DORA Readiness für Banken: Warum Governance, Testing und Evidence über den Prüfungserfolg entscheiden

Viele Banken sind vorbereitet – aber nicht resilient belegt

Nahezu alle Banken haben früh auf DORA reagiert. Programme wurden gestartet, Rollen definiert und Roadmaps verabschiedet. In Management-Präsentationen wirkt die Umsetzung häufig strukturiert und kontrolliert.

Doch sobald Aufsicht, Revision oder externe Prüfer eine einfache Frage stellen, verändert sich das Bild:

„Zeigen Sie bitte konkret, wie Ihre kritischen Szenarien getestet wurden und welche Management-Entscheidungen daraus entstanden sind.“

Genau an diesem Punkt zeigt sich die eigentliche Herausforderung.

Nicht fehlende Aktivitäten sind das Problem.

Nicht fehlende Dokumentation.

Nicht fehlende Governance.

Das Problem sind fehlende Zusammenhänge zwischen Risiken, Szenarien, Tests, Ergebnissen und Management-Entscheidungen.

Die besondere Ausgangslage von Banken

Banken starten bei DORA nicht bei null.

Sie verfügen bereits über:

etablierte Governance-Strukturen
umfassende Risikomanagement-Prozesse
Kontroll- und Compliance-Mechanismen
Business Continuity Management
Incident-Management-Prozesse
umfangreiche Dokumentationen

Gleichzeitig sind Banken geprägt von:

historisch gewachsenen IT-Landschaften
komplexen Systemabhängigkeiten
regulatorischen Parallelinitiativen
dauerhaftem Kosten-, Release- und Zeitdruck

Diese Kombination macht DORA anspruchsvoller als viele Institute zunächst erwarten.

Die Herausforderung besteht nicht darin, neue Prozesse zu schaffen.

Die Herausforderung besteht darin, die Wirksamkeit bestehender Prozesse nachweisbar zu machen.

Die eigentliche Herausforderung: Von Compliance zu Steuerbarkeit

Die meisten Banken besitzen bereits die wesentlichen Bausteine für DORA:

Governance-Strukturen
Kontrollsysteme
Risiko-Frameworks
BCM-Prozesse
Testaktivitäten

DORA bewertet jedoch nicht die Existenz dieser Bausteine.

DORA bewertet die Fähigkeit, diese Elemente zu einem integrierten Steuerungsmodell für operative Resilienz zusammenzuführen.

Genau hier entsteht die größte Lücke zwischen regulatorischer Vorbereitung und tatsächlicher DORA-Readiness.

Drei typische DORA-Fallen in Banken

1. Verantwortung ist geregelt – aber nicht integriert

Incident Management, IT-Betrieb, BCM, Third-Party Management und Testing funktionieren häufig innerhalb ihrer jeweiligen Organisationseinheiten.

DORA bewertet jedoch nicht einzelne Silos.

Bewertet wird die Fähigkeit der Gesamtorganisation, unter kritischen Bedingungen handlungsfähig zu bleiben.

Ohne integrierte Sicht bleibt operative Resilienz eine Annahme – kein belastbarer Nachweis.

2. Testing ohne Steuerungslogik

Viele Banken testen viel.

Oft fehlt jedoch die Verbindung zwischen:

kritischen Geschäftsservices
Bedrohungsszenarien
Risiken
Testergebnissen
Management-Entscheidungen

Das Resultat:

hoher Testaufwand
geringe Aussagekraft
fehlende Transparenz
schwache Evidence-Lage

Testing wird durchgeführt.

Aber nicht gesteuert.

3. Third-Party-Risiken bleiben abstrakt

Verträge, SLAs und Risikoanalysen sind in den meisten Instituten vorhanden.

Was häufig fehlt, ist die operative Antwort auf eine einfache Frage:

Was passiert konkret, wenn ein kritischer IT-Dienstleister morgen ausfällt?

DORA verlangt genau diese Perspektive.

Technisch.

Organisatorisch.

Und testbasiert.

Warum DORA Banken zu Klarheit zwingt

Mit DORA verändert sich die Perspektive der Aufsicht grundlegend.

Es reicht nicht mehr aus:

Risiken zu benennen
Prozesse zu beschreiben
Governance-Strukturen darzustellen

Entscheidend wird die Nachweisfähigkeit.

Banken müssen zeigen können:

welche Szenarien tatsächlich kritisch sind
wie diese Szenarien getestet wurden
welche Schwachstellen identifiziert wurden
welche Maßnahmen eingeleitet wurden
welche Management-Entscheidungen getroffen wurden

DORA macht operative Resilienz sichtbar – oder entlarvt sie als Annahme.

Test Governance: Das fehlende Bindeglied

In vielen Banken existiert Testmanagement.

Was häufig fehlt, ist Test Governance als übergreifende Steuerungsfunktion.

