DORA — die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz des Finanzsektors — ist seit dem 17.01.2025 anwendbar. Bis 2026 laufen die ersten vollständigen Aufsichtszyklen: Banken, Versicherer und Kapitalverwaltungsgesellschaften werden nicht mehr gefragt, ob sie ein DORA-Projekt haben, sondern ob das Rahmenwerk nachweislich umgesetzt, dokumentiert und getestet ist. Dieser Beitrag ist eine praxisorientierte Checkliste dessen, was Finanzunternehmen bis 2026 vorweisen können sollten — Governance, Schulung, Drittparteien-Due-Diligence, Informationsregister und die Personal-Dimension. Für die zugrunde liegenden Pflichten zu Personal und Dienstleistern siehe unseren Überblick zu DORA-Anforderungen an Personal und IKT-Dienstleister.
Die Ausgangslage 2026: Vom Projekt zum operativen Betrieb
Die Übergangsphase ist vorbei. Die Aufsicht erwartet, dass DORA-Compliance Teil des Tagesgeschäfts ist — kein Sanierungsprogramm. Konkret heißt das: ein genehmigtes und jährlich überprüftes IKT-Risikomanagement-Rahmenwerk, ein funktionierendes Schulungsprogramm, ein vollständiges Informationsregister und dokumentierte Due Diligence für jeden wesentlichen IKT-Drittdienstleister. Wenn davon noch etwas nur im Projektplan existiert, ist 2026 das Jahr, die Lücke zu schließen — denn der zweite Aufsichtszyklus prüft genau diese Artefakte.
IKT-Risikomanagement-Rahmenwerk: Governance und Kontrollfunktionen
Das Rückgrat von DORA ist das IKT-Risikomanagement-Rahmenwerk nach den Artikeln 5 und 6. Bis 2026 sollten Finanzunternehmen nachweisen können:
- Letztverantwortung an der Spitze. Die Geschäftsleitung definiert, genehmigt und überwacht das Rahmenwerk und trägt die letztverantwortliche Verantwortung für das IKT-Risiko (Art. 5 Abs. 2). Das ist nicht auf den CISO delegierbar.
- Eine Kontrollfunktion mit Unabhängigkeit. Unternehmen, die keine Kleinstunternehmen sind, müssen die Verantwortung für die Steuerung und Überwachung des IKT-Risikos einer Kontrollfunktion mit angemessener Unabhängigkeit übertragen — nach dem Drei-Linien-Modell oder einem gleichwertigen internen Modell (Art. 6 Abs. 4).
- Dokumentation und jährliche Überprüfung. Das Rahmenwerk muss dokumentiert und mindestens einmal jährlich sowie nach wesentlichen Änderungen an der Netz- und Systeminfrastruktur überprüft werden (Art. 6 Abs. 5).
- Eine Monitoring-Funktion für Drittparteien-Vereinbarungen. Eine eigene Rolle — oder ein benanntes Mitglied der Geschäftsleitung — muss sämtliche Vereinbarungen mit IKT-Drittdienstleistern überwachen (Art. 5 Abs. 3).
Die Frage 2026 ist in der Praxis nicht, ob diese Rollen auf dem Papier existieren, sondern ob sie mit Personen besetzt sind, die IKT-Risiko nachweislich verstehen — hier greift die Personal-Dimension (siehe unten).
Schulung nach Art. 13 Abs. 6: rollenbasiert und dokumentiert
Art. 13 Abs. 6 verlangt, dass Finanzunternehmen Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz in ihre Personalschulungen aufnehmen — für alle Beschäftigten und für die Mitglieder der Geschäftsleitung. Ein belastbares Schulungsprogramm sollte bis 2026 umfassen:
- Rollenbasierte Tiefe. Alle brauchen Basis-Sensibilisierung; wer IKT-Risiken verantwortet, mit kritischen Systemen arbeitet oder im Incident-Response tätig ist, benötigt deutlich mehr — und die Geschäftsleitung muss ihr Wissen über IKT-Risiken regelmäßig aktualisieren (Art. 5 Abs. 4).
- Nachweise statt Teilnahmelisten. Die Aufsicht sucht nach dokumentierten Lernzielen, Abschlussquoten und Auffrischungszyklen. Ein Schulungslog, das zeigt, wer was wann absolviert hat, ist das Artefakt, das einer Prüfung standhält.
- Test von Menschen, nicht nur von Systemen. Das digitale operationelle Resilienz-Testen nach DORA umfasst auch Personen: Übungen und Szenariotests zeigen, ob Mitarbeitende im Störfall tatsächlich richtig reagieren.
Drittparteien-Due-Diligence und Informationsregister (Art. 28)
Art. 28 ist das operative Herzstück des IKT-Drittparteienrisikos. Bis 2026 sollte ein wiederholbarer Prozess stehen — keine Einmalaktion:
- Vorvertragliche Bewertung für jeden wesentlichen Dienstleister. Eignung, Risiken, Konzentrationsrisiken und Interessenkonflikte müssen vor Vertragsschluss bewertet und dokumentiert werden. Im Prüfungsfall fragt die Aufsicht, welche Tatsachen erhoben, bewertet und festgehalten wurden — nicht, ob der Dienstleister seriös wirkte.
