DORA Resilienz Leitfaden für Finanzunternehmen

Ein kritischer Zahlungsservice fällt nicht erst dann aus, wenn ein Rechenzentrum nicht erreichbar ist. Häufig beginnt die Störung früher: mit einer unklaren Abhängigkeit zu einem Cloud-Dienst, einem ungeprüften Wiederanlaufverfahren oder einer Krisenentscheidung ohne belastbare Lageinformationen. Der DORA Resilienz Leitfaden hilft Finanzunternehmen, diese Lücken systematisch zu schließen. Sein Wert liegt nicht in zusätzlicher Dokumentation, sondern in einer nachweisbar handlungsfähigen Organisation.

Seit dem 17. Januar 2025 gilt der Digital Operational Resilience Act, kurz DORA, unmittelbar für die betroffenen Finanzunternehmen in der Europäischen Union. Die Verordnung verbindet Anforderungen an IKT-Risikomanagement, Meldung schwerwiegender IKT-Vorfälle, Resilienztests, Drittparteienrisiken und Governance. Wer DORA nur als Compliance-Projekt behandelt, riskiert jedoch ein bekanntes Ergebnis: Richtlinien sind vorhanden, im Ernstfall greifen Verantwortlichkeiten, technische Wiederherstellung und Kommunikation trotzdem nicht ineinander.

Was ein DORA Resilienz Leitfaden leisten muss

Ein belastbarer Leitfaden übersetzt regulatorische Vorgaben in Steuerungs- und Notfallfähigkeit. Er beantwortet daher nicht nur, welche Anforderungen gelten, sondern auch: Welche Geschäftsprozesse dürfen wie lange ausfallen? Welche IT-Services tragen diese Prozesse? Wer entscheidet bei einer Störung? Welche Abhängigkeiten zu Dienstleistern müssen beherrscht werden? Und wie wird die Wirksamkeit regelmäßig belegt?

DORA richtet sich an eine breite Gruppe regulierter Finanzunternehmen. Der konkrete Aufwand ist dennoch nicht für jedes Institut gleich. Art, Größe, Risikoprofil und Komplexität der Organisation bestimmen, wie tief Prozesse, Kontrollen und Tests ausgestaltet werden müssen. Proportionalität bedeutet dabei nicht, wesentliche Pflichten auszulassen. Sie bedeutet, die Umsetzung nachvollziehbar an den tatsächlichen Risiken auszurichten.

Für Geschäftsführung und Leitungsorgane ist dies besonders relevant. DORA verlagert Verantwortung nicht in ein isoliertes IT- oder Informationssicherheitsteam. Das Leitungsorgan trägt die Verantwortung für das IKT-Risikomanagement, muss Kenntnisse und Kompetenzen sicherstellen und die Resilienz regelmäßig überwachen. Damit wird digitale operationelle Resilienz zu einer Führungsaufgabe mit klarer Verbindung zu Risiko, Compliance, BCM und ITSCM.

Die fünf DORA-Bausteine in der Praxis

IKT-Risiken aus Geschäftssicht bewerten

Am Anfang steht kein Maßnahmenkatalog, sondern Transparenz. Kritische oder wichtige Funktionen müssen identifiziert und mit den unterstützenden Anwendungen, Infrastrukturen, Datenflüssen, Standorten und externen Leistungen verbunden werden. Eine Business Impact Analyse im BCM schafft dafür die geschäftliche Perspektive: Sie definiert Schadensbilder, maximale Ausfallzeiten und Wiederanlaufprioritäten.

Das ITSCM ergänzt diese Sicht um technische Wiederherstellungsziele, Abhängigkeiten und Maßnahmen. Erst wenn Business Impact Analyse, Risikoanalyse und Service-Architektur zusammengeführt sind, lassen sich angemessene Kontrollen ableiten. Ein hochverfügbarer Service ohne getesteten Wiederanlaufplan kann ebenso kritisch sein wie ein gut dokumentierter Notfallplan ohne aktuelle technische Konfiguration.

