DORA und die IT: strategische Einblicke für Finanzinstitute

Der Digital Operational Resilience Act (DORA) hat die IT von Finanzinstituten von einer reinen Betriebsfrage zu einem Thema für den Vorstand gemacht. Seit dem 17. Januar 2025 ist die EU-Verordnung vollständig anwendbar – und sie verlangt weit mehr als ein paar neue Sicherheitsrichtlinien: Sie zwingt Banken, Versicherer und Zahlungsdienstleister dazu, digitale Resilienz strategisch zu steuern.

Dieser Artikel ordnet DORA aus der Führungsperspektive ein: Was bedeutet die Verordnung für die IT, welche fünf strategischen Säulen sollten Investitionen und Aufmerksamkeit lenken, welche Chancen stecken in der Umsetzung – und welche Fallstricke gilt es zu vermeiden. Wenn Sie zunächst einen kompakten Überblick über die Verordnung selbst suchen – Zweck, betroffene Unternehmen und Fristen –, lesen Sie unseren Leitfaden zur DORA-Verordnung. Wie eine DORA-Compliance-Prüfung konkret abläuft, zeigt unser Prüfungs-Guide.

DORA im Kontext: eine neue Ära der digitalen Resilienz

Der Finanzsektor sieht sich einer sich rasch verändernden Risikolandschaft gegenüber. Die digitale Transformation hat Innovation vorangetrieben, aber auch komplexe IKT-Abhängigkeiten und neue Cyber-Bedrohungen mit sich gebracht. Angriffe werden häufiger und raffinierter, und selbst kleinere IT-Ausfälle können erhebliche Störungen auslösen. Bei britischen Banken etwa summierten sich innerhalb von zwei Jahren über 800 Stunden Ausfallzeit – Folge veralteter Systeme, hoher Transaktionslasten und Cybervorfälle.

Solche Störungen verärgern nicht nur Nutzer, sie erschüttern Vertrauen und können die Finanzstabilität bedrohen. Genau deshalb hat die EU DORA als Teil ihres Digital-Finance-Pakets eingeführt: Die Verordnung schafft einen einheitlichen Rahmen für Cybersicherheit, Geschäftskontinuität und das Management von Drittanbieterrisiken – verbindlich für alle Finanzunternehmen in der EU.

Vor DORA war das IKT-Risikomanagement je nach Sektor und Land unterschiedlich geregelt. Jetzt gelten dieselben Standards, egal ob für eine Bank in Deutschland oder einen Zahlungsdienstleister in Frankreich. Die Verordnung behandelt IKT-Risiken als systemische Risiken und stellt die operationelle Widerstandsfähigkeit auf eine Stufe mit Kredit- und Liquiditätsrisiken. In einer ständig vernetzten Finanzwelt ist digitale Ausfallsicherheit damit keine Kür mehr, sondern Grundlage für sicheren, zuverlässigen Betrieb.

Die fünf strategischen Säulen von DORA

Für Finanzinstitute lassen sich fünf strategische Säulen ausmachen – Bereiche, die gezielte Führung und Investitionen erfordern, und zwar nicht nur, um Vorschriften zu erfüllen, sondern um langfristige Widerstandsfähigkeit aufzubauen. Diese Säulen bilden die regulatorischen Kernbereiche von DORA aus der Managementperspektive ab; die einzelnen rechtlichen Anforderungen und Vertragsklauseln erklärt vertiefend unser Leitfaden zu den DORA-Klauseln und Artikel-30-Anforderungen.

1. Governance und Verantwortung. DORA setzt das Technologierisiko an die Spitze der Führungsagenda. Vorstand und Geschäftsleitung müssen die IKT-Risikostrategie festlegen und regelmäßig überprüfen: klare Risikogrenzen definieren, Ressourcen zuweisen und Reaktionspläne genehmigen. Von Vorstandsmitgliedern wird erwartet, dass sie digitale Risiken verstehen – vielerorts berichten CIOs und CISOs inzwischen direkt an sie. Wenn die Führungsebene Resilienz aktiv trägt, wird sie Teil der Unternehmenskultur.

2. End-to-End-IKT-Risikomanagement. Das Management von IKT-Risiken ist heute eine gemeinsame Aufgabe. Es liegt nicht mehr allein bei der IT-Abteilung – von Compliance bis Revision muss jeder Bereich eine Rolle spielen. Unternehmen brauchen strukturierte Prozesse, um IT-Probleme zu erkennen, zu verhindern und zu beheben, sodass Risikobewusstsein Teil der täglichen Arbeit wird. Dieser Ansatz bricht Silos auf und hilft dem gesamten Institut, schneller auf Veränderungen zu reagieren.

3. Steuerung von Drittanbieterrisiken. Je mehr Technologieanbieter im Einsatz sind, desto genauer verlangt DORA deren Überwachung. Das bedeutet: ein detailliertes Register aller externen IKT-Partner führen, angemessene Prüfungen durchführen und strenge Risiko- und Sicherheitsbestimmungen in die Verträge aufnehmen. Wichtig ist eine fortlaufende Überwachung – nicht nur zu Beginn, sondern über die gesamte Partnerschaft. Das gibt Instituten bessere Kontrolle und die Möglichkeit, schnell zu handeln, wenn etwas schiefläuft.

