DORA-Prüfung 2026 – keine Erleichterungen mehr

Ab dem Prüfungsjahr 2026 gibt es für DORA keine Erleichterungen mehr

Mit der Jahresabschlussprüfung für das Geschäftsjahr 2026 fallen die Erleichterungen bei der Prüfung des Digital Operational Resilience Act (DORA) weg. Im ersten Prüfungsjahr 2025 hat die Bundesanstalt für Finanzdienstleistungsaufsicht (Bafin) sie auf Vorschlag des Instituts der Wirtschaftsprüfer (IDW) noch mitgetragen. Wo Feststellungen drohen, lässt sich gut absehen. Bafin und Deutsche Bundesbank haben im Dezember 2025 erste Erkenntnisse aus ihren eigenen DORA-Prüfungen vorgestellt, und die Europäischen Aufsichtsbehörden (European Supervisory Authorities, ESAs) haben die ersten Auswertungen zum Informationsregister und zu den Vorfallmeldungen veröffentlicht.

Was sich mit dem Prüfungsjahr 2026 ändert

Die Erleichterungen aus dem Schreiben der Bafin an das IDW vom 11. August 2025 galten für Finanzunternehmen unter direkter Bafin-Aufsicht und nur im Jahr der Erstprüfung. Sie betrafen vor allem den Prüfungsbericht: Vollständig behobene Mängel mussten nicht einzeln dargestellt werden, der Prüfer wies nur auf ihr Vorhandensein hin. In den Folgejahren ist wieder umfassend zu berichten, und die Wirksamkeitsprüfung muss den gesamten Berichtszeitraum abdecken.

Auch der Prüfungsmaßstab steht inzwischen fest. Das IDW hat die Endfassung seines Prüfungsstandards IDW PS 528 zur Prüfung der DORA-Anforderungen vorgelegt, mit Stand vom 6. Juli 2026. Für Versicherer ist im Mai 2026 der neue § 40b der Prüfungsberichteverordnung (PrüfV) zur IKT verkündet worden, für Wertpapierinstitute im September 2026 der neu gefasste § 15 der Wertpapierinstituts-Prüfungsberichtsverordnung (WpIPrüfbV).

Das Fazit von Bafin und Bundesbank aus den eigenen Prüfungen fällt gemischt aus. Alle geprüften Finanzunternehmen sind tätig geworden, laufende Programme haben teils Meilensteine bis 2027 oder 2028. Die schriftlich fixierte Ordnung ist angepasst, zum Teil aber qualitativ unzureichend und erst kurz vor Prüfungsbeginn. Es fehlten Inhalte oder Freigaben, und die Regelungen waren nicht ausreichend auf das geprüfte Unternehmen zugeschnitten. Die Operationalisierung steht häufig noch aus. Für 2026 und 2027 kündigt die Aufsicht an, dass regelmäßige Tests und die Verbesserung der operationalen Resilienz im Zentrum der Prüfungen stehen. Die Prüfungen werden unternehmensindividueller, und weitere Nachschauprüfungen folgen.

Sechs Prüffelder mit Feststellungen

Die Feststellungen der Aufsicht stammen aus ihrer Präsentation vom Dezember 2025 und beziehen sich auf die Prüfungen bis dahin. Nach unserer Erfahrung aus der Praxis sind die Punkte heute weiterhin einschlägig. Am Anfang stehen die kritischen oder wichtigen Funktionen (kowF), weil fast jede andere Anforderung auf ihnen aufbaut.

01 | Kritische oder wichtige Funktionen

Bafin und Bundesbank berichten, dass sich in vielen Prüfungen Feststellungen zur Identifikation der kowF ergaben. Der Prozess war nicht nachvollziehbar dokumentiert, das Inventar unplausibel oder unvollständig, die unterstützenden Informations- und IKT-Assets nicht vollständig identifiziert und bewertet. Zudem waren Herleitungen nach den Worten der Aufsicht „nicht zu Ende gedacht”.

