Fasse den Artikel mit deiner KI zusammen
Index
Drei Länder, drei Aufsichtsbehörden, eine Verordnung. Das ist die Realität der DORA-Verordnung in der DACH-Region. Der Digital Operational Resilience Act, der seit Anfang 2025 in der gesamten EU unmittelbar anwendbar ist, sorgt für Kopfschmerzen bei der Governance von IKT-Risiken im Finanzsektor. Was auf den ersten Blick wie ein typisches EU-Regulierungspaket aussieht, entpuppt sich bei genauerem Hinsehen als hochkomplexes Geflecht aus direkter Anwendbarkeit, nationalen Besonderheiten und grenzüberschreitender Reichweite, die selbst Schweizer Unternehmen erfasst.
Ein CFO eines Asset Managers in Frankfurt, dritter Espresso, drei Browser-Tabs. Links: Die BaFin-Seite zu DORA mit Hinweisen zu MaRisk-Überschneidungen. Mitte: Die FMA-Richtlinien für die österreichische Tochtergesellschaft in Wien. Rechts: Ein Schreiben der Schweizer IT-Servicegesellschaft in Zürich, die wissen möchte, ob sie nun wirklich unter EU-Aufsicht fällt, obwohl die Schweiz doch gar nicht in der EU ist.
Die eigentliche Frage für Finanzverantwortliche von betroffenen Unternehmen in der DACH-Region lautet nicht mehr „Gilt DORA für uns?", sondern „Wie erfüllen wir die unterschiedlichen Anforderungen über Ländergrenzen hinweg? Und wie verhindern wir, dass unsere gruppeninternen IT-Strukturen zum Compliance-Problem werden?"
Für wen gilt DORA? Grenzüberschreitende Implikationen in der DACH-Region
Der Digital Operational Resilience Act, auf Deutsch kurz DORA EU Verordnung, ist ein „Single Rulebook" für digitale operationale Resilienz im europäischen Finanzsektor. Das Regelwerk gilt für ein breites Spektrum an Finanzunternehmen: Banken, Zahlungsinstitute, Wertpapierfirmen, Versicherungen, Krypto-Dienstleister und deren IT-Drittanbieter, unabhängig davon, wo diese Anbieter ihren Sitz haben. Die Schweiz steht formal außerhalb des Anwendungsbereichs. Aber die länderübergreifende Reichweite der Verordnung erfasst Schweizer Unternehmen trotzdem in vielen Fällen.
Für die DACH-Region gibt es drei unterschiedliche Szenarien:
Deutschland
In Deutschland beaufsichtigt die BaFin die DORA-Umsetzung. Die bisherigen BAIT-Anforderungen gelten noch bis Ende 2026, aber nur für Institute, die nicht unter DORA fallen.
Österreich
Die FMA setzt DORA gemeinsam mit der Oesterreichischen Nationalbank (OeNB) um. Ein nationales Vollzugsgesetz ergänzt den EU-Rahmen für österreichische Kreditinstitute.
Schweiz
Hier wird es kompliziert. Offiziell liegt die Schweiz außerhalb des Anwendungsbereichs, in der Praxis ist sie aber oft trotzdem betroffen. Denn wer als Schweizer Unternehmen EU-Tochtergesellschaften betreibt oder IT-Dienstleistungen für EU-regulierte Finanzunternehmen erbringt, fällt unter DORA. Die FINMA hat mit ihrem eigenen Rundschreiben zu operationellen Risiken einen nationalen Rahmen geschaffen. Dieser setzt jedoch auf Prinzipien und Ermessensspielräume, während DORA detaillierte, regelbasierte Vorgaben macht. Wer in beiden Welten operiert, muss beide Welten kennen.
Kurz gesagt: „Sind wir ein EU-Unternehmen?" ist die falsche Frage. Besser: „Erbringen wir Dienstleistungen für EU-Kunden, betreiben wir EU-Tochtergesellschaften oder stellen wir IKT-Dienstleistungen bereit, die den EU-Finanzsektor irgendwie berühren?"
Regulatorische Überschneidung: DORA vs. MaRisk und BAIT
Die Anforderungen der DORA-EU-Verordnung bauen auf bestehenden deutschen und österreichischen Regelwerken auf, gehen aber in vielen Bereichen deutlich darüber hinaus.
In Deutschland haben Finanzinstitute jahrelang ihre IT-Governance nach den MaRisk (Mindestanforderungen an das Risikomanagement) und den BAIT (Bankaufsichtliche Anforderungen an die IT) ausgerichtet. Die BaFin hat klargestellt: BAIT-Compliance ist eine gute Basis, garantiert aber keine automatische DORA-Konformität.