Test Governance sorgt dafür, dass:

Risiken priorisiert werden
Szenarien konsistent bewertet werden
Tests vergleichbar bleiben
Ergebnisse nachvollziehbar dokumentiert werden
Management belastbare Entscheidungsgrundlagen erhält

Ohne diese Steuerung bleibt DORA fragmentiert – unabhängig von der Anzahl der durchgeführten Tests.

Ein pragmatisches Phasenmodell für DORA-Wirksamkeit

Phase 1 – Realitätscheck

Kritische Services identifizieren
DORA-relevante Szenarien ableiten
Bestehende Tests analysieren
Nachweis- und Abdeckungslücken erkennen

Phase 2 – Steuerungslogik etablieren

Risiken, Szenarien und Tests verknüpfen
KPIs und KRIs definieren
Verantwortlichkeiten festlegen
Test Governance etablieren

Phase 3 – Evidence-Fähigkeit herstellen

Konsistente Testdokumentation
Reproduzierbare Ergebnisse
Nachvollziehbare Bewertungen
Management-taugliche Reports

Phase 4 – Verankerung in der Governance

Integration in bestehende Gremien
Regelmäßige Management-Readouts
Vorbereitung auf Revision und Aufsicht
Kontinuierliche Verbesserung

Die fünf Fragen, die jede Bank vor der nächsten DORA-Prüfung beantworten sollte

Welche kritischen Geschäftsservices wurden vollständig bewertet?
Welche DORA-relevanten Szenarien wurden tatsächlich getestet?
Welche Schwachstellen wurden identifiziert?
Welche Management-Entscheidungen wurden daraus abgeleitet?
Welche Evidence kann der Aufsicht jederzeit vorgelegt werden?

Wer diese Fragen klar beantworten kann, besitzt eine deutlich höhere DORA-Reife als viele Wettbewerber.

Die zentrale Frage für Vorstände

Am Ende reduziert sich DORA auf eine einzige Management-Frage:

Welche kritischen Szenarien wurden getestet, wie belastbar waren die Ergebnisse und was haben wir daraus gelernt?

Wer diese Frage klar beantworten kann, ist DORA-fähig.

Wer sie umgeht, verschiebt Risiken in die Zukunft.

Fazit: DORA ist kein Zusatzprojekt

Für Banken ist DORA kein weiteres regulatorisches Vorhaben.

DORA ist ein Stresstest für bestehende Steuerungs- und Entscheidungsstrukturen.

Nicht die Menge der Dokumentation entscheidet.

Nicht die Anzahl der Richtlinien.

Nicht die Größe des Programms.

Entscheidend ist die Fähigkeit, operative Resilienz integriert, getestet und steuerbar nachzuweisen.

Viele Institute unterschätzen nicht DORA.

Sie überschätzen die Belastbarkeit ihrer bestehenden Strukturen.

Operative Resilienz beginnt nicht mit neuen Frameworks.

Sie beginnt mit Klarheit über die eigene Wirksamkeit.

Quellen & regulatorische Einordnung

Die nachfolgenden Quellen bilden die regulatorische Grundlage für die im Beitrag beschriebenen Anforderungen an Operational Resilience, Governance, Testing und Nachweisführung.

1. BaFin – DORA (Digital Operational Resilience Act)

Die Bundesanstalt für Finanzdienstleistungsaufsicht erläutert die regulatorischen Anforderungen, Anwendungsbereiche sowie die wesentlichen Handlungsfelder von DORA für beaufsichtigte Institute.

https://www.bafin.de/DE/Aufsicht/DORA/DORA_node.html

2. Europäische Union – Verordnung (EU) 2022/2554 (DORA)

Originaltext der DORA-Verordnung mit den Anforderungen an ICT Risk Management, Operational Resilience, Governance, Testing und Third-Party Risk Management.

https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554

3. BaFin – Umsetzungshinweise zur Anwendung von DORA

Aufsichtsrechtliche Hinweise zur praktischen Umsetzung der Anforderungen in beaufsichtigten Instituten.

https://www.bafin.de/SharedDocs/Veroeffentlichungen/DE/Aufsichtsmitteilung/2024/Aufsichtsmitteilung_Umsetzungshinweise_DORA.html

4. DORA – Anforderungen an ICT-Risikomanagement und Governance

Insbesondere Artikel 5 bis 15 der Verordnung beschreiben die Anforderungen an Governance, ICT-Risikomanagement, Rollen, Verantwortlichkeiten und Steuerungsmechanismen.

https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554

5. DORA – Digital Operational Resilience Testing

Die Artikel 24 bis 27 definieren Anforderungen an Resilience Testing, Szenarien, Schwachstellenbewertungen sowie die regelmäßige Überprüfung kritischer Funktionen.

https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554

Über den Autor

Dieser Beitrag basiert auf Erfahrungen aus DORA-, Test-Governance- und Transformationsprogrammen bei Banken, Finanzdienstleistern und regulierten Unternehmen.