- Ein vollständiges, aktuelles Informationsregister. Das Register erfasst alle vertraglichen Vereinbarungen mit IKT-Drittdienstleistern und muss aktuell gehalten werden — einschließlich der Subunternehmer-Kette, denn die RTS zum Subcontracting verlangen, dass die Kette der IKT-Subunternehmer für kritische oder wichtige Funktionen identifiziert und aktuell gehalten wird.
- Laufende Überwachung. Due Diligence endet weder bei Vertragsschluss noch beim Onboarding. Dienstleister müssen kontinuierlich überwacht werden; Register und Risikobewertungen sind zu aktualisieren, wenn sich die Lage des Dienstleisters ändert — Eigentümerstruktur, Sanktionsrisiken, Vorfälle, Finanzlage.
- Vertragliche Durchsetzungsrechte. Audit-, Zugangs-, Inspektions- und Kündigungsrechte nach Art. 30 sind das, was Due-Diligence-Ergebnisse später durchsetzbar macht. Verträge ohne diese Rechte sind ein häufiger Prüfungsbefund.
Für den methodischen Zusammenhang zwischen Dienstleister-Prüfung und Personal-Screening — ein Prüfprozess, zwei Objekte — siehe unseren Beitrag zu DORA-Anforderungen an Personal und IKT-Dienstleister.
Personal-Anforderungen: Schlüsselpositionen und Zuverlässigkeit
DORA selbst ist kein Fit-and-Proper-Regime, schärft die Personal-Dimension digitaler Resilienz aber in drei Punkten:
- Kenntnisse und Fähigkeiten der Geschäftsleitung. Mitglieder müssen ihr Wissen und ihre Fähigkeiten aktiv aktuell halten, um IKT-Risiko zu verstehen und zu bewerten (Art. 5 Abs. 4) — eine Anforderung, die die Aufsicht zunehmend am tatsächlichen Hintergrund der Leitungsmitglieder misst.
- Eignung der Schlüsselfunktionen. Die sektoralen Rahmenwerke — CRD für Banken, Solvency II für Versicherer, KAGB für Kapitalverwaltungsgesellschaften — verlangen, dass Inhaber von Schlüsselfunktionen geeignet und zuverlässig sind. DORA ergänzt die IKT-Dimension: Wer IKT-Risikomanagement, die Drittparteien-Monitoring-Rolle oder Incident Response verantwortet, muss die einschlägige Expertise nachweisen können.
- Zuverlässigkeit als dokumentierte Tatsache. Wo Schlüsselpersonal kritische Systeme, Zugriffsrechte oder Auslagerungsbeziehungen verantwortet, sollte seine Zuverlässigkeit verifiziert und dokumentiert sein — Registerdaten, Sanktionslisten, Adverse Media — genauso wie der Dienstleister selbst geprüft wird. Ein strukturierter, dokumentierter Prüfprozess zahlt sich hier doppelt aus: einmal für das eigene Schlüsselpersonal, einmal für das Personal des Dienstleisters mit weitreichenden Zugriffen.
Eine praktische Checkliste für 2026
- IKT-Risikomanagement-Rahmenwerk von der Geschäftsleitung genehmigt und innerhalb der letzten 12 Monate überprüft
- IKT-Risiko-Kontrollfunktion mit dokumentierter Unabhängigkeit eingerichtet (Drei-Linien-Modell)
- Drittparteien-Monitoring-Rolle oder benanntes Geschäftsleitungsmitglied aktiv
- Schulungsprogramm nach Art. 13 Abs. 6 deckt alle Beschäftigten und die Geschäftsleitung ab, mit dokumentierten Abschluss- und Auffrischungszyklen
- Informationsregister vollständig, aktuell und inklusive Subunternehmer-Kette
- Dokumentierte vorvertragliche Due Diligence für jeden wesentlichen IKT-Dienstleister
- Verträge enthalten Audit-, Zugangs-, Inspektions- und Kündigungsrechte (Art. 30)
- Schlüsselpersonal in IKT-Risiko-, Drittparteien-Monitoring- und Incident-Response-Rollen ist auf Zuverlässigkeit und Eignung geprüft
Wie Indicium die DORA-Umsetzung unterstützt
Die Compliance-Last von 2026 ist Dokumentation: wer wurde wann, auf welcher Tatsachengrundlage, mit welchen Quellen bewertet. Indicium wendet dieselbe strukturierte Methodik auf beide Prüfobjekte an — IKT-Dienstleister und Schlüsselpersonal — und erstellt einen prüffähigen Report mit datierten Quellen und menschlicher Letztprüfung (Art. 22 DSGVO). Wenn Sie den Prozess in der Praxis sehen möchten, vereinbaren Sie eine Demo.
Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.