Dieser Artikel richtet sich ausschließlich an professionelle Investoren. Bitte melden Sie sich daher einmal kurz an und machen einige berufliche Angaben. Geht ganz schnell und ist selbstverständlich kostenlos.
5. Resilienztests gehören zum Pflichtprogramm
Dora verlangt grundsätzlich von allen Instituten – unabhängig von ihrer Größe – Tests zur digitalen Resilienz durchzuführen. Die konkrete Ausgestaltung richtet sich jedoch nach Größe, Komplexität und Risikoprofil des Instituts. Während große Institute und solche mit kritischen Funktionen umfassende, auch szenariobasierte und (in bestimmten Fällen) threat-led Penetrationstests (TLPT) umsetzen müssen, genügt für kleinere Institute ein risikoorientiertes Testregime, das auf die wichtigsten Systeme und Prozesse abzielt und mindestens jährlich durchgeführt werden sollte.
Umfang und Methode der Tests richten sich nach dem tatsächlichen Geschäftsmodell und den individuellen Risiken. Typische Formate sind Table-Top-Übungen, Simulation von Ausfall- oder Angriffsszenarien und die regelmäßige Überprüfung grundlegender Backup-, Recovery- und Kommunikationsprozesse. Gerade bei begrenzten Ressourcen kann es ratsam sein, externe Unterstützung einzubinden – etwa um Szenarios zu entwickeln oder Tests durchzuführen.
Die Dokumentation der Testergebnisse und Lessons Learned bleibt verpflichtend und muss revisionssicher erfolgen.
6. Governance auf Geschäftsleitungsebene – Resilienz als Top-Management-Thema
Dora verlangt von der Geschäftsleitung nicht nur Lippenbekenntnisse, sondern einen klaren, nachhaltig gelebten Risikomanagementrahmen. Die Geschäftsleiter müssen auditfest erklären, wie sie sich regelmäßig zu IKT-Risiken informieren lassen und wie sie deren Management steuern. Die Verantwortung ist persönlich und lässt sich nicht delegieren: Ein tieferes Verständnis der digitalen Prozesse wird zwingend verlangt.
7. Regulierung und Aufsicht schärfen den Fokus
Die neuesten RTS/ITS-Regelwerke und Auslegungshilfen der Bafin machen die Anforderungen für kleinere Institute greifbarer. Ihnen wird zwar ein „vereinfachtes“ Framework zugestanden. Doch auch dieses enthält unmissverständliche Mindeststandards: regelmäßige Inventarisierung, Incident-Management, ein vereinfachtes, dokumentiertes Testkonzept und klare Verantwortlichkeiten. Unbürokratische Lösungen werden akzeptiert, die Wirkung muss aber jederzeit prüfbar bleiben.
8. Drittparteien und Konzentrationsrisiken
Während bisher vor allem Skalierungs- und Kostenvorteile im Mittelpunkt standen, rücken mit Dora systemische Risiken und Konzentration auf wenige große Anbieter (wie AWS, Microsoft, Google) in den Fokus. Dora verlangt – auch von kleineren Instituten – Transparenz über die gesamte Lieferkette.
Gerade viele kleinere Institute haben im Rahmen ihrer Dora-Umsetzung erstmals bewusst erkannt, dass zahlreiche kritische Geschäftsprozesse an genau die gleichen Cloud-Provider und Standardsoftware gebunden sind – was im Ernstfall potenziell sämtliche digitalen Aktivitäten gleichzeitig gefährden könnte.
Die Pflicht, Alternativen und Notfallmaßnahmen für zentrale Prozesse zu identifizieren, ist daher weit mehr als eine reine Compliance-Aufgabe: Sie wird zum Prüfstein operativer Resilienz und legt die Basis für eine zukunftsfähige, unabhängige IT-Strategie. Dabei spielen die bewusste Diversifizierung und das Testen von Exit-Strategien eine immer größere Rolle und erfordert das aktive Management komplexer Lieferkettenstrukturen.
9. Ressourcenfrage und Kostendruck – Effizienz wird entscheidend
Interne Ressourcen, externe Expertise und spezialisierte technische Tools verursachen laufende Kosten und binden Kapazitäten. Gerade kleinere Institute stehen massiv unter Druck, mit begrenztem Budget und Personal einen revisionssicheren Rahmen zu schaffen.
Umso wichtiger ist es für solche Institute, die gesetzlichen Erleichterungen, zum Beispiel aus Artikel 16 Dora, zu nutzen, um einen pragmatischen, aber prüffähigen Rahmen zu schaffen: Es empfiehlt sich, standardisierte Templates für Incident-Reports zu nutzen, um Prozesse effizient und einheitlich zu dokumentieren.
Die Konsolidierung von Risiko- und Sicherheitsberichten hilft, Doppelarbeiten zu vermeiden und die Übersicht zu wahren. Schließlich ist die Einbindung externer Dienstleister – etwa für spezielle Tests und Audits – oft der effizienteste Weg, regulatorische Anforderungen prüfungssicher zu erfüllen, ohne eigene Strukturen aufwendig ausbauen zu müssen.
Somit lässt sich trotz hoher regulatorischer Hürde ein schlanker, aber wirksamer Compliance-Rahmen schaffen, der auch in aufwändigen Prüfungssituationen besteht.
10. Dora als Belastung – aber auch als Strukturchance
Besonders kleinere Institute kämpfen in der Anfangsphase mit einer wachsenden Bürokratie: Die neuen Reporting-Pflichten, umfangreiche Incident- und Risiko-Berichte sowie fortlaufende Vertragsnachträge mit IT-Partnern verlangen erheblichen organisatorischen Aufwand und zwingen zu neuen Prozessen.
Kurzfristig dominiert dabei der Erfüllungsdruck, der viele Ressourcen bindet. Doch mittel- und langfristig profitieren Institute von deutlich klareren Abläufen, einer sauberen Dokumentation der Zuständigkeiten und einer spürbar verbesserten Reaktionsfähigkeit – insbesondere bei Vorfällen und Prüfungen.
Dora zeigt sich weniger als Innovationsmotor, sondern als Strukturprogramm, das gezielt digitale Verwundbarkeit reduziert und Resilienz zur strategischen Kernkompetenz macht. Gerade im spezialisierten Bereich der Vermögensverwaltung, wo Vertrauen das zentrale Kapital darstellt, wird die Fähigkeit, widerstandsfähig und transparent auf digitale Risiken zu reagieren, zum entscheidenden Wettbewerbsfaktor.
Über den Autor
Rechtsanwalt Philipp Hendel ist Fachanwalt für Bank- und Kapitalmarktrecht und Partner bei der Wirtschaftskanzlei DRRP Rechtsanwälte (Eigenschreibweise: drrp) in München. Er berät zahlreiche Banken und Finanzdienstleister in regulatorischen Fragen.