DORA: Prüfbare Resilienz steuern

DORA gilt seit dem 17. Januar 2025 unmittelbar. Nach der Einführungsphase rückt damit eine andere Frage in den Vordergrund: Kann ein Finanzunternehmen seine digitale operationale Resilienz dauerhaft steuern, prüfen und gegenüber der Aufsicht nachvollziehbar belegen? Entscheidend sind nicht allein vorhandene Richtlinien oder fristgerecht abgegebene Meldungen. Relevant ist, ob Incident-Erkenntnisse, Risikoentscheidungen, Dienstleistersteuerung, Notfallvorsorge und die Nachverfolgung von Feststellungen eine belastbare Kontrollkette bilden.

Die ersten europaweiten Meldedaten und weitere Aufsichtssignale liefern dafür konkrete Ansatzpunkte. Sie ersetzen keine Einzelfallbewertung, zeigen aber, welche Themen Finanzunternehmen in ihr Management-Reporting, ihre Auditplanung und ihre Drittparteiensteuerung überführen sollten.

Was die ersten europaweiten Incident-Daten zeigen

Für 2025 wurden europaweit 3.383 schwerwiegende IKT-bezogene Vorfälle gemeldet. Das entspricht durchschnittlich 282 Vorfällen pro Monat beziehungsweise 0,18 Vorfällen je von DORA erfasstem Finanzunternehmen. Mehr als drei Viertel der Meldungen entfielen auf den Kredit- und Zahlungssektor. Die ESAs warnen jedoch ausdrücklich davor, Fallzahlen isoliert als Beleg für strukturelle Schwächen einzelner Sektoren zu lesen: Frühere Meldepflichten, Marktstrukturen und der jeweilige Digitalisierungsgrad beeinflussen das Bild.

Operativ bedeutsamer sind die Muster hinter den Zahlen. Rund ein Drittel der Vorfälle hatte grenzüberschreitende Auswirkungen. Systemfehler und externe Ereignisse waren die wichtigsten Auslöser; nahezu ein Drittel der Vorfälle wurde Ausfällen bei Drittparteien zugerechnet. Dazu zählen IKT-Drittdienstleister, andere Finanzunternehmen und Infrastrukturbetreiber. Gemeinsame Infrastrukturen, ausgelagerte Leistungen und grenzüberschreitende Geschäftsmodelle können damit aus einem lokalen Störungsereignis rasch eine breitere Betriebsunterbrechung machen.

Auch die Datenqualität ist ein Aufsichtssignal. Rund 15 Prozent der 2025 gemeldeten Vorfälle flossen nicht in die Analyse ein, weil bis zum Stichtag kein Abschlussbericht vorlag. Zudem bestanden in der Übergangsphase noch keine vollständigen automatisierten Datenqualitätsprüfungen. Die gemeinsame ESA-Auswertung verweist ferner auf unterschiedliche Meldepraktiken zwischen Sektoren und Jurisdiktionen. Für Unternehmen folgt daraus: Meldedaten sollten nicht als isoliertes Reporting-Artefakt behandelt werden, sondern als steuerungsrelevante Datenbasis mit klaren Quellen, Verantwortlichkeiten und Qualitätskontrollen.

Incident-Daten für Management und Prüfung nutzen

Die regulatorische Meldung ist nur ein Ergebnis der Incident-Bearbeitung. Für die Resilienzsteuerung sollte ein periodisches Management-Reporting zusätzlich sichtbar machen, welche kritischen oder wichtigen Funktionen betroffen waren, wie lange Wiederherstellung und Ursachenanalyse dauerten, welche Drittparteien beteiligt waren und ob sich Ursachen oder Abhilfemaßnahmen wiederholen. Grenzüberschreitende Auswirkungen und offene Rest-Risiken verdienen dabei eine gesonderte Betrachtung.