IKT-Vorfälle beherrschen und fristgerecht melden

Bei einem erheblichen IKT-Vorfall zählen Minuten, nicht Formulierungen. Deshalb benötigen Organisationen eindeutige Kriterien zur Erkennung, Klassifizierung, Eskalation und Behandlung von Vorfällen. Die interne Eskalationskette muss mit den regulatorischen Meldepflichten abgestimmt sein. Fachbereiche, Informationssicherheit, IT-Betrieb, Recht, Kommunikation und Management benötigen ein gemeinsames Lagebild.

Ein Krisenhandbuch allein reicht dafür nicht aus. Es muss festlegen, wer den Krisenstab aktiviert, wer Entscheidungen dokumentiert, wie Informationen verifiziert werden und welche Kommunikationswege auch bei Ausfall primärer Systeme verfügbar bleiben. Ebenso wichtig ist die Nachbereitung: Ursachen, Auswirkungen, getroffene Maßnahmen und Verbesserungen müssen in Risiko-, Notfall- und Sicherheitsprozesse zurückgeführt werden.

Resilienztests als Wirksamkeitsnachweis nutzen

DORA fordert risikobasierte Tests der digitalen operationellen Resilienz. Der Prüfungsumfang reicht von Schwachstellenanalysen und Szenariotests bis zu Tests der Wiederherstellung und, für bestimmte Unternehmen, bedrohungsorientierten Penetrationstests. Entscheidend ist nicht, möglichst viele Tests durchzuführen. Entscheidend ist, ob sie realistische kritische Abhängigkeiten und Entscheidungssituationen abbilden.

Ein Wiederanlauftest kann beispielsweise zeigen, dass ein System innerhalb der geplanten Zeit verfügbar ist. Eine Krisenstabsübung kann gleichzeitig offenlegen, dass unklar bleibt, ob Kundentransaktionen priorisiert, gestoppt oder manuell weitergeführt werden sollen. Beide Erkenntnisse gehören zusammen. Tests sollten deshalb technische, organisatorische und geschäftliche Perspektiven verbinden und Maßnahmen mit Verantwortlichen sowie Terminen nachverfolgen.

Drittparteienrisiken über den Vertrag hinaus steuern

Cloud-Anbieter, Rechenzentren, Managed-Service-Provider und spezialisierte SaaS-Lösungen sind häufig Teil kritischer Leistungsketten. DORA verlangt ein umfassendes Management von IKT-Drittparteienrisiken. Das beginnt vor der Beauftragung mit einer risikobasierten Bewertung und endet nicht mit der Vertragsunterzeichnung.

Erforderlich sind ein aktuelles Informationsregister, klare Verantwortlichkeiten und eine Bewertung der Konzentrationsrisiken. Besonders wichtig ist die Frage, ob mehrere kritische Funktionen mittelbar oder unmittelbar vom gleichen Anbieter, Standort oder technischen Unterauftragnehmer abhängen. Vertragsregelungen zu Zugriff, Audit, Sicherheitsanforderungen, Meldewegen, Datenverarbeitung, Exit und Unterstützung im Störungsfall müssen operativ nutzbar sein. Ein Exit-Plan ist nur belastbar, wenn Alternativen, Datenmigration, Übergangsleistungen und Entscheidungswege vorab geprüft wurden.

Governance, Nachweise und Pflege zusammenführen

DORA erzeugt dauerhaft Pflegeaufwand. Änderungen an Anwendungen, Dienstleistern, Geschäftsprozessen und Bedrohungslagen verändern auch die Resilienzlage. Einzelne Tabellen, verteilte Dokumente und manuelle Erinnerungen führen dabei schnell zu Inkonsistenzen. Eine zentrale, rollenbasierte Steuerung von Risiken, Notfallplänen, Tests, Maßnahmen und Freigaben schafft Transparenz für operative Teams und Management.

Mit einer Plattform wie [alive-IT] lassen sich BCM- und ITSCM-Informationen konsolidieren, Verantwortlichkeiten automatisiert nachhalten und belastbare Nachweise für Prüfungen bereitstellen. Software ersetzt jedoch keine Analyse und keine Übung. Sie entfaltet ihren Nutzen, wenn Prozesse fachlich sauber definiert sind und die Organisation sie kontinuierlich lebt.