Wesentliche Unterschiede:
1. Drittanbieterüberwachung: Während BAIT primär auf vertragliche Absicherung und interne Kontrollen setzt, verlangt DORA eine aktive, kontinuierliche Überwachung der operationalen Resilienz von IT-Dienstleistern, einschließlich gruppeninterner Einheiten. Für kritische IKT-Drittanbieter (CTPPs) kommt sogar eine direkte EU-Aufsicht hinzu.
2. Meldewesen: Die DORA-Meldefristen (4 Stunden Erstmeldung nach Klassifizierung) sind deutlich strenger als bisherige BAIT-Vorgaben und verlangen eine EU-weite Harmonisierung der Meldekategorien.
3. Penetrationstests: DORA schreibt für ausgewählte Institute bedrohungsgeleitete Penetrationstests (TLPT) nach dem TIBER-EU-Rahmenwerk vor, ein Standard, der über klassische Schwachstellentests nach BAIT hinausgeht.
In Österreich orientiert sich die FMA an vergleichbaren Prinzipien, wobei die Umsetzung der DORA-Verordnung durch nationale Vollzugsgesetze konkretisiert wird. Die Kernbotschaft für DACH-Unternehmen bleibt dieselbe: Bestehende Compliance-Rahmenwerke sind ein Fundament, aber kein Ersatz für eine dedizierte DORA-Gap-Analyse.
Das Risiko bei gruppeninternen Auslagerungen
Die Behandlung gruppeninterner IKT-Vereinbarungen ist unter der DORA-Verordnung ein kritischer Punkt. Viele in der DACH-Region ansässige Finanzkonzerne gehen davon aus, dass interne IT-Shared-Service-Center oder konzernweite Technologiefunktionen außerhalb der aufsichtlichen Prüfung stehen. Das stimmt nicht.
Unter DORA gelten Unternehmen, die Teil einer Finanzgruppe sind und IKT-Dienstleistungen überwiegend für ihr Mutterunternehmen, Tochtergesellschaften oder Niederlassungen erbringen, als IKT-Drittdienstleister. Konkret: Eine in Zürich ansässige Konzern-IT-Funktion, die Dienstleistungen für eine EU-regulierte Tochtergesellschaft in Frankfurt oder Wien erbringt, muss im Rahmen des Drittparteirisiko-Rahmens von DORA dokumentiert, bewertet und gesteuert werden.
Für Schweizer Muttergesellschaften bedeutet das eine zusätzliche Compliance-Dimension, die über die bestehenden FINMA-Rundschreiben zu operationellen Risiken hinausgeht.
Die 5 Bereiche der DORA-Verordnung
Die DORA EU Verordnung ist kein einzelnes Regelwerk. Es ist ein System aus fünf miteinander verbundenen Bereichen:
1. IKT-Risikomanagement und persönliche Haftung
IKT-Risikomanagement ist das Fundament. Betroffene Unternehmen müssen vollständige Governance-Strukturen für IT-Risiken aufbauen. Die Verantwortung liegt dabei beim Leitungsorgan persönlich, sie lässt sich nicht delegieren. Vorstände und Geschäftsführer müssen nachweisen, dass sie IKT-Risiken verstehen, aktiv überwachen und strategisch steuern.
2. Management von Drittanbieterrisiken (TPRM) und kritische IKT-Drittdienstleister (CTPPs)
Drittanbieterrisiken (z.b. bei Cloud-Providern) sind das Herzstück der Neuerungen. Die DORA EU Verordnung verlangt, dass Unternehmen die Resilienz ihrer IT-Dienstleister aktiv überprüfen, nicht nur vertraglich absichern. Für als kritisch eingestufte Drittdienstleister gibt es sogar eine direkte Aufsicht durch die Europäischen Aufsichtsbehörden. Das betrifft auch gruppeninterne Dienstleister: Eine Konzern-IT in Genf, die für eine Tochtergesellschaft in Frankfurt arbeitet, ist regulatorisch ein Drittanbieter und muss entsprechend behandelt werden.
3. Behandlung, Klassifizierung und Meldung schwerwiegender IKT-bezogener Vorfälle
Die Vorfallmeldung wird mit DORA EU Verordnung messbar streng. Schwerwiegende IT-Vorfälle müssen innerhalb von vier Stunden nach Klassifizierung erstgemeldet werden, spätestens aber 24 Stunden nach Erkennung. Dann folgen ein Zwischenbericht nach 72 Stunden und ein Abschlussbericht nach einem Monat. Wer mehrere EU-Tochtergesellschaften hat, muss mehrere Meldeströme parallel managen.
