DORA – von der kleinsten Finanzboutique bis zum globalen IT-Giganten: die Umsetzung ist Pflicht
Die EU-Verordnung 2022/2554 zur digitalen operationalen Resilienz war in mehrfacher Hinsicht ein Novum:
- No individual flavours – DORA wurde als direkt anwendbare Verordnung verabschiedet und damit ohne Umsetzungsakt durch nationale Behörden verbindlich.
- One size fits all – DORA gilt sektorübergreifend und zieht eine gemeinsame Linie über unterschiedliche Aufsichtsregime sowie Lizenz‑ und Unternehmensarten.
- More is more – DORA adressiert Risikomanagement, IKT-Sicherheit, Drittparteienrisiken, Business Continuity, Informationssicherheit und Datenspeicherung übergreifend in einem Rahmen.
- A bit spicy: – DORA reguliert nicht nur Finanzunternehmen, sondern nimmt auch die großen IT-Anbieter in den Blick, von denen der Finanzsektor abhängig ist. Unternehmen, die unter DORA als „kritische IKT-Anbieter“ eingeordnet werden, stehen damit unter europäischer Finanzmarktaufsicht.
Was vor der Verabschiedung kontrovers diskutiert wurde, ist mittlerweile Realität.
Die erste Liste mit den Namen von 19 IKT-Dienstleistern, die künftig als „kritische IKT-Dienstleister unter europäischer Finanzaufsicht stehen, wurde bereits veröffentlicht. Diese werden dann – je nach Sektor – von der Europäischen Bankenaufsichtsbehörde (EBA), der Europäischen Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung (EIOPA) oder der Europäischen Wertpapier- und Marktaufsichtsbehörde (ESMA) überwacht.
Die tatsächlichen Auswirkungen auf die Landschaft der IKT‑Dienstleister in der EU werden sich erst in den kommenden Jahren voll zeigen – insbesondere mit Blick auf zusätzliche Regelungen wie NIS2 als „Lex generalis“ zur DORA oder die neuen Leitlinien der EBA zum Drittparteienrisiko.
Realität: Projekte abgeschlossen, Praxis offen
Die Finanzunternehmen haben ihre DORA‑Implementierungsprojekte abgeschlossen – praktisch ist DORA aber in den wenigsten Häusern vollständig angekommen.
Zum einen, weil sich Auslegungen seit Januar 2025 weiterentwickelt haben: RTS/ITS wurden teilweise spät veröffentlicht, Q&As und Veranstaltungen der Aufsichtsbehörden konkretisieren Anforderungen fortlaufend . Zum anderen, weil der Fokus bei der Umsetzung häufig auf termingerechter Erfüllung lag, während Fragen zu Praktikabilität, Effizienz und echter Wirksamkeit zurückgestellt wurden.
Genau deshalb sollten wir weiter über DORA sprechen…
IKT- und Cyberrisiken zählen unverändert zu den zentralen Risiken für die EU‑Finanzwirtschaft. Die Bafin nennt Risiken aus Cyber-Vorfällen mit gravierenden Auswirkungen sowie Risiken aus Konzentrationen bei der Auslagerung von IKT-Dienstleistungen als zwei der sechs Risiken im Fokus für den Finanzmarkt im Jahr 2026.
Auch nach Abschluss der DORA‑Projekte begegnen wir in der Praxis noch erstaunlich robusten Fehleinschätzungen – Annahmen, die auf dem Papier überzeugen, operativ aber deutlich weniger belastbar sind. Zwischen formaler Umsetzung und gelebter Praxis liegt häufig eine Lücke, die im Ernstfall gravierende Folgen haben kann.
Unsere LinkedIn-Serie „DORA in der Praxis – abgeschlossen ist nicht angekommen“ wirft auf genau diese Lücken einen augenzwinkernden Blick.
- typische DORA‑Fehleinschätzungen,
- ihre konkreten Auswirkungen,
- und wie eine belastbare Umsetzung in der Praxis aussieht.