Nach unserer Einschätzung liegt eine wesentliche Ursache im Funktionsbegriff. Er ist weit gefasst, doch häufig werden darunter nur die bisherigen Geschäftsprozesse verstanden. DORA selbst definiert den Begriff nicht. Die Europäische Aufsichtsbehörde für das Versicherungswesen und die betriebliche Altersversorgung (EIOPA) beschreibt Funktionen in ihrer Antwort auf die Frage DORA019-2959 als Tätigkeiten, Dienstleistungen, Prozesse oder Abläufe, einzeln oder gebündelt. Dazu zählen auch Unterstützungsfunktionen bis hin zu rein internen Leistungen wie der Gehaltsabrechnung. IKT-Systeme, Dienstleister, Personal und Gebäude sind nach unserer Einschätzung dagegen keine Funktionen. Sie sind Ressourcen, die den Funktionen zugeordnet werden.

Die Aufgabe selbst ist nicht neu. Schon nach MaRisk und BAIT mussten Institute selbst festlegen, welche ihrer Aktivitäten und Prozesse für das Notfallmanagement zeitkritisch sind, und sie nach den Schutzzielen klassifizieren. Einen verbindlichen Zuschnitt hat die MaRisk dafür nicht vorgegeben. Daran ändert DORA nichts. Nach der Antwort der EIOPA legt jedes Finanzunternehmen eine eigene interne Taxonomie fest, die seinem Geschäftsmodell und seiner Organisation entspricht. Eine offizielle Liste kowF gibt es nach Auskunft der EU-Kommission nicht. Seit der MaRisk-Fassung vom 30. Juni 2026 knüpft auch das Notfallmanagement nach AT 7.3 an kowF an. Neu ist, dass der Geschäftsprozess allein als Bezugsgröße nicht mehr reicht. Eine Funktion im Sinne von DORA umfasst mehr als Geschäftsprozesse. Neu ist außerdem, dass nicht mehr nur die Verfügbarkeit zählt. Nach den FAQ der Bafin zu DORA kann eine Funktion zum Beispiel auch unter dem Aspekt der Vertraulichkeit kritisch oder wichtig sein.

Kritisch oder wichtig ist eine Funktion nach Artikel 3 Nummer 22 DORA, wenn ihr Ausfall die finanzielle Leistungsfähigkeit des Unternehmens oder die Solidität oder Fortführung seiner Geschäftstätigkeiten und Dienstleistungen erheblich beeinträchtigen würde. Das Gleiche gilt, wenn eine unterbrochene, fehlerhafte oder unterbliebene Leistung der Funktion die fortdauernde Einhaltung der Zulassungsbedingungen und -verpflichtungen oder sonstiger Pflichten nach dem anwendbaren Finanzdienstleistungsrecht erheblich beeinträchtigen würde.

Nach unserer Einschätzung sollten kowF aus dem Zusammenspiel zweier Bewertungen ermittelt werden. Die Business-Impact-Analyse (BIA) zeigt, welche Folgen ein Ausfall hätte. Vertraulichkeit, Integrität und Authentizität werden über eine Klassifizierung der Funktion und ihrer Informationsassets bewertet. In unserem Vorgehen ist eine Funktion kritisch oder wichtig, wenn die BIA zeigt, dass ein Ausfall das festgelegte Untragbarkeitsniveau überschreitet und die Funktion damit für das Notfallmanagement relevant ist. Das Gleiche gilt, wenn die Klassifizierung ergibt, dass die Verletzung eines Schutzziels ein vorab festgelegtes Schadensmaß überschreitet, etwa einen erheblichen oder existenzbedrohenden Schaden. Funktionen, die in der Abwicklungsplanung als kritisch gelten, sind nach Erwägungsgrund 70 DORA ebenfalls erfasst.

Die Aufsicht hält unterschiedliche Ansätze für zulässig. Als Grundlage hält sie beispielsweise ein Prozessinventar mit Abhängigkeiten und Schnittstellen für sinnvoll. Alle IKT-Assets, die eine kowF unterstützen, müssen identifiziert sein, und die Einstufung ist mindestens jährlich und anlassbezogen zu überprüfen.

