Die Frist ist verstrichen. Die Umsetzung ist es in vielen Häusern nicht.

DORA ist keine kommende Regulierung mehr, sondern geltendes Recht: Der Digital Operational Resilience Act findet seit dem 17. Januar 2025 Anwendung und verpflichtet Finanzunternehmen zu einem durchgängigen Management ihrer IKT-Risiken, von der Vorfallmeldung über regelmäßige Resilienz-Tests bis zur Kontrolle ihrer IT-Dienstleister. Die zweijährige Übergangsfrist nach dem Inkrafttreten im Januar 2023 ist abgelaufen. Wer jetzt noch plant, ist spät dran, und die Aufsicht misst nicht mehr am Plan, sondern an der Praxis.

Was DORA im Kern verlangt

Die BaFin gliedert die Anforderungen in mehrere Bereiche. Den Kern bildet das IKT-Risikomanagement nach den Artikeln 5 bis 16 der Verordnung. Finanzunternehmen müssen ihre Informations- und Kommunikationstechnologie systematisch erfassen, Risiken bewerten und einen Rahmen aufbauen, der Ausfälle verhindert und im Ernstfall den Betrieb sichert. Das ist kein IT-Projekt, das die IT-Abteilung nebenbei erledigt. Es ist eine Führungsaufgabe, für die das Leitungsorgan geradesteht.

Der Anspruch geht über technische Absicherung hinaus. DORA verlangt, dass ein Haus jederzeit weiß, welche Systeme geschäftskritisch sind und was passiert, wenn eines ausfällt. Das setzt eine saubere Landkarte der eigenen IT und ihrer Abhängigkeiten voraus. Wer diese Karte nicht hat, erfüllt die Anforderung auf dem Papier, aber nicht in der Substanz.

Warum DORA kein reines IT-Thema ist

Der häufigste Fehler ist, DORA an die IT-Abteilung zu delegieren und dort abzuhaken. Die Verordnung adressiert ausdrücklich das Leitungsorgan. Operationale Resilienz ist eine Frage der Geschäftsfähigkeit, nicht der Serverkonfiguration. Fällt das Kernbanksystem aus, steht nicht die IT still, sondern das Geschäft. Der Vorstand, der diese Verantwortung an die Technik weiterreicht, trägt sie am Ende trotzdem, nur ohne die Übersicht, die er dafür bräuchte.

Die Vorfallmeldung: Die BaFin als Melde-Hub

Nach den Artikeln 17 bis 23 müssen Finanzunternehmen schwerwiegende IKT-Vorfälle klassifizieren und melden. Die BaFin fungiert dabei als nationaler Melde-Hub. Das setzt einen internen Prozess voraus, der einen Vorfall erkennt, korrekt einstuft und fristgerecht meldet. Häuser, die diesen Prozess erst im Moment des ersten Vorfalls erfinden, verpassen die Meldefristen und riskieren aufsichtliche Konsequenzen.

Testing und Threat-led Penetration Testing

DORA verlangt, die digitale operationale Resilienz regelmäßig zu testen. Die Artikel 24 bis 27 nennen ausdrücklich das bedrohungsgeleitete Penetrationstesten, das Threat-led Penetration Testing. Ein Haus prüft damit nicht mehr nur, ob seine Systeme grundsätzlich sicher sind, sondern ob sie einem realistischen Angriff standhalten. Für viele Institute ist das eine neue Qualität der Prüfung, die eigene Kompetenz und externe Partner erfordert.

Das unterschätzte Thema: Drittparteienrisiko

Der Bereich, der die meisten Häuser unterschätzt, ist das Management des Drittparteienrisikos nach den Artikeln 28 bis 30. Finanzunternehmen müssen ihre IKT-Dienstleister überwachen, vertraglich absichern und der Aufsicht anzeigen. In einer Welt, in der Kernbanksysteme, Rechenzentren und KI-Dienste ausgelagert sind, ist das eine Mammutaufgabe. Für systemrelevante externe Anbieter schafft DORA mit den Artikeln 31 bis 44 sogar einen eigenen Überwachungsrahmen.