4. Vorfallsbereitschaft und Reaktion. Institute müssen IT-Vorfälle schnell erkennen, klassifizieren und melden können. Aufsichtsbehörden sind innerhalb bestimmter Fristen zu benachrichtigen, Kunden bei größeren Störungen zu informieren. Klare Reaktionspläne, Simulationen und die Auswertung vergangener Vorfälle helfen, Auswirkungen zu minimieren und sich mit der Zeit zu verbessern.

5. Widerstandsfähigkeit durch Testen. DORA macht regelmäßige Tests zur Pflicht – von grundlegenden Systemprüfungen bis zu erweiterten Penetrationstests für kritische Systeme. Zeigen Tests Schwachstellen, müssen diese zügig behoben werden. Regelmäßiges Testen sorgt für eine robustere, anpassungsfähigere IT-Umgebung und stellt sicher, dass Institute auf reale Bedrohungen vorbereitet sind.

Versteckte Chancen durch DORA-Compliance

Strategisch angegangen, ist DORA mehr als eine Pflichtübung – die Umsetzung kann echten Mehrwert schaffen:

• Silos aufbrechen und Transparenz verbessern. DORA drängt Institute dazu, Daten zu IT-Risiken und Drittanbietern zu zentralisieren. Aufgaben wie der Aufbau eines Vertragsregisters oder die Standardisierung der Vorfallsmeldung fördern die Zusammenarbeit über Teamgrenzen hinweg. Das Ergebnis: weniger Silos, bessere Transparenz und fundiertere Entscheidungen.
• Kundenvertrauen durch Ausfallsicherheit aufbauen. Stabile Systeme bleiben oft unbemerkt – ihr Ausfall nicht. Indem DORA Unterbrechungen reduziert und die Wiederherstellung verbessert, trägt es zu einem zuverlässigeren Kundenerlebnis bei. Klare Kommunikation im Störfall kann Rückschläge sogar in vertrauensbildende Momente verwandeln.
• Digitale Themen auf höchster Ebene verankern. DORA bringt IKT-Risiken in die Gespräche auf Vorstandsebene. Je stärker die Führung in die Technologiestrategie eingebunden ist, desto besser informiert fallen Entscheidungen aus – und desto mehr Rückhalt erhalten IT-Initiativen. Das erhöht die Erfolgschancen der digitalen Transformation.
• Innovation mit Risikobewusstsein ermöglichen. DORA bremst Innovation nicht, sondern liefert die Struktur, um sie abzusichern. Klare Risikopraktiken und Systemprüfungen führen häufig zu Upgrades und Automatisierung. Institute gewinnen so die Freiheit, mit eingebauter Widerstandsfähigkeit zu innovieren.

Strategische Fallstricke, die Sie vermeiden sollten

Bei der Umsetzung von DORA lauern einige Fallstricke, die die eigenen Bemühungen untergraben und den Wert der Investition schmälern können:

1. DORA als Checkbox-Übung behandeln. Ein weit verbreiteter Fehler ist es, DORA als bloße Aufgabenliste abzuarbeiten, „die Vorschrift zu erfüllen" und dann zur Tagesordnung überzugehen. DORA verlangt eine durchdachte Umsetzung, die auf die konkreten Bedürfnisse der Organisation zugeschnitten ist – keine generischen Maßnahmen. Ein reines Checklisten-Denken erzeugt trügerische Sicherheit und lässt kritische Lücken offen. Betrachten Sie DORA stattdessen als fortlaufendes Verbesserungsprogramm, bei dem die Compliance-Frist ein Meilenstein ist, nicht die Ziellinie.

2. Verantwortung zu stark in der IT bündeln. Die IT-Abteilung spielt eine zentrale Rolle – doch Risikomanagement, Einkauf und Rechtsabteilung müssen ebenso eingebunden sein. DORA erfordert einen funktionsübergreifenden Ansatz, gerade bei Themen wie Drittanbieterrisiken und Vorfallsreaktion. Wird nicht die gesamte Organisation einbezogen, drohen Fehlausrichtung und verpasste Chancen. Etablieren Sie eine klare Governance, in der jeder Beteiligte seine Rolle kennt, damit DORA als strategische, unternehmensweite Initiative verstanden wird.

3. Change Management und Kultur vernachlässigen. Die Umsetzung von DORA erfordert nicht nur neue Richtlinien und Werkzeuge, sondern auch einen kulturellen Wandel. Wenn Mitarbeitende den Sinn der Maßnahmen nicht verstehen oder sich übergangen fühlen, greifen sie nicht. Erfolgreiche Umsetzung braucht solides Veränderungsmanagement – Schulungen, Sensibilisierung und sichtbare Unterstützung durch die Führung. Sorgen Sie dafür, dass der kulturelle Wandel hin zu Resilienz genauso stark ausfällt wie die technischen Veränderungen.