Wie kritische oder wichtige Funktionen ermittelt werden

Die Identifikation und Klassifizierung der Funktionen sowie der Informations- und IKT-Assets ist damit die Grundlage für die risikobasierte Umsetzung von DORA. Sie bestimmt unter anderem, welche Schutzmaßnahmen umzusetzen sind. Fehler an dieser Stelle ziehen sich deshalb durch alles Weitere. Die Verkettung im Informationsregister wird widersprüchlich, die Kritikalität der Dienstleister lässt sich nicht begründen, die Wiederherstellungsziele haben keine Grundlage, und Vorfallklassifizierung und Testumfang greifen daneben. Wer hier ansetzt, räumt mehrere Feststellungen zugleich ab.

02 | Informationsregister

Im April 2025 haben die ESAs die häufigsten Fehler bei der Meldung der Informationsregister veröffentlicht. Zur Ablehnung führen danach unter anderem technische Fehler wie gebrochene Verweise zwischen den Meldebögen, fehlende Primärschlüssel oder fehlende Filing-Indikatoren.

Für die Einreichung 2026 nennt die Bafin eine eigene Zahl: Rund 90 Prozent der über sie eingereichten Informationsregister erhielten Datenqualitäts-Hinweise der ESAs. Nach unserer Einschätzung passen dazu die Schwächen, die Bafin und Bundesbank in den Prüfungen bei den Inventaren fanden: Funktionen, Prozesse und IKT-Systeme unvollständig erfasst, fehlende Abhängigkeiten, unklare Verantwortlichkeiten, Probleme mit der Datenqualität. Die formalen Fehler im Informationsregister sind maschinell prüfbar. Ein Prüfer braucht dafür keine Auslegung, ihm genügt der Validierungsbericht.

Die Aufsicht empfiehlt vollständige, aktuelle Inventare mit klaren Verantwortlichkeiten und möglichst automatisierten Kontrollen der Datenqualität. Nach unserer Einschätzung liegt hier ein Kernproblem. Viele Institute erstellen das Informationsregister noch weitgehend von Hand. Funktionen, Assets, Dienstleister und Verträge liegen nicht in einer gemeinsamen Datenbasis, etwa in einem Werkzeug für Governance, Risk und Compliance (GRC), aus der sich das Register auf Knopfdruck erzeugen ließe.

03 | Verträge nach Artikel 30

Die Aufsicht erwartet, dass Sicherheitsanforderungen bei IKT-Drittdienstleistern vertraglich klar geregelt und regelmäßig kontrolliert werden. In den Prüfungen fiel auf, dass Drittdienstleister nicht ausreichend eingebunden waren und vertragliche Regelungen zu Sicherheitsanforderungen lückenhaft waren oder fehlten. Wer die Anpassung nach Kritikalität priorisiert, hat für die Verträge zu kowF bis zur Prüfung einen belastbaren Stand.

04 | Ausstieg und Konzentration

Für IKT-Dienstleistungen, die kowF unterstützen, muss ein Unternehmen eine Ausstiegsstrategie (Exit-Strategie) vorweisen. Es muss aus dem Vertrag ausscheiden können, ohne seine Geschäftstätigkeit zu unterbrechen. Nach Artikel 28 Absatz 8 müssen die Ausstiegspläne umfassend und dokumentiert sein, ausreichend getestet und regelmäßig überprüft werden. Wie weit das Testen geht, richtet sich nach der Verhältnismäßigkeit nach Artikel 4 Absatz 2. Einen probeweisen Anbieterwechsel verlangt DORA nach unserer Einschätzung nicht. Ein reiner Schreibtischtest, bei dem der Plan nur auf Vollständigkeit gelesen wird, dürfte aber kaum genügen. Ein mögliches Vorgehen verbindet drei Bausteine:

