Ein Cloud-Ausfall, der Ihre Aufsicht ruft — DORA für den Finanzsektor

DORA gilt seit dem 17. Januar 2025 für den gesamten EU-Finanzsektor. Viele halten es für ein IT-Thema. Das ist der teure Irrtum — die Verantwortung liegt beim Leitungsorgan, und sie reicht bis zu Ihren Dienstleistern.

Stellen Sie sich vor, Ihr wichtigster Cloud-Anbieter fällt für einen Tag aus. Eine technische Frage — und doch entscheidet sie inzwischen über mehr als nur den Betrieb. Sie kann die Aufsicht auf den Plan rufen, und am Ende der Kette steht die Frage nach der Zuverlässigkeit Ihres Hauses.

Denn seit dem 17. Januar 2025 gilt im gesamten EU-Finanzsektor ein einheitliches, unmittelbar verbindliches Regelwerk für digitale Widerstandsfähigkeit: DORA, die Verordnung über die digitale operationale Resilienz (VO (EU) 2022/2554, Art. 64). Die häufigste Fehlannahme lautet: „Das ist ein IT-Sicherheitsthema, das erledigt die IT.” Genau das ist falsch. DORA macht das Leitungsorgan persönlich letztverantwortlich (Art. 5) — und reicht bis in die Lieferkette. Fünf Fragen entscheiden, was Ihr Haus heute leisten muss.

1. Sind wir überhaupt betroffen?

Der Anwendungsbereich ist bewusst weit. Artikel 2 zählt nicht zwei oder drei, sondern 21 Kategorien von Finanzunternehmen auf: Kreditinstitute, Zahlungsinstitute, E-Geld-Institute, Wertpapierfirmen, Versicherer, zentrale Gegenparteien, Zentralverwahrer, Handelsplätze, Anbieter von Krypto-Dienstleistungen, Verwalter alternativer Investmentfonds — und weitere. Wer im Finanzsektor tätig ist, sollte nicht davon ausgehen, durch das Raster zu fallen.

2. Was verlangt der Risikomanagementrahmen?

Artikel 6 verlangt einen umfassenden IKT-Risikomanagementrahmen — kein Konzept auf Papier, sondern ein dokumentiertes, geprüftes, laufend aktualisiertes System. Und hier wird DORA zur Führungsaufgabe: Artikel 5 weist die Letztverantwortung dem Leitungsorgan zu, das eine zentrale und aktive Rolle bei der Steuerung des IKT-Risikos bewahren muss. Diese Verantwortung lässt sich nicht nach unten delegieren und vergessen.

3. Wann müssen wir melden?

Artikel 19 verlangt, dass schwerwiegende IKT-bezogene Vorfälle an die zuständige Behörde gemeldet werden — in einem festen, dreistufigen Verfahren: Erstmeldung, Zwischenmeldung, Abschlussmeldung. Das setzt voraus, dass Vorfälle erkannt, klassifiziert und fristgerecht gemeldet werden können — unter Druck, mitten in der Störung. Ein Meldeprozess, der erst im Schadensfall erfunden wird, ist zu spät.

4. Wie wird getestet?

Ein Rahmen, der nie geprüft wird, ist eine Behauptung. Die Artikel 24 und 25 verlangen ein Programm für Tests der digitalen operationalen Resilienz — regelmäßig, risikobasiert, dokumentiert. Für besonders bedeutende Finanzunternehmen geht Artikel 26 weiter: bedrohungsorientierte Penetrationstests (TLPT) — ein realitätsnaher Angriff auf die eigenen Systeme, um zu sehen, ob die Abwehr hält.

5. Was passiert mit den Dienstleistern?

Kaum ein Finanzunternehmen betreibt seine IT noch allein. Genau dieses Auslagerungsrisiko nimmt DORA in den Blick. Artikel 28 verlangt eine systematische Steuerung des Risikos aus IKT-Drittdienstleistern, samt vollständigem Informationsregister. Artikel 30 schreibt Mindestvertragsklauseln vor — Zugangs-, Prüf- und Kündigungsrechte. Alte Standardverträge erfüllen das oft nicht.

Und dann der entscheidende Punkt: Manche IKT-Drittdienstleister sind so wichtig, dass ihr Ausfall ein systemisches Risiko wäre. Diese kritischen Anbieter werden nach den Artikeln 31 bis 33 direkt auf EU-Ebene überwacht — durch eine federführende europäische Aufsichtsbehörde. Zum ersten Mal steht damit nicht nur das Finanzunternehmen unter Aufsicht, sondern auch sein Technik-Lieferant. Hält ein solcher Anbieter die Vorgaben nicht ein, kann ein Zwangsgeld verhängt werden — bis zu 1 % seines durchschnittlichen weltweiten Tagesumsatzes, für jeden Tag der Nichteinhaltung (Art. 35).

Fazit

DORA ist kein reines IT-Thema. Es ist ein Organisations- und Führungsthema, das die Aufsicht ernst nimmt — bis hinein in die Lieferkette. Wer die fünf Fragen sauber beantworten kann, hat aus einer Pflicht einen geordneten Prozess gemacht. Wer es verschläft, riskiert genau das: dass aus einem technischen Ausfall eine Frage nach der Zuverlässigkeit des ganzen Hauses wird.

Das ganze Thema als Video:

[embed]

Belastbare Recherche zu EU-Rechtsakten — Prüfreihenfolgen, Fristen und Fundstellen finden Sie auf conformi.eu/de/knowledge/32022R2554. Dies ist keine Rechtsberatung; prüfen Sie konkrete Fälle mit Ihrem Rechtsberater.