DORA: Operative Resilienz in den Finanzdienstleistungen

Die Aufsichtsschwerpunkte für 2025–2027 heben potenzielle Schwachstellen bei Banken hervor, mit einem Schwerpunkt auf operationelle Resilienz – insbesondere IT‑Auslagerung, IT‑Sicherheit und Cyberrisiken. Die EU‑Verordnung über die digitale operationelle Resilienz (DORA) ist seit dem 17. Januar 2025 anwendbar und macht aus Erwartungen verbindliche Anforderungen.

Diese wegweisende Verordnung verändert, wie Organisationen mit operationellen Risiken umgehen. Wir beleuchten zentrale Aspekte von DORA anhand der Einschätzungen unserer Expertinnen und Experten.

Was ist DORA, und warum ist sie wichtig?

DORA ist eine umfassende Verordnung, die darauf abzielt, die operationelle Resilienz von Finanzinstituten in der EU zu stärken. Sie verlangt robuste Rahmenwerke für das Management von Risiken der Informations‑ und Kommunikationstechnologie (IKT), um Störungen und Bedrohungen zu bewältigen. Elisabeth Geyer-Schall, Head of Core IT, erklärt: „DORA ist ein proaktiver Schritt zum Schutz der Finanzstabilität und stellt sicher, dass Institute Betriebsstörungen standhalten, darauf reagieren und sich davon erholen können.“

Wie passen Finanzinstitute ihre Risikomanagementstrategien an?

Mit der Umsetzung haben Institute ihre Risikoprozesse überarbeitet, um sie an die strengen Anforderungen von DORA anzupassen. Stefan Jaschky, unser gruppenweiter Leiter für IT Risk Management, betont: „Die Verordnung fördert den Wandel hin zu integrierten und kontinuierlichen Risikobewertungsprozessen und stärkt eine Kultur der Resilienz und Bereitschaft.“

Was sind die wichtigsten Ziele und Schwerpunkte zur Erreichung der DORA‑Compliance?

Institute konzentrieren sich darauf, ihre IKT‑Sicherheitsrahmen zu stärken, Mechanismen zur Reaktion auf Sicherheitsvorfälle zu verbessern und eine robuste Aufsicht über Drittdienstleister sicherzustellen. Robert Wagenleitner, Head of Group Security & Resilience, ist überzeugt, dass maximale Compliance zu noch größerem Vertrauen der Kundinnen und Kunden führt: „In Zeiten stetig zunehmender Cyberangriffe erwarten Kundinnen und Kunden, dass wir uns von Störungen erholen – idealerweise, ohne dass sie es bemerken.“

Worauf legt DORA den Fokus?

DORA priorisiert zwei zentrale Aspekte: Integrität und Verfügbarkeit. Integrität betont die Genauigkeit und Verlässlichkeit von Informationen, was für Vertrauen und Glaubwürdigkeit essenziell ist. Verfügbarkeit stellt sicher, dass Systeme auch während Störungen betriebsbereit und zugänglich bleiben, um Ausfallzeiten zu minimieren. Das Team unter der Leitung von Markus Stanek, Head of Group Efficiency Management, verantwortet Transparenz und Effizienz auf Prozessebene: „Wir arbeiten kontinuierlich mit unseren Fachbereichen zusammen, um Geschäftsprozesse und die für deren Ausführung erforderlichen Systeme zu bewerten. Dieser Ansatz verschafft uns einen klaren Blick auf Anforderungen an die IT‑Resilienz.“

Wie steht es um die Abhängigkeit von externen Anbietern?

Die Umsetzung von DORA beeinflusst maßgeblich, wie Finanzinstitute ihre Beziehungen zu Drittdienstleistern steuern. Nach den neuen Vorgaben müssen Institute eine umfassende Überwachung sicherstellen und dafür sorgen, dass externe Partner strenge Anforderungen an die operationelle Resilienz erfüllen. Edzard Janssen, Head of Group Procurement, erklärt: „Gründliche Risikoanalysen und kontinuierliche Überwachung der Interaktionen mit Drittdienstleistern werden die gesamte Lieferkette verbessern und Dienstleister dazu veranlassen, ihre eigenen Sicherheits‑ und Resilienzrahmen zu stärken, um den DORA‑Anforderungen gerecht zu werden.“

Grundsätzlich ist keine der DORA‑Anforderungen für Banken neu. Die meisten gehen stärker ins Detail und erhöhen die Einbindung der Aufsichtsbehörden; so sind etwa alle größeren Störungen binnen 24 Stunden nach Feststellung der Aufsicht zu melden.

DORA ist nicht nur eine regulatorische Pflicht; die Verordnung setzt den Maßstab für alle Banken und wirkt damit als Katalysator für positive Veränderungen – hin zu einer sichereren und widerstandsfähigeren Zukunft der Branche.