Planübung mit allen Beteiligten. Ein realistisches Szenario wie Insolvenz, Kündigung oder längerer Ausfall des Dienstleisters wird Schritt für Schritt durchgespielt. Beteiligt sind Fachbereich, IT, Dienstleistersteuerung, Einkauf und Recht, möglichst auch der Dienstleister selbst. Nachvollzogen werden Auslöser, Entscheidungswege, Zielarchitektur oder Rückverlagerung und der Zeitbedarf.
Technische Stichprobe. Das Unternehmen fordert beim Dienstleister einen Datenexport an und prüft, ob die Daten vollständig, lesbar und in einer Ersatz- oder Testumgebung nutzbar sind.
Prüfung der Annahmen. Kündigungsfristen und Übergangsregelungen im Vertrag, verfügbare alternative Anbieter und der geschätzte Zeitbedarf werden gegen die Wiederherstellungsziele aus der BIA gelegt.

Ergebnisse, Lücken und Maßnahmen sollten dokumentiert und nachverfolgt werden. Bei besonders komplexen Auslagerungen kann zusätzlich die probeweise Migration einzelner Daten oder Komponenten sinnvoll sein.

Im November 2025 haben die ESAs die erste Liste von 19 kritischen IKT-Drittdienstleistern benannt. Die Liste wird jährlich aktualisiert, die Benennung für 2026 steht noch aus. Nikolas Speer, Exekutivdirektor Bankenaufsicht der Bafin, hat im Dezember 2025 klargestellt, dass Finanzunternehmen die wachsenden Konzentrationsrisiken selbst antizipieren, einschätzen und steuern sollen. Bei den Anbietern Künstlicher Intelligenz sieht er mittelfristig ein neues Konzentrationsrisiko. Die europäische Überwachung dieser Anbieter entlastet die Unternehmen nicht. Die Vorfallstatistik zeigt, warum: EU-weit gingen 29 Prozent der schwerwiegenden Vorfälle 2025 auf ein Versagen bei einem Dritten zurück, in Deutschland laut Bafin rund die Hälfte. In Deutschland richteten sich laut Bafin rund 40 Prozent der gemeldeten Angriffe gegen einen Dienstleister des Finanzunternehmens.

05 | Geschäftsfortführung, Erkennung und Patchmanagement

Zur Geschäftsfortführung berichten Bafin und Bundesbank, dass die in der BIA ermittelten Wiederherstellungsziele in der IKT-Geschäftsfortführung nicht angemessen berücksichtigt werden. Notfall- und Wiederherstellungspläne sind lückenhaft, veraltet oder nicht getestet. Tests und Übungen sind nicht realitätsnah, Mitarbeitende kennen die Pläne nicht, Verbesserungsmaßnahmen werden nicht nachverfolgt, und Drittdienstleister sind unzureichend in Pläne und Tests eingebunden.

Bei der Erkennung sind IKT-Systeme, die kowF unterstützen, nicht vollständig an das zentrale Überwachungssystem (Security Information and Event Management, SIEM) angebunden. Detektionsszenarien werden nicht systematisch entwickelt und getestet, und die Alarmbearbeitung außerhalb der Geschäftszeiten ist nicht sichergestellt.

Das Schwachstellen- und Patchmanagement ist nicht flächendeckend und nicht automatisiert, Bearbeitungsfristen werden nicht eingehalten, und eine zentrale Nachverfolgung fehlt. Die Vorfallstatistik zeigt die Folgen. 46,7 Prozent der deutschen Vorfälle gingen auf Systemversagen zurück, als häufige Ursache nennt die Bafin fehlerhafte Patches und Updates.

06 | Leitungsorgan

Artikel 5 Absatz 2 weist dem Leitungsorgan konkrete Pflichten zu. Dazu gehören unter anderem:

Es trägt die letztendliche Verantwortung für das Management der IKT-Risiken des Unternehmens.
Es legt die Strategie für die digitale operationale Resilienz einschließlich einer angemessenen Toleranzschwelle für das IKT-Risiko fest und genehmigt sie.
Es genehmigt, überwacht und überprüft regelmäßig die IKT-Geschäftsfortführungsleitlinie und die Reaktions- und Wiederherstellungspläne.
Es genehmigt die internen IKT-Revisionspläne und die Leitlinie zur Nutzung von IKT-Dienstleistungen Dritter.
Es stellt ein angemessenes Budget bereit, auch für Schulungen, und richtet Meldekanäle ein, über die es von schwerwiegenden Vorfällen und wesentlichen Änderungen bei Dienstleistern erfährt.