4. Mittelgroße Anbieter und Altsysteme übersehen. Wer nur auf die großen, offensichtlichen Risiken schaut, lässt kleinere Anbieter und veraltete Systeme verwundbar. DORA verlangt, dass Institute alle IKT-Risiken adressieren – auch die von kleineren Dienstleistern oder Legacy-Technologie ausgehenden. Stellen Sie sicher, dass Ihre Risikobewertungen das gesamte technische Ökosystem erfassen, nicht nur die großen Akteure. Auch kleinere, weniger sichtbare Risiken können bei Missachtung zu Compliance-Verstößen oder echten Vorfällen führen.

Checkliste für Führungskräfte: Fragen für den Vorstand

Vorstände und Geschäftsleitung, die für DORA verantwortlich sind, sollten regelmäßig kritische Fragen stellen, um die Resilienz des Instituts ehrlich zu bewerten:

• Stellen wir genügend Ressourcen für betriebliche Ausfallsicherheit bereit? Entspricht unser Budget für Cybersicherheit, IT-Upgrades und Risikomanagement der Bedeutung unserer digitalen Infrastruktur und den Risiken, denen wir ausgesetzt sind?
• Ist unsere Governance stark genug, um IKT-Risiken unternehmensweit zu steuern? Sind Rollen und Zuständigkeiten klar definiert, und erhalten wir zeitnahe, umsetzbare Berichte zu Cyber- und Technologierisiken?
• Haben wir einen vollständigen Überblick über kritische Drittanbieter-Abhängigkeiten? Welche Anbieter oder Partner könnten unsere Geschäftskontinuität stören, wenn sie ausfallen – und wie mindern wir diese Risiken?
• Wie ausgereift ist unsere Resilienz, und wie messen wir Fortschritt? Haben wir bewertet, ob wir wichtige Dienste innerhalb eines akzeptablen Zeitrahmens wiederherstellen können, und nähern wir uns den Best Practices der Branche an?

Diese Fragen sollen eine ehrliche Diskussion darüber anstoßen, wo Verbesserungen nötig sind. Werfen die Antworten Bedenken auf, ist das ein Signal, tiefer zu gehen. Die aktive Beteiligung des Vorstands stellt sicher, dass DORA über die Compliance-Checkliste hinauswächst und zu einer strategischen, laufenden Priorität wird. Eine strukturierte DORA-Checkliste hilft, die Prüfung Schritt für Schritt abzuarbeiten.

Wie Vertragsmanagement die Umsetzung erleichtert

Von den fünf Säulen hängt die dritte – die Steuerung von Drittanbieterrisiken – am unmittelbarsten davon ab, wie gut Sie Ihre IKT-Verträge verwalten. Ein einzelnes Finanzunternehmen kann Hunderte von Lieferantenverträgen halten, unterzeichnet zu unterschiedlichen Zeitpunkten und nach unterschiedlichen Vorlagen. Einem Prüfer nachzuweisen, dass jeder Vertrag mit einem kritischen Anbieter die DORA-Anforderungen nach Artikel 30 erfüllt – und die zu finden, die es nicht tun –, ist genau das, wofür strukturiertes Compliance-Management für Verträge gebaut ist: ein zentrales, durchsuchbares Repository mit Verpflichtungsverfolgung, Audit-Trails und automatischen Erinnerungen an jede Verlängerung, Prüfung und Meldefrist.

Häufige Fragen

Was bedeutet DORA für die IT?

DORA verpflichtet Finanzunternehmen, ihre IT so aufzustellen, dass sie auch bei Cyberangriffen, Systemausfällen oder dem Ausfall eines Dienstleisters widerstandsfähig bleibt. Konkret verlangt die Verordnung ein strukturiertes IKT-Risikomanagement, klare Meldewege für Vorfälle, regelmäßige Resilienztests und strenge Vorgaben für Verträge mit IT-Drittanbietern. IT-Risiken werden damit zur Vorstandsangelegenheit und auf eine Stufe mit Kredit- und Liquiditätsrisiken gestellt.

Was sind die fünf Säulen von DORA?

Aus strategischer Sicht lassen sich DORA fünf Säulen zuordnen: Governance und Verantwortung, End-to-End-IKT-Risikomanagement, die Steuerung von Drittanbieterrisiken, Vorfallsbereitschaft und Reaktion sowie Widerstandsfähigkeit durch regelmäßiges Testen. Sie bilden die regulatorischen Kernbereiche der Verordnung aus der Führungsperspektive ab und lenken Investitionen und Aufmerksamkeit dorthin, wo sie die Resilienz am stärksten erhöhen.

Seit wann gilt DORA?

DORA trat am 16. Januar 2023 in Kraft und ist seit dem 17. Januar 2025 vollständig anwendbar. Eine darüber hinausgehende offizielle Übergangsfrist gibt es nicht – Finanzunternehmen müssen die Anforderungen erfüllen und audit-bereit sein.

Für wen gilt DORA?

DORA gilt für Finanzunternehmen in der EU – darunter Banken, Versicherer, Wertpapierfirmen, Zahlungsdienstleister und Krypto-Anbieter – sowie mittelbar für die IKT-Drittdienstleister wie Cloud-Provider, Softwareanbieter und Rechenzentren, die kritische Services für diese Unternehmen erbringen.