DORA Readiness: Warum fehlende Evidence zum größten Risiko für Finanzinstitute wird

DORA ist angekommen – aber häufig noch falsch verstanden

Am 16. Juli 2025 veröffentlichte die Europäische Zentralbank (EZB) im Rahmen der Bankenaufsicht ihren Leitfaden zur Auslagerung von Cloud-Dienstleistungen. Die Veröffentlichung konkretisiert die Erwartungen der Aufsicht an die Umsetzung des Digital Operational Resilience Act (DORA) und verdeutlicht eine Entwicklung, die sich bereits seit Monaten abzeichnet.

Der Fokus der Aufsicht liegt nicht mehr primär auf neuen Richtlinien oder Governance-Strukturen. Im Mittelpunkt steht vielmehr die Frage, ob Finanzinstitute ihre operative Resilienz tatsächlich nachweisen können.

Parallel dazu weist die EZB in verschiedenen aufsichtlichen Veröffentlichungen weiterhin auf Defizite bei Testing, Incident Management, ICT Risk Management und der operativen Steuerung kritischer IT-Risiken hin.

Für viele Institute verändert sich damit die entscheidende Fragestellung: Nicht mehr: „Haben wir die Anforderungen dokumentiert?“ Sondern: „Können wir belegen, dass unsere Maßnahmen unter realen Bedingungen funktionieren?“ Damit hat DORA die Phase der konzeptionellen Vorbereitung endgültig verlassen. Entscheidend wird nun die operative Evidence-Ebene.

DORA ist kein klassisches Compliance-Projekt

Viele DORA-Programme wurden ursprünglich als regulatorische Initiative gestartet. Typische Schwerpunkte waren:

Governance-Strukturen
Richtlinien und Policies
Rollenmodelle
Kontrollframeworks
Dokumentation regulatorischer Anforderungen

Diese Maßnahmen sind notwendig.Sie reichen jedoch nicht aus. DORA bewertet nicht primär die Existenz von Prozessen oder Dokumenten. DORA bewertet deren Wirksamkeit. Der regulatorische Fokus verschiebt sich damit von der Definition zur tatsächlichen Nachweisbarkeit. In Prüfungen zählt nicht, was geplant wurde. Es zählt, was nachweislich funktioniert.

Warum Policies Sicherheit suggerieren – aber keine Resilienz beweisen

Viele Organisationen investieren erhebliche Ressourcen in die Erstellung von Policies, Zielbildern und Governance-Dokumenten. Dadurch entsteht häufig der Eindruck regulatorischer Sicherheit. Operative Resilienz entsteht jedoch nicht durch Dokumentation. Sie entsteht durch die Fähigkeit einer Organisation, unter realen Belastungen handlungsfähig zu bleiben. Eine Richtlinie beschreibt eine Absicht. Ein erfolgreich getesteter Prozess liefert den Nachweis. Genau dieser Unterschied wird in DORA-Prüfungen zunehmend relevant.

Was DORA unter Evidence tatsächlich versteht

Im regulatorischen Kontext wird Evidence häufig missverstanden. Evidence bedeutet nicht die Sammlung möglichst vieler Dokumente. Evidence entsteht durch nachvollziehbare Nachweise operativer Wirksamkeit.

Dazu gehören beispielsweise:

dokumentierte DORA-Tests
Operational-Resilience-Szenarien
Incident-Response-Übungen
Wiederanlauftests
Management-Entscheidungen
dokumentierte Ergebnisse
definierte Verantwortlichkeiten
regelmäßige Wiederholung und Verbesserung

Evidence entsteht nicht während eines Audits. Evidence entsteht im laufenden Betrieb.

Die gefährlichste DORA-Lücke: Zwischen Definition und Nachweis

In nahezu jedem Finanzinstitut existieren heute:

Incident-Prozesse
Notfallkonzepte
Krisenmanagement-Strukturen
Testpläne
Governance-Modelle

Was häufig fehlt, ist der belastbare Nachweis ihrer Wirksamkeit.

Typische Schwachstellen sind:

unregelmäßige Testdurchführungen
fehlende Erfolgskriterien
unvollständige Dokumentation
mangelnde Management-Transparenz
fehlende Nachverfolgung von Maßnahmen Diese Lücke zwischen Konzept und Evidence stellt eines der größten DORA-Risiken dar.

Warum Test Governance zum DORA-Schlüssel wird

DORA Testing ist der Punkt, an dem Theorie auf Realität trifft. Tests machen sichtbar, ob Prozesse, Systeme und Organisation tatsächlich belastbar sind.

Ohne Test Governance bleiben Tests häufig:

unkoordiniert
nicht vergleichbar
nicht priorisiert
schwer steuerbar
regulatorisch wenig aussagekräftig

Mit einer etablierten Test Governance entstehen dagegen:

transparente Risiken
belastbare Entscheidungsgrundlagen
nachvollziehbare Evidence
reproduzierbare Ergebnisse
Management-taugliche Berichte

Damit wird Test Governance zu einem zentralen Baustein jeder DORA Readiness Strategie.

Die entscheidende Management-Frage

Für Vorstände, CIOs und Geschäftsleitungen reduziert sich DORA letztlich auf eine einzige Frage: Welche kritischen Szenarien haben wir getestet, wann haben wir sie getestet und mit welchem Ergebnis? Wenn diese Frage nicht schnell, nachvollziehbar und evidenzbasiert beantwortet werden kann, besteht ein erhebliches regulatorisches Risiko.

DORA Readiness beginnt mit Ehrlichkeit

DORA verlangt keine Perfektion. DORA verlangt Transparenz, Steuerbarkeit und belastbare Evidence. Organisationen, die ihre tatsächliche Reife realistisch bewerten, erkennen Risiken frühzeitig und vermeiden unangenehme Überraschungen in Audits oder Aufsichtsprüfungen. Der erste Schritt zu einer belastbaren DORA Readiness besteht daher häufig nicht in einem neuen Programm. Sondern in einem strukturierten Reality Check. Die entscheidende Frage lautet:

Können wir unsere operative Resilienz tatsächlich belegen – oder dokumentieren wir sie lediglich?

Fazit

DORA wird nicht an fehlenden Richtlinien scheitern.
DORA wird dort scheitern, wo Organisationen keine belastbare Evidence für ihre operative Resilienz liefern können.
Die Zukunft regulatorischer Compliance liegt nicht in zusätzlichen Dokumenten.
Sie liegt in Testing, Operational Resilience, Test Governance und nachvollziehbaren Nachweisