aufsichtsbehörden konkretisieren Anforderungen fortlaufend. Zum anderen, weil der Fokus bei der Umsetzung häufig auf termingerechter Erfüllung lag, während Fragen zu Praktikabilität, Effizienz und echter Wirksamkeit zurückgestellt wurden.
Genau deshalb sollten wir weiter über DORA sprechen…
IKT- und Cyberrisiken zählen unverändert zu den zentralen Risiken für die EU‑Finanzwirtschaft. Die Bafin nennt Risiken aus Cyber-Vorfällen mit gravierenden Auswirkungen sowie Risiken aus Konzentrationen bei der Auslagerung von IKT-Dienstleistungen als zwei der sechs Risiken im Fokus für den Finanzmarkt im Jahr 2026.
Auch nach Abschluss der DORA‑Projekte begegnen wir in der Praxis noch erstaunlich robusten Fehleinschätzungen – Annahmen, die auf dem Papier überzeugen, operativ aber deutlich weniger belastbar sind. Zwischen formaler Umsetzung und gelebter Praxis liegt häufig eine Lücke, die im Ernstfall gravierende Folgen haben kann.
Unsere LinkedIn-Serie „DORA in der Praxis – abgeschlossen ist nicht angekommen“ wirft auf genau diese Lücken einen augenzwinkernden Blick.
- typische DORA‑Fehleinschätzungen,
- ihre konkreten Auswirkungen,
- und wie eine belastbare Umsetzung in der Praxis aussieht.
Reinschauen lohnt sich – die LinkedIn-Serie im Überblick
IKT-ASSET Landscape
Den ganzen Text zur IKT-ASSET Landscape gibt er hier zu lesen: Zu LinkedIn
Vorfalls- und Krisenmanagement
Den ganzen Text zu Vorfalls- und Krisenmanagement gibt’s hier zu lesen: https://lnkd.in/p/ehK3eHZQ
Drittparteimanagement
Veröffentlichung am 01.09.2026
Informationsregister
Veröffentlichung am 08.09.2026
Vertragsanpassungen
Veröffentlichung am 15.09.2026
Verantwortung des Leitungsorgans
Veröffentlichung am 22.09.2026
GRC-Tool und KI
Veröffentlichung am 29.09.2026
Stillstand ist keine Option: Resilienzanforderungen entwickeln sich nicht nur regulatorisch weiter
- Die 9. MaRisk‑Novelle (in Kraft seit dem 30.06.2026) präzisiert u.a. die Abgrenzung von IKT‑ und Non‑IKT‑Leistungen und greift damit den Schwerpunkt der neuen EBA‑Leitlinien zum Drittparteienrisiko vor.
- Die EBA Guidelines on the sound management of third-party risk aktualisieren die Leitlinien von 2019 im Einklang mit DORA. Sie adressieren Vereinbarungen mit Drittanbietern für Dienstleistungen ohne IKT-Bezug, insbesondere Auslagerungen kritischer oder wichtiger Funktionen, und erweitern den Blick zugleich auf sämtliche Drittparteienvereinbarungen sowie Nicht-IKT-Dienstleistungen.
MaRisk AT 9 Ziffer 1: Abgrenzung IKT- & Non-IKT-Leistungen
Die relevanten Änderungen ergeben sich nicht aus dem Normtext, sondern aus den zugehörigen Erläuterungen:
- IKT-Dienstleistungen gemäß DORA werden aus dem Anwendungsbereich ausgenommen
- Damit erfasst AT 9 MaRisk künftig ausschließlich Non-IKT-Auslagerungen
Einordnung:
Damit entfallen Doppel-Klassifizierungen, was faktisch einen erneuten Paradigmenwechsel darstellt.
Bisherige Bafin-Unterlagen wie etwa die geplanten Anpassungen am MVP-Portal hatten die Möglichkeit von Doppelklassifizierungen noch ausdrücklich berücksichtigt.
Finanzunternehmen müssen die regulatorischen, prozessualen und technischen Implikationen kurzfristig bewerten und umsetzen. Anders als bei DORA besteht keine Übergangsfrist.
Die neuen EBA GL on the sound management of third-party risk gewährleisten Konsistenz für Non-IKT-Dienstleistungen
Der aktuelle Entwurf der EBA GL erweitert den Anwendungsbereich auf alle Non-IKT-Dienstleistungen, während IKT-Dienstleistungen ausschließlich unter die DORA fallen.
- Der aktuelle Entwurf der EBA GL erweitert den Anwendungsbereich auf alle Non-IKT-Dienstleistungen, während IKT-Dienstleistungen ausschließlich unter die DORA fallen.
- Die EBA GL gewährleisten Konsistenz mit den DORA-Anforderungen, z.B. die Nutzung eines einzigen Registers für IKT- und Non-IKT-Dienstleistungen
- Für bestimmte Dienstleistungen werden die Anforderungen deutlich verschärft, z. B. in Bezug auf Vertragsklauseln, Berichterstattung und Ausstiegsstrategien.
- Die neuen EBA-Leitlinien verlangen ein ganzheitliches und vernetztes Risikomanagement Drittparteienrisiken.
Auch Veröffentlichungen wie der erste Jahresbericht der Europäischen Aufsichtsbehörden EBA, EIOPA und ESMA – die ESAs) zu schwerwiegenden IKT‑bezogenen Vorfällen im EU‑Finanzsektor vom 3 Juni 2026 zeigen zusätzlichen Handlungsbedarf bei Cyber Security und Vorfallsmanagement.
Das bringt uns zu einem weiteren und vielleicht ausschlaggebenden Punkt:
Angriffs- und Bedrohungsszenarien entwickeln sich so rasant wie nie – auch aufgrund des Einsatzes von KI. Entsprechend müssen auch Finanzunternehmen Resilienzmodelle, Governance‑Strukturen und Abwehrmaßnahmen, ebenfalls unter Einsatz von KI, kontinuierlich weiterentwickeln.
Auch hiersetzt die DORA an, um europäische Finanzunternehmen und die Aufsichtsbehörden auf breiter Front zu vereinen.
Unsere Begleitung
Unsere Experten verfügen über umfassende Erfahrungen von der Strategie über die Konzeption bis hin zur operativen Umsetzung der DORA-Anforderungen und darüber hinaus. Wir unterstützen Sie unter anderem mit:
- Reifegrad‑Checks zu DORA und operativer Resilienz
- Expertenworkshops für Leitungsorgane, Risk & Compliance, IT und Fachbereiche
- Tool‑Implementierungen (z.B. GRC‑Lösungen, Register‑ und Incident‑Prozesse)
- KI‑Einführung zur Unterstützung von Klassifizierung, Analytik und Dokumentation sowie im Eventmanagement
- Operativer Abarbeitung von Rückständen, zur Implementierungsbegleitung oder als Interimsmanagement
- Friendly Audits zur praxisnahen Überprüfung und Weiterentwicklung
DORA-Reifegrad-Check: ganzheitlicher Abgleich in fünf Stufen und Dokumentation für eine optimale Dora-Compliance und Audit-Readiness
Sie möchten wissen, wo Ihr Haus bei DORA in der Praxis steht? Sie haben spezifische Fachfragen?
Kontaktieren Sie uns gerne direkt – wir freuen uns auf den Austausch.