4. Bedrohungsgeleitete Penetrationstests (TLPT)
Resilienz- und Penetrationstests gehen über klassische IT-Sicherheitstests hinaus. Für bedeutende Institute schreibt DORA verpflichtende bedrohungsgeleitete Penetrationstests vor, sogenannte TLPT (Threat-Led Penetration Testing), basierend auf dem TIBER-EU-Framework. Ziel: realistische Angriffsszenarien simulieren und die tatsächliche Widerstandsfähigkeit messen, nicht nur Checklisten abhaken.
5. Informationsaustausch über Cyberbedrohungen
Informationsaustausch ist neu und kulturell eine Herausforderung. Die DORA EU Verordnung fördert aktiv den Austausch von Cyberbedrohungsdaten zwischen Finanzunternehmen. Die Teilnahme ist freiwillig, aber wer mitmacht, stärkt die Resilienz des gesamten Sektors.
Was Finanzverantwortliche jetzt tun müssen: Checkliste zur DORA-Compliance für Ihren CFO
Zwei Bereiche haben die höchste operative Dringlichkeit.
Schritt 1: DORA-Gap-Analyse durchführen
Erstens: eine ehrliche Gap-Analyse. Wer wissen möchte, wie weit sein Unternehmen von DORA-Compliance entfernt ist, sollte bestehende Prozesse aus BAIT, FMA-Vorgaben oder FINMA-Rundschreiben systematisch mit den DORA-Anforderungen abstimmen. Die BaFin hat umfangreiche Umsetzungshinweise veröffentlicht, die dabei konkrete Orientierung bieten.
Schritt 2: Resilienz der Lieferkette und Vertragsanpassung
Zweitens: Verträge mit IT-Dienstleistern prüfen und anpassen. DORA verlangt, dass alle Verträge mit IT-Anbietern im Geltungsbereich spezifische Klauseln enthalten, auch bestehende Verträge. Das Informationsregister, das alle IT-Dienstleistungsverträge dokumentiert, musste in Deutschland bei der BaFin und in Österreich bei der FMA eingereicht werden.
Für Unternehmen mit Schweizer IT-Funktionen, die für EU-Töchter arbeiten, kommt noch eine dritte Aufgabe dazu: die Formalisierung gruppeninterner Vereinbarungen. Interne IT-Shared-Service-Center sind unter DORA keine internen Arrangements mehr, sondern regulatorische Drittparteien mit allem, was dazu gehört: Due Diligence, Ausstiegsstrategien, Audit-Trails etc.
Ein sicherer Partner für Finanztechnologie: Der Embat-Ansatz
Zurück zu unserem CFO aus Frankfurt. Er hat das Kernproblem identifiziert: Die Treasury-Funktion stützt sich auf alternde Infrastruktur und Punktlösungen, die über Jahrzehnte zusammengestückelt wurden. Jede Verbindung ist ein potenzieller Ausfallpunkt. Jede Anbieterbeziehung ist ein Audit-Risiko. Jeder manuelle Prozess ist eine Compliance-Lücke. DORA hat also eine interessante Nebenwirkung: Es zwingt Unternehmen, ihre IT-Infrastruktur ehrlich zu betrachten.
Legacy-Systeme, Übergangslösungen, Cloud-Server mit einem Anbieter aus einem Drittland, das sind die verborgenen operationellen Risiken, die DORA ans Licht bringt.
Als cloud-native Treasury-Management-Plattform und IKT-Drittanbieter unterstützt Embat CFOs in der DACH-Region dabei, eine resiliente und DORA-konforme Finanzinfrastruktur aufzubauen:
- ISO 27001:2022-Zertifizierung (AENOR): vollständige Sicherheits- und Compliance-Standards von Grund auf implementiert
- Ende-zu-Ende-Verschlüsselung und vollständige Audit-Trails: jede Transaktion, jede Änderung, jeder Zugriff ist dokumentiert und nachvollziehbar
- Sichere Bankenkonnektivität via APIs: direkter, verschlüsselter Zugang zu tausenden Finanzinstituten weltweit, ohne proprietäre Abhängigkeiten
- Native Integration mit ERPs wie DATEV, SAP Business Central, Microsoft Dynamics und anderen in der DACH-Region verbreiteten ERP-Systemen: keine Medienbrüche, keine manuellen Datenübertragungen
- Präsenz in München mit lokalem Support und Verständnis für deutsche, österreichische und Schweizer regulatorische Anforderungen
Wer den Schritt zu einer robusten, cloud-nativen Treasury-Automatisierungsplattform macht, reduziert operationelle Risiken nachhaltig, gewinnt Echtzeit-Transparenz über Cashflows und macht Treasury zur strategischen, resilienzbewussten Funktion.