DORA Resilienz Leitfaden: Vorgehen in sechs Schritten

Ein wirksames Programm beginnt mit einer realistischen Standortbestimmung. Zunächst sollten vorhandene ISMS-, BCM-, ITSCM-, Risiko- und Lieferantenmanagement-Strukturen gegen die DORA-Anforderungen bewertet werden. Viele Unternehmen verfügen bereits über wertvolle Bausteine. Die Aufgabe besteht darin, Lücken zu erkennen, Überschneidungen zu reduzieren und ein konsistentes Zielbild zu schaffen.

Darauf folgt die Priorisierung kritischer oder wichtiger Funktionen. Für diese Funktionen werden Geschäftsanforderungen, IKT-Services, Abhängigkeiten, Wiederanlaufziele und relevante Drittparteien transparent gemacht. Diese Analyse liefert die Grundlage, um Maßnahmen nicht nach organisatorischer Lautstärke, sondern nach Auswirkungsrisiko zu priorisieren.

Im dritten Schritt werden Governance und operative Abläufe verbindlich gestaltet. Dazu zählen Rollen, Entscheidungsrechte, Eskalationswege, Freigaben und Berichtsroutinen. Gerade an den Schnittstellen zwischen Fachbereich, IT, Informationssicherheit und Krisenmanagement entstehen oft Lücken. Klare Übergaben sind wirksamer als zusätzliche Gremien.

Viertens werden Notfallvorsorge und technische Wiederherstellung überprüft. Notfallhandbücher, Wiederanlaufpläne, Kommunikationsmittel und Kontaktlisten müssen zu den priorisierten Szenarien passen. Es ist sinnvoll, auch den Ausfall von Identitätsdiensten, Administrationszugängen, Telekommunikation oder zentralen Dienstleistern zu berücksichtigen. Diese Szenarien zeigen oft, ob Pläne unter realen Bedingungen funktionieren.

Fünftens wird ein mehrjähriger Testplan etabliert. Er verbindet regelmäßige technische Tests mit Übungen für Fachbereiche und Krisenstäbe. Ergebnisse werden nicht nur abgelegt, sondern in Maßnahmen überführt und bis zur Wirksamkeitsprüfung verfolgt. Ein offener Umgang mit Testfeststellungen ist dabei ein Zeichen organisatorischer Reife, nicht mangelnder Vorbereitung.

Der sechste Schritt betrifft den kontinuierlichen Betrieb. Kennzahlen, Managementberichte, interne Kontrollen, Lieferantenbewertungen und Reviews sorgen dafür, dass Resilienz nicht nach einem Projektabschluss an Aktualität verliert. Wesentliche Änderungen müssen einen definierten Prüfimpuls auslösen - etwa bei neuen Outsourcing-Vorhaben, Fusionen, Produktstarts oder Architekturwechseln.

Typische Fehlannahmen vermeiden

Eine häufige Fehlannahme lautet: DORA sei mit einer Gap-Analyse erledigt. Die Analyse ist notwendig, aber sie erzeugt noch keine Wiederherstellungsfähigkeit. Gleiches gilt für das Kopieren allgemeiner Notfallpläne. Wenn sie kritische Systeme, konkrete Ansprechpartner und praktikable Entscheidungsoptionen nicht abbilden, helfen sie in einer dynamischen Störung kaum weiter.

Auch eine rein technische Perspektive greift zu kurz. Viele schwerwiegende Auswirkungen entstehen durch fehlende Priorisierung, unklare Kundenkommunikation oder verspätete Managemententscheidungen. Umgekehrt genügt ein gut eingespielter Krisenstab nicht, wenn technische Abhängigkeiten unbekannt sind oder Wiederanlaufverfahren nie getestet wurden. Digitale Resilienz entsteht aus dem Zusammenwirken beider Seiten.

Wer DORA als Anlass nutzt, BCM, ITSCM, Krisenmanagement und Drittparteiensteuerung verbindlich zu verzahnen, schafft mehr als einen regulatorischen Nachweis: eine Organisation, die bei IKT-Störungen strukturiert entscheidet, kritische Leistungen gezielt schützt und aus jeder Übung besser vorbereitet hervorgeht.