DORA ein Jahr danach: Wo Finanzinstitute heute stehen

Die Ordner sind voll. Die Bewährungsprobe kommt jetzt.

Register eingereicht, Meldewege eingerichtet, Rahmenwerke geschrieben: Auf dem Papier ist DORA in den meisten Finanzinstituten umgesetzt. Mehr als ein Jahr nach dem Geltungsbeginn verschiebt sich die Frage aber von der Existenz der Dokumente zu ihrer Wirkung. Entscheidend ist jetzt, ob Drittparteirisiken tatsächlich gesteuert, Vorfälle unter Zeitdruck richtig eingestuft und Notfallpläne erprobt sind.

Der Digital Operational Resilience Act, die Verordnung (EU) 2022/2554, gilt seit dem 17. Januar 2025 unmittelbar für Banken, Versicherer, Wertpapierfirmen, Kapitalverwaltungsgesellschaften und weitere Finanzunternehmen. Er regelt in fünf Blöcken das IKT-Risikomanagement (Artikel 5 bis 16), die Behandlung und Meldung von IKT-Vorfällen (Artikel 17 bis 23), das Testen der digitalen operationalen Resilienz (Artikel 24 bis 27), das Management des IKT-Drittparteienrisikos (Artikel 28 bis 30) und die Überwachung kritischer IKT-Drittdienstleister durch die europäischen Aufsichtsbehörden (Artikel 31 bis 44).

Was zeigen die ersten DORA-Meldungen?

Die Meldungen zeigen vor allem, wie stark Institute voneinander und von Dienstleistern abhängen. Laut der Auswertung „DORA-Meldewesen: BaFin-Analyse zu den IKT-Vorfällen 2025“ haben Finanzunternehmen der BaFin zwischen dem 17. Januar und dem 31. Dezember 2025 insgesamt 733 schwerwiegende IKT-Vorfälle gemeldet. Rund 1.200 Finanzunternehmen waren von mindestens einem Vorfall betroffen.

Hinter den Zahlen stehen ausgeprägte Ketteneffekte. Rund 60 übergreifende Vorfälle bei Dritten führten zu 315 Meldungen; im Schnitt löste ein übergreifender Vorfall bei 39 Finanzunternehmen einen IKT-Vorfall aus. Zählt die BaFin jede gemeinsame Ursache nur einmal, bleiben 478 unabhängige Vorfälle. Rund 50 Prozent aller Vorfälle hatten ihre Ursache bei einem Dritten, fast die Hälfte ging auf Systemfehler zurück, oft auf fehlerhafte Patches, und rund 11 Prozent waren erfolgreiche Cyberangriffe.

Für das einzelne Institut zählt weniger die Gesamtzahl als die eigene Reaktionsfähigkeit. Die Konzentration auf wenige zentrale Anbieter macht aus einer Störung schnell ein Ereignis für viele Institute. Gerade Regionalbanken, die große Teile ihrer IT an Verbunddienstleister auslagern, reduzieren damit eigene Komplexität, verlagern die Abhängigkeit aber auf wenige Anbieter, deren Ausfall das ganze Institut trifft.

Wie schnell muss ein schwerwiegender IKT-Vorfall gemeldet werden?

Die Erstmeldung ist spätestens vier Stunden nach der Einstufung als schwerwiegend fällig und spätestens 24 Stunden, nachdem das Unternehmen von dem Vorfall Kenntnis erlangt hat. Wird ein Vorfall erst später als schwerwiegend eingestuft, läuft die Vier-Stunden-Frist ab der Einstufung. Die Zwischenmeldung folgt spätestens 72 Stunden nach der Erstmeldung, die Abschlussmeldung spätestens einen Monat nach der letzten Zwischenmeldung. So regelt es Artikel 5 der Delegierten Verordnung (EU) 2025/301.

Der Engpass liegt selten im Meldeformular, sondern in der Klassifizierung. Fachbereiche müssen die Schwellenwerte kennen und einen Vorfall unter Zeitdruck richtig einordnen. Ein eingespielter Eskalationsweg zwischen IT, Risikomanagement und Meldewesen entscheidet darüber, ob die Fristen reichen. Die BaFin empfiehlt kleineren Instituten zudem, mit ihren Dienstleistern aggregierte Meldungen zu prüfen; ohne dieses Verfahren hätten Finanzunternehmen 2025 laut BaFin 2.073 weitere Vorfälle einzeln melden müssen.

Was macht das Informationsregister zur ersten harten Prüfung?

Jedes Finanzunternehmen führt nach Artikel 28 Absatz 3 DORA ein Informationsregister über alle Verträge zu IKT-Dienstleistungen und legt damit seine Abhängigkeiten offen. Bei Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, gehören alle Unterauftragnehmer dazu, die die Leistung wirksam erbringen. Laut BaFin ist das Register jährlich bis spätestens 31. März vollständig und fehlerfrei über die Melde- und Veröffentlichungsplattform einzureichen, mit dem Stand zum 31. Dezember des Vorjahres.

Erfüllt ist die Pflicht erst, wenn auch die europäischen Aufsichtsbehörden das Register validiert haben. Diese Behörden nutzen die Register, um jährlich die kritischen IKT-Drittdienstleister zu bestimmen. Hinzu kommt eine laufende Anzeigepflicht: Plant ein Institut Verträge über IKT-Dienstleistungen für kritische oder wichtige Funktionen oder wird eine Funktion nachträglich kritisch, ist die BaFin zeitnah zu informieren. Das Register ist damit kein Jahresabschluss, sondern ein lebendes Verzeichnis. Wie viel Steuerungswissen darin steckt, beschreibt der Beitrag zum DORA-Register als Managementaufgabe.

Warum bleibt das Drittparteienrisiko die größte Baustelle?

Weil sich Abhängigkeit nicht auslagern lässt. DORA verlangt ein Management der Drittparteienrisiken über den gesamten Vertragslebenszyklus: Risikobewertung und Due Diligence vor Vertragsabschluss, laufende Überwachung und für kritische oder wichtige Funktionen eine Ausstiegsstrategie. Artikel 30 schreibt Mindestinhalte für Verträge vor, für kritische Funktionen unter anderem präzise Leistungsziele, Notfallpläne des Dienstleisters, uneingeschränkte Zugangs-, Inspektions- und Auditrechte und einen verbindlichen Übergangszeitraum beim Ausstieg.

In vielen Instituten fehlt dafür eine durchgehende Sicht über IT, Einkauf, Auslagerungsmanagement und operationelles Risiko. Große Cloud- und Softwareanbieter arbeiten mit Standardklauseln, die die Mindestinhalte nicht ohne Weiteres abdecken; Nachverhandlungen brauchen Zeit. Sinnvoll ist eine klare Priorisierung: zuerst die Verträge für kritische Funktionen, dann der Rest in geordneter Reihenfolge. Neue Abhängigkeiten entstehen zudem über KI-Dienste und deren Vorlieferanten. Die BaFin hat dazu im Dezember 2025 eine Orientierungshilfe veröffentlicht; wie Institute die Kette bis zu den Unterauftragnehmern steuern, zeigt der Beitrag zum Risiko der Subdienstleister.

Wen trifft der bedrohungsorientierte Penetrationstest?

Nicht alle Institute. Threat-Led Penetration Testing, kurz TLPT, bildet Taktiken realer Angreifer nach und testet die kritischen Produktivsysteme eines Instituts. Welche Finanzunternehmen einen TLPT durchführen müssen, legt Artikel 26 DORA fest, konkretisiert durch die Delegierte Verordnung (EU) 2025/1190. Betroffene Unternehmen erhalten von der BaFin einen Verpflichtungsbescheid, in dem auch der Turnus steht, in der Regel drei Jahre.

Den Testbeginn legt die BaFin in Abstimmung mit der Deutschen Bundesbank fest; innerhalb von sechs Monaten nach der Testanordnung ist die Testumfangsspezifikation einzureichen. Methodik und Prozesse bauen auf dem bisherigen TIBER-DE-Verfahren auf. Ein solcher Test bindet über Monate Ressourcen und zeigt, ob Erkennung und Eskalation tatsächlich greifen oder nur beschrieben sind. Institute, die ihre Systemrelevanz kennen, planen ihn deshalb als festen Teil der Teststrategie.

Was ändert sich für Institute außerhalb der CRR?

KWG-Institute, die keine CRR-Institute sind, etwa Bürgschaftsbanken oder Wohnungsunternehmen mit Spareinrichtung, wenden laut BaFin ab dem 1. Januar 2027 den vereinfachten IKT-Risikomanagementrahmen nach Artikel 16 DORA an. Er ersetzt für sie die bisherigen bankaufsichtlichen Anforderungen an die IT (BAIT). Die Meldepflichten für IKT-Vorfälle gelten für diese Institute schon seit Januar 2025. Beim Drittparteienrisikomanagement fallen die Vereinfachungen laut BaFin geringer aus als beim Risikomanagementrahmen.

Woran misst die Aufsicht jetzt die Umsetzung?

An der Wirksamkeit. Ein sauber dokumentierter Prozess, der im Ernstfall nicht greift, ist ein Mangel. Institute müssen ihre kritischen Funktionen kennen, zulässige Ausfallzeiten festlegen und Wiederanlaufpläne belegbar erproben. Nach Artikel 5 DORA trägt das Leitungsorgan die letztendliche Verantwortung für das Management der IKT-Risiken, auch dann, wenn Betrieb oder Meldungen an Dienstleister übertragen sind.

Die ehrlichste Prüfung ist eine einfache Frage: Was passiert, wenn morgen der wichtigste IT-Dienstleister ausfällt? Wer sie nicht in wenigen Minuten beantworten kann, hat DORA formal erfüllt, aber nicht verinnerlicht. Ein Institut, das seine kritischen Systeme, Prozesse und Dienstleister lückenlos kennt, steuert zudem besser, verhandelt besser mit Anbietern und entscheidet in der Krise schneller.

Was das Management jetzt priorisieren sollte

1. Den Fokus von der Dokumentation auf den Nachweis der Wirksamkeit verlagern und Erkennung, Eskalation und Wiederanlauf testen, bevor ein realer Vorfall es tut.

2. Das Informationsregister als Steuerungsinstrument nutzen: Konzentrationen auswerten, kritische Dienstleister und ihre Unterauftragnehmer sichtbar machen.

3. Die Vertragsanpassung nach Artikel 30 priorisieren, beginnend mit den Verträgen für kritische oder wichtige Funktionen.

4. Die Einstufung schwerwiegender Vorfälle trainieren, damit Erstmeldungen innerhalb von vier Stunden gelingen, und aggregierte Meldungen mit Dienstleistern prüfen.

5. KI-Dienste von Anfang an ins Drittparteienrisikomanagement aufnehmen, inklusive Exportfähigkeit von Modellen und Daten.

Häufige Fragen

Wie viele IKT-Vorfälle wurden der BaFin 2025 gemeldet?
733 schwerwiegende IKT-Vorfälle zwischen dem 17. Januar und dem 31. Dezember 2025. Da viele Vorfälle bei Dritten mehrere Institute treffen, liegt die Zahl unabhängiger Vorfälle mit gemeinsamer Ursache bei 478.

Bis wann muss das DORA-Informationsregister eingereicht sein?
Jährlich bis spätestens 31. März, vollständig und fehlerfrei validiert, mit dem Stand zum 31. Dezember des Vorjahres. Eingereicht wird über die Melde- und Veröffentlichungsplattform der BaFin.

Muss jedes Institut einen TLPT durchführen?
Nein. Die BaFin verpflichtet ausgewählte Finanzunternehmen per Bescheid nach den Kriterien von Artikel 26 DORA und der Delegierten Verordnung (EU) 2025/1190. Für alle übrigen gelten die allgemeinen Testpflichten.

Weitere Beiträge zu DORA, KI-Verordnung und Aufsicht bündelt das Dossier Regulierung & Resilienz.

Wie lange der eigene Betrieb ohne den wichtigsten IT-Dienstleister tatsächlich durchhält, ist in vielen Instituten eher eine Vermutung als ein geprüfter Wert. Über einen Austausch zu diesem Thema freuen wir uns.