- DORA (Verordnung (EU) 2022/2554) ist seit dem 17. Januar 2025 unmittelbar EU-weit anwendbar — auch für Zahlungsinstitute.
- Sie verlangt vor allem Organisation und Governance, nicht nur Technik: IKT-Risikomanagement, Vorfallmeldung, Resilienztests und Drittparteienrisiko.
- Verantwortlich ist das Leitungsorgan; die IT setzt um, trägt aber nicht die Letztverantwortung.
- Wer DORA in den Regelbetrieb verankert statt als Sonderprojekt zu behandeln, spart später bei Prüfungen und Störungen.
Der häufigste Denkfehler
In den ersten Monaten nach Inkrafttreten habe ich immer denselben Satz gehört: „Das macht bei uns die IT.“ Verständlich — DORA klingt technisch. Tatsächlich verlangt die Verordnung aber vor allem organisatorische Dinge: ein Register aller Auslagerungen, klare Verantwortlichkeiten, dokumentierte Tests, definierte Meldewege. Nichts davon lässt sich in einem Ticketsystem abschließen.
Der praktische Unterschied zeigt sich am Tag X. Fällt ein Dienstleister aus, hilft kein Projektplan, sondern die Frage: Wer entscheidet jetzt, wer informiert die Aufsicht, und wie lange dürfen wir dafür brauchen? Wenn diese Antworten nicht im Regelbetrieb hinterlegt sind, ist die Umsetzung Papier.
„Resilienz ist kein Zustand, den man erreicht. Sie ist eine Gewohnheit, die man pflegt.“
Was DORA tatsächlich verlangt
DORA — der Digital Operational Resilience Act, Verordnung (EU) 2022/2554 — ist seit dem 17. Januar 2025 unmittelbar in der gesamten EU anwendbar und gilt für nahezu alle beaufsichtigten Finanzunternehmen, von Banken über Versicherer bis zu Zahlungs- und E-Geld-Instituten. Statt vieler Einzelvorgaben bündelt sie die digitale Betriebsstabilität in fünf zusammenhängenden Bereichen. Wer sie versteht, sieht schnell: Der Schwerpunkt liegt auf Steuerung und Nachweis, nicht auf einzelnen Werkzeugen.
- IKT-Risikomanagement: ein dokumentierter Rahmen mit klaren Rollen — die Letztverantwortung liegt ausdrücklich beim Leitungsorgan, nicht in der Technik.
- Behandlung und Meldung IKT-bezogener Vorfälle: einheitliche Klassifizierung und definierte Meldewege an die zuständige Aufsicht, mit Fristen.
- Testen der digitalen operationalen Resilienz: regelmäßige Tests der Betriebsstabilität; für bestimmte Institute zusätzlich bedrohungsgeleitete Penetrationstests (TLPT).
- Management des IKT-Drittparteienrisikos: unter anderem ein Informationsregister aller vertraglichen Vereinbarungen über IKT-Dienstleistungen.
- Überwachungsrahmen für kritische IKT-Drittdienstleister: eine zusätzliche Aufsicht auf EU-Ebene über besonders bedeutende Anbieter.
Drei der fünf Säulen sind im Kern organisatorisch. Genau deshalb greift die Delegation an die IT zu kurz: Ein Auslagerungsregister ist erst dann ein Register, wenn jemand verantwortlich dafür ist, dass es stimmt — und eine Meldung an die Aufsicht ist erst dann belastbar, wenn im Vorfeld feststeht, wer sie auslöst.
Was sich bei uns bewährt hat
- Das Auslagerungsregister nicht als Excel führen, sondern als Pflichtfeld im Einkaufsprozess — sonst veraltet es innerhalb eines Quartals.
- Resilienztests mit denselben Menschen durchführen, die im Störfall entscheiden. Ein Test ohne Entscheider ist eine Übung im Lesen.
- Meldefristen rückwärts planen: Wann muss die Information intern vorliegen, damit die Frist nach außen überhaupt haltbar ist?
- Nach jedem Vorfall zehn Minuten Nachbesprechung — ohne Schuldfrage, mit einer konkreten Änderung als Ergebnis.
Was das kostet — und was es spart
Der ehrliche Teil: Die erste Runde kostet Zeit, vor allem in der Dokumentation. Der Gewinn zeigt sich später, und zwar doppelt. Prüfungen werden kürzer, weil Nachweise vorliegen. Und Störungen werden kleiner, weil Entscheidungen nicht erst gesucht werden müssen.
Deshalb halte ich DORA für eine der nützlichsten Regulierungen der letzten Jahre — sofern man sie dort verankert, wo der Betrieb ohnehin stattfindet.
Häufige Fragen
Seit wann gilt DORA?
DORA ist seit dem 17. Januar 2025 unmittelbar in der gesamten EU anwendbar. Als EU-Verordnung gilt sie ohne nationale Umsetzung.
Für wen gilt DORA?
Für nahezu alle beaufsichtigten Finanzunternehmen — darunter Banken, Versicherer, Wertpapierfirmen sowie Zahlungs- und E-Geld-Institute. Über den Überwachungsrahmen betrifft sie außerdem kritische IKT-Drittdienstleister.
Ist DORA ein IT- oder ein Führungsthema?
Beides, aber die Letztverantwortung liegt beim Leitungsorgan. Die IT setzt Maßnahmen um; Governance, Rollen und Nachweisführung sind organisatorische Aufgaben.
Was ist das Informationsregister?
Ein Verzeichnis aller vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen. Es ist zu pflegen und der Aufsicht bereitzustellen.
Was sind Resilienztests nach DORA?
Regelmäßige Tests der digitalen Betriebsstabilität. Für bestimmte, bedeutende Institute kommen erweiterte, bedrohungsgeleitete Penetrationstests (Threat-Led Penetration Testing, TLPT) hinzu.
- Verordnung (EU) 2022/2554 (Digital Operational Resilience Act, DORA)
- Europäische Aufsichtsbehörden (EBA, EIOPA, ESMA): technische Regulierungs- und Durchführungsstandards zu DORA
- BaFin: Informationsangebot zu DORA