Eine solche Auswertung verbindet Einzelereignisse mit Risikoentscheidungen. Sie kann etwa aufzeigen, ob bestimmte Abhängigkeiten wiederholt zu Ausfällen führen, ob Wiederanlaufziele erreichbar waren oder ob Maßnahmen nach früheren Vorfällen wirksam blieben. Das Leitungsorgan erhält damit nicht lediglich eine Meldestatistik, sondern eine Grundlage für Priorisierung, Risikobewertung und Eskalation.

Die Schnittstelle zwischen Incident Response, regulatorischer Meldung und Krisenmanagement muss dafür belastbar sein. Für schwerwiegende IKT-Vorfälle ist die Erstmeldung so früh wie möglich, spätestens vier Stunden nach der Einstufung als schwerwiegend und nicht später als 24 Stunden nach Kenntniserlangung abzugeben. Der Zwischenbericht folgt grundsätzlich binnen 72 Stunden nach der Erstmeldung; der Abschlussbericht spätestens einen Monat nach dem Zwischenbericht oder dessen letzter Aktualisierung. Diese Vorgaben ergeben sich aus der Delegierten Verordnung (EU) 2025/301.

Prüfbar wird der Prozess durch nachvollziehbare Zeitstempel für Kenntniserlangung, Klassifizierung, Entscheidungsfindung, Meldung, Wiederherstellung und Abschluss der Ursachenanalyse. Ebenso wichtig sind eindeutige Rollen: Wer bewertet Auswirkungen? Wer bestätigt die Klassifizierung? Wer verantwortet die Kommunikation mit Aufsicht, Kunden und Dienstleistern? Übungen sollten nicht nur technische Wiederherstellung testen, sondern gerade diese Übergaben, Eskalationswege und Evidenzketten.

Prüfbare IKT-Resilienz verlangt wirksames Follow-up

DORA verlangt einen IKT-Risikomanagementrahmen sowie ein wirksames Management von IKT-Drittparteienrisiken. Die Verordnung (EU) 2022/2554 sieht unter anderem ein laufend aktualisiertes Informationsregister für vertragliche IKT-Vereinbarungen vor. Für Leistungen, die kritische oder wichtige Funktionen unterstützen, sind Drittparteienstrategie, Policy und regelmäßige Risikobewertungen durch das Leitungsorgan vorgesehen. Die Unterlagen müssen der zuständigen Behörde auf Verlangen vorgelegt werden können.

Nachweisfähigkeit entsteht allerdings nicht durch einen statischen Richtlinienbestand. Die Delegierte Verordnung (EU) 2024/1773 verlangt für kritische oder wichtige IKT-Services eine unabhängige Überprüfung und ihre Berücksichtigung in der Auditplanung. Die Policy muss mit IKT-Risikomanagement, Informationssicherheit, IKT-Business-Continuity-Planung und Incident Reporting konsistent sein. Zugriffs-, Inspektions- und Auditrechte gegenüber IKT-Drittdienstleistern sind risikobasiert im Voraus festzulegen. Bei hoher technischer Komplexität müssen Prüfer oder Prüferpools über geeignete Kenntnisse und Fähigkeiten verfügen.

Audit-Follow-up sollte daher als eigener Steuerungsprozess ausgestaltet sein. Für kritische IKT-Feststellungen braucht es mindestens einen benannten Eigentümer, konkrete Maßnahmen und Fristen, nachvollziehbare Abnahmekriterien, Wirksamkeitsnachweise sowie dokumentierte Entscheidungen zu verbleibenden Risiken. Die Delegierte Verordnung (EU) 2024/1774 fordert die zeitnahe Verifikation und Behebung kritischer IKT-Auditfeststellungen. Offene oder überfällige Maßnahmen müssen daher in geeignete Eskalationswege zum Leitungsorgan eingebunden sein.