Reinschauen lohnt sich – die LinkedIn-Serie im Überblick
IKT-ASSET Landscape
Veröffentlichung am 07.08.2026
Vorfalls- und Krisenmanagement
Veröffentlichung am 14.08.2026
Drittparteimanagement
Veröffentlichung am 21.08.2026
Informationsregister
Veröffentlichung am 28.08.2026
Stillstand ist keine Option: Resilienzanforderungen entwickeln sich nicht nur regulatorisch weiter
- Die 9. MaRisk‑Novelle (in Kraft seit dem 30.06.2026) präzisiert u.a. die Abgrenzung von IKT‑ und Non‑IKT‑Leistungen und greift damit den Schwerpunkt der neuen EBA‑Leitlinien zum Drittparteienrisiko vor.
- Die EBA Guidelines on the sound management of third-party risk aktualisieren die Leitlinien von 2019 im Einklang mit DORA. Sie adressieren Vereinbarungen mit Drittanbietern für Dienstleistungen ohne IKT-Bezug, insbesondere Auslagerungen kritischer oder wichtiger Funktionen, und erweitern den Blick zugleich auf sämtliche Drittparteienvereinbarungen sowie Nicht-IKT-Dienstleistungen.
- Auch Veröffentlichungen wie der erste Jahresbericht der Europäischen Aufsichtsbehörden EBA, EIOPA und ESMA – die ESAs) zu schwerwiegenden IKT‑bezogenen Vorfällen im EU‑Finanzsektor vom 3 Juni 2026 zeigen zusätzlichen Handlungsbedarf bei Cyber Security und Vorfallsmanagement.
MaRisk AT 9 Ziffer 1: Abgrenzung IKT- & Non-IKT-Leistungen
Die relevanten Änderungen ergeben sich nicht aus dem Normtext, sondern aus den zugehörigen Erläuterungen:
- IKT-Dienstleistungen gemäß DORA werden
aus dem Anwendungsbereich ausgenommen - Damit erfasst AT 9 MaRisk künftig
ausschließlich Non-IKT-Auslagerungen
Einordnung:
Damit entfallen Doppel-Klassifizierungen, was faktisch einen erneuten Paradigmenwechsel darstellt.
Bisherige Bafin-Unterlagen wie etwa die geplanten Anpassungen am MVP-Portal hatten die Möglichkeit von Doppelklassifizierungen noch ausdrücklich berücksichtigt.
Die neuen EBA GL on the sound management of third-party risk gewährleisten Konsistenz für Non-IKT-Dienstleistungen
Der aktuelle Entwurf der EBA GL erweitert den Anwendungsbereich auf alle Non-IKT-Dienstleistungen, während IKT-Dienstleistungen ausschließlich unter die DORA fallen.
- Der aktuelle Entwurf der EBA GL erweitert den Anwendungsbereich auf alle
Non-IKT-Dienstleistungen, während
IKT-Dienstleistungen ausschließlich unter die DORA fallen.
- Die EBA GL gewährleisten Konsistenz mit den DORA-Anforderungen, z.B. die Nutzung eines einzigen Registers für IKT- und
Non-IKT-Dienstleistungen
- Für bestimmte Dienstleistungen werden die Anforderungen deutlich verschärft, z. B. in Bezug auf Vertragsklauseln, Berichterstattung und Ausstiegsstrategien.
- Die neuen EBA-Leitlinien verlangen ein ganzheitliches und vernetztes Risikomanagement Drittparteienrisiken.
DORA-Reifegrad-Check: ganzheitlicher Abgleich in fünf Stufen und Dokumentation für eine optimale Dora-Compliance und Audit-Readiness
Sie möchten wissen, wo Ihr Haus bei DORA in der Praxis steht? Sie haben spezifische Fachfragen?
Kontaktieren Sie uns gerne direkt – wir freuen uns auf den Austausch.
