Wenn der Ernstfall beim Dienstleister beginnt: Wie DORA das Notfallmanagement umkrempelt
Fortbildungsanbieter werben derzeit mit Seminaren zu DORA-konformen Notfallkonzepten und der Einbindung von IT-Dienstleistern. Dahinter steht eine europäische Verordnung, die den Finanzsektor zwingt, seine digitale Widerstandsfähigkeit neu zu denken – bis hinein in die Verträge mit externen Anbietern.
Notfallpläne sind geschrieben, Wiederanlaufzeiten definiert, Prozesse dokumentiert – und im Ernstfall hakt es trotzdem. Der Grund liegt nach Darstellung von Fortbildungsanbietern oft an einer Schnittstelle, die lange übersehen wurde: dem externen IT-Dienstleister, der ein Rechenzentrum, eine Cloud oder eine Kernanwendung betreibt. Genau hier setzt der Digital Operational Resilience Act an, kurz DORA. Die Seminarwerbung ist nur der Anlass; das Thema dahinter betrifft die Frage, wie krisenfest der digitale Betrieb einer ganzen Branche wirklich ist.
Eine Verordnung für die digitale Belastbarkeit
DORA ist die EU-Verordnung 2022/2554 über die digitale operationale Resilienz im Finanzsektor. Sie ist für die betroffenen Unternehmen seit dem 17. Januar 2025 verbindlich anzuwenden. Anders als frühere, eher allgemein gehaltene Vorgaben bündelt sie die Themen Cybersicherheit, IT-Risikomanagement und Betriebskontinuität in einem einheitlichen, unmittelbar geltenden Regelwerk. Der Kerngedanke ist einfach: Ein Finanzunternehmen soll nicht nur solide bilanzieren, sondern auch einen IT-Ausfall, einen Cyberangriff oder eine Störung bei einem Zulieferer überstehen, ohne dass Kunden oder das Finanzsystem Schaden nehmen.
Der Anwendungsbereich ist breiter, als der Begriff „Finanzsektor" zunächst vermuten lässt. Erfasst sind unter anderem Banken, Zahlungs- und E-Geld-Institute, Wertpapierfirmen, Versicherer, Fondsverwalter und Handelsplätze. Auch kleinere, wenig komplexe Häuser fallen grundsätzlich darunter, wenn auch teilweise mit erleichterten Anforderungen. Für die deutsche Aufsicht ist die BaFin zuständig.
Der lange Arm bis zum Zulieferer
Die vielleicht folgenreichste Neuerung betrifft das Verhältnis zu IT-Dienstleistern. DORA verlangt, dass Finanzunternehmen ihre externen Anbieter systematisch steuern – vertraglich und organisatorisch. Verträge müssen bestimmte Mindestinhalte abdecken, etwa zu Sicherheitsniveaus, Prüfrechten, Meldewegen und Ausstiegsszenarien. Wer eine kritische Funktion auslagert, muss wissen, wie er sie im Notfall zurückholen oder ersetzen kann. Für besonders wichtige Anbieter, deren Ausfall systemische Folgen hätte, schafft die Verordnung sogar einen eigenen Überwachungsrahmen auf europäischer Ebene.
Damit rückt eine Selbstverständlichkeit in den Fokus, die in der Praxis oft unscharf blieb: Ein Notfallkonzept, das an der Grenze des eigenen Hauses endet, greift zu kurz, wenn zentrale Systeme längst bei Dritten laufen. Business-Continuity- und Wiederanlaufplanung müssen die Dienstleister einbeziehen – bis hin zu der Frage, ob deren eigene Notfallprozesse zu den eigenen Anforderungen passen. Genau an dieser Verzahnung, so das Argument der Seminaranbieter, scheitert die Umsetzung im Ernstfall am häufigsten.
Testen, melden, dokumentieren
Neben dem Dienstleistermanagement verlangt DORA vor allem drei Dinge im laufenden Betrieb. Erstens ein wirksames IT-Risikomanagement, das Risiken erfasst, bewertet und mit konkreten Maßnahmen hinterlegt. Zweitens eine Meldepflicht: Schwerwiegende IT-Vorfälle müssen fristgerecht an die Aufsicht gemeldet werden, was voraussetzt, dass ein Unternehmen Vorfälle überhaupt erkennt und einordnen kann. Drittens regelmäßige Tests der eigenen Widerstandsfähigkeit, die je nach Größe und Bedeutung des Hauses von einfachen Prüfungen bis zu anspruchsvollen, angriffsnahen Testverfahren reichen.
Für viele Institute bedeutet das weniger eine völlig neue Welt als eine Verdichtung: Vieles war in Ansätzen vorhanden, muss nun aber nachweisbar, überprüfbar und aufeinander abgestimmt sein. Der Aufwand konzentriert sich häufig dort, wo Zuständigkeiten zwischen IT, Fachbereich, Einkauf und Recht bislang nur lose verbunden waren. Das erklärt auch, warum Weiterbildungen zum Thema derzeit Konjunktur haben – die Regeln stehen, die Routine muss sich erst einspielen.
Ob DORA den Finanzbetrieb spürbar sicherer macht, wird sich weniger an den Dokumenten zeigen als am ersten größeren Zwischenfall, der die Pläne auf die Probe stellt. Klar ist schon jetzt: Die Verordnung zwingt eine ganze Branche, ihre Abhängigkeit von externer Technik nicht länger als Randthema zu behandeln, sondern als Kern des eigenen Risikos.
Dieser Beitrag ordnet einen aktuellen Trend redaktionell ein und stellt keine Rechts- oder Steuerberatung dar. Für die konkrete Betroffenheit und Umsetzung von DORA-Pflichten ist fachkundige Beratung erforderlich.