Für Wertpapierinstitute und Schwarmfinanzierungsdienstleister in Deutschland gewinnt diese Evidenz zusätzlich an Bedeutung. Die seit dem 11. September 2026 geltende BaFin-Verordnung konkretisiert laut BaFin, wie die bereits geltenden DORA-Vorgaben in jährlichen Regelprüfungen berücksichtigt werden. Organisationen sollten deshalb nicht nur die Existenz von Policies nachweisen können, sondern auch ihre tatsächliche Anwendung, Kontrolle und Weiterentwicklung.

IKT-Drittdienstleister laufend steuern

Die hohe Drittparteienrelevanz in den ersten Meldedaten unterstreicht, dass Vertragsakten allein keine ausreichende Steuerung darstellen. Für kritische oder wichtige IKT-Services sollte die Kontrollkette von der Risikoanalyse vor Vertragsschluss über Informationsregister und Vertragskontrollen bis zum Leistungs- und Risikomonitoring reichen. Hinzu kommen Audit- und Testrechte, Incident-Mitwirkung, das Management von Feststellungen sowie Ausstiegs- und Übergangsfähigkeit.

Die Aufsicht über kritische IKT-Drittdienstleister durch die ESAs ergänzt diese Verantwortung, ersetzt sie aber nicht. Sie umfasst Designation, Risikobewertung, Untersuchungen sowie Empfehlungen und deren Nachverfolgung. Unternehmen müssen daher weiterhin selbst bewerten, welche Auswirkungen aufsichtliche Erkenntnisse zu einem kritischen Provider auf ihre Risikoanalyse, Verträge, Auditplanung und Notfallvorsorge haben. Der DORA Oversight Guide beschreibt diese Aufsichtsarchitektur, ist aber kein Rechtsakt und ersetzt keine Rechtsauslegung.

Exit- und Übergangsplanung als Resilienzbeweis

Die IKT-Business-Continuity-Pläne müssen geplante Wiederherstellungsniveaus und -zeiten für wesentliche interne und externe Abhängigkeiten einschließlich IKT-Drittdienstleistern enthalten. Daraus folgt für Exit- und Übergangspläne mehr als eine vertragliche Kündigungsklausel. Für relevante Konzentrations- und Substitutionsrisiken sollten Unternehmen plausibilisieren können, welche Daten, Schnittstellen, Subunternehmer, Datenstandorte und technischen Voraussetzungen für eine Ablösung oder Migration relevant sind.

Praktisch tragfähig wird ein Plan durch definierte Testpunkte, Wiederanlaufziele und Kriterien für seine Aktivierung. Auch die Frage, wie kritische Feststellungen beim Dienstleister während einer Übergangsphase kontrolliert werden, gehört in diese Betrachtung. Ein Exit-Szenario ist damit Teil der laufenden Resilienzsteuerung und nicht bloß ein Dokument für den Beschaffungsprozess.

Aufsichtssignale in eine dauerhafte Steuerungsagenda überführen

Das gemeinsame Arbeitsprogramm der ESAs bestätigt für 2027 die weitere Aufsicht über kritische IKT-Drittdienstleister und die Stärkung sektorweiter Vorbereitung auf Cyberbedrohungen als Prioritäten. Der von der Kommission für Oktober 2026 angesetzte Implementierungsdialog behandelte zudem praktische Umsetzungserfahrungen und eine angemessene Kalibrierung nach Größe, Risikoprofil und operativer Komplexität. Daraus folgt keine beschlossene Rechtsänderung oder Lockerung bestehender Anforderungen.

Für Leitungsorgan, CISO, Interne Revision und Third-Party-Risk-Management liegt die zentrale Aufgabe deshalb in der Verbindung der vorhandenen Prozesse: Incident-Daten müssen Managemententscheidungen unterstützen; Auditfeststellungen müssen bis zur Wirksamkeitsprüfung nachverfolgbar bleiben; kritische Dienstleister müssen in Risiko-, Prüfungs- und Continuity-Planung integriert sein. Erst diese durchgängige Evidenz macht digitale operationale Resilienz dauerhaft steuerbar und prüfbar.