In den Prüfungen fanden Bafin und Bundesbank, dass Ziele und Risikotoleranzschwelle nicht überprüfbar definiert waren und eine Genehmigung und Überwachung durch das Leitungsorgan nicht erfolgte. Die Ziele der Strategie für die digitale operationale Resilienz waren nicht kohärent dokumentiert, die schriftlich fixierte Ordnung unvollständig oder nicht konkret genug. Zudem war die notwendige Unabhängigkeit der IKT-Kontrollfunktion nicht sichergestellt, und ihre Personalausstattung reichte nicht aus.

Acht Fragen, die Vorstand oder Geschäftsleitung jetzt beantworten sollten

Die Fragen folgen den Prüffeldern, in denen die Aufsicht Feststellungen berichtet. Lässt sich eine davon nicht in wenigen Minuten mit einem Dokument beantworten, fehlt dort ein Nachweis, unabhängig vom Stand der Umsetzung.

Geht unser Funktionsbegriff über die bisherigen Geschäftsprozesse hinaus, und wenden wir die Definition einer Funktion im Sinne von DORA bereits vollständig und korrekt an?
Entsteht unser Informationsregister aus einer gemeinsamen, gepflegten Datenbasis, oder stellen wir es jedes Jahr von Hand zusammen?
Welchen Verträgen zu kowF fehlen noch Pflichtklauseln?
Wann haben wir die Exit-Strategien für Dienstleister, die kowF unterstützen, zuletzt getestet?
Haben wir die Konzentrationsrisiken bei unseren Dienstleistern analysiert, und sind sie erkannt und behandelt?
Wann haben wir die IKT-Assets, die eine kowF unterstützen, zuletzt tatsächlich wiederhergestellt, und was wurde daraus nachverfolgt?
Sind alle IKT-Systeme, die kowF unterstützen, an das zentrale Überwachungssystem/SIEM angebunden?
Halten wir unsere eigenen Fristen im Patchmanagement ein, und wo wird das zentral nachverfolgt?

Was bis Jahresende noch angegangen werden sollte

Funktionen nach DORA bestimmen und kowF herleiten. Kernfunktionen je erlaubter Tätigkeit und alle Unterstützungsfunktionen erfassen, auch rein interne. IKT-Systeme, Dienstleister, Personal und Gebäude als Ressourcen zuordnen. Die Verfügbarkeit über die BIA bestimmen, Vertraulichkeit, Integrität und Authentizität über die Klassifizierung der Funktion und ihrer Informationsassets. Kritische Funktionen aus der Abwicklungsplanung abgleichen, falls vorhanden. Die Einstufung als kowF schriftlich begründen, vom Leitungsorgan genehmigen lassen und an die unterstützenden IKT-Assets vererben.
Gemeinsame Datenbasis aufsetzen. Funktionen, Informations- und IKT-Assets, Dienstleister und Verträge in einer Datenbasis zusammenführen, etwa in einem GRC-Werkzeug. Daraus lässt sich das Informationsregister erzeugen und laufend gegen die Validierungsregeln prüfen.
Einen Ausstiegsplan testen. Für den wichtigsten Dienstleister einer kowF eine Planübung mit allen Beteiligten durchführen, einen Datenexport technisch prüfen und Ergebnisse sowie Maßnahmen dokumentieren.

Wir begleiten Institute auf dem ganzen Weg, von der Standortbestimmung bis zur vollständigen Umsetzung der DORA-Anforderungen. Dazu gehören die Herleitung der Funktionen, der Aufbau einer gemeinsamen Datenbasis für das Informationsregister, die Vertragsanpassung nach Kritikalität, Tests von Ausstiegsplänen und Wiederanlauf sowie die Vorbereitung auf die Prüfung. Wer dabei Unterstützung sucht, kann uns gern ansprechen.