Wer nicht weiß, welche Dienstleister welche kritische Funktion tragen, kann dieses Risiko nicht steuern. Ein vollständiges Register der IKT-Dienstleister ist deshalb die Grundlage, ohne die der Rest nicht funktioniert. Gerade Regionalinstitute haben hier eine besondere Lage: Sie lagern große Teile ihrer IT an zentrale Verbunddienstleister aus. Das reduziert die eigene Komplexität, verlagert die Abhängigkeit aber auf wenige kritische Anbieter, deren Ausfall das ganze Haus trifft.

Wo Häuser jetzt stehen

Die Formalanforderungen sind in den meisten Instituten angekommen. Die gelebte Praxis hinkt hinterher. Ein Register existiert, aber es ist nicht vollständig. Ein Meldeprozess ist beschrieben, aber nie getestet. Ein Testkonzept liegt vor, aber der erste bedrohungsgeleitete Test steht noch aus. DORA belohnt nicht das Dokument, sondern die Wirksamkeit. Die Aufsicht prüft, ob der Prozess im Ernstfall trägt.

Der Grund für diese Lücke ist selten Nachlässigkeit. Er ist Kapazität. DORA fällt in eine Zeit, in der dieselben Fachbereiche parallel die KI-Verordnung, Nachhaltigkeitsanforderungen und das Tagesgeschäft stemmen. Die Regulierung staut sich, und die Häuser priorisieren, was zuerst geprüft wird. Genau deshalb lohnt es sich, die Anforderungen zu bündeln, statt jede Verordnung als isoliertes Projekt zu führen. Ein sauberes Register kritischer Systeme dient DORA und der KI-Verordnung zugleich.

Der Praxistest

Die ehrlichste Prüfung ist eine einfache Frage: Was passiert, wenn morgen der wichtigste IT-Dienstleister ausfällt? Wer diese Frage nicht in Minuten beantworten kann, hat DORA formal erfüllt, aber nicht verstanden. Die Verordnung zielt genau auf diese Antwort. Ähnlich wie beim EU AI Act für Versicherer trennt auch hier die gelebte Umsetzung die vorbereiteten Häuser von den formal konformen.

Der Nutzen jenseits der Pflicht

DORA lohnt sich auch ohne den Blick auf die Aufsicht. Ein Haus, das seine kritischen Systeme, Prozesse und Dienstleister lückenlos kennt, steuert besser, verhandelt besser mit Anbietern und trifft schnellere Entscheidungen im Krisenfall. Die Verordnung erzwingt eine Transparenz, die viele Häuser aus eigenem Antrieb nie geschaffen hätten. Wer die Pflicht als Anlass nimmt, seine IT-Landschaft endlich zu ordnen, gewinnt einen Überblick, der weit über die Compliance hinaus Wert schafft.

Der Unterschied liegt in der Haltung. Wer DORA als lästige Nachweispflicht abarbeitet, produziert Dokumente. Wer sie als Anlass zur Ordnung begreift, produziert Steuerungsfähigkeit. Beide erfüllen die Verordnung. Nur einer zieht einen Nutzen daraus, der die Arbeit rechtfertigt.

Der nächste Schritt

DORA ist keine einmalige Pflicht, sondern ein Dauerbetrieb. Register pflegen, Vorfälle melden, Tests durchführen, Dienstleister überwachen. Das gelingt nur mit klaren Rollen und Verantwortlichkeiten im Haus. Wer prüfen will, ob die eigene Umsetzung im Ernstfall trägt, beginnt mit einer strukturierten Standortbestimmung der kritischen Funktionen und ihrer Abhängigkeiten. Aus dieser Übersicht ergibt sich, wo die Lücke zwischen Dokument und Wirksamkeit am größten ist. Genau dort beginnt die Arbeit, die im Ernstfall über die Handlungsfähigkeit des Hauses entscheidet, und nicht bei der Ablage des nächsten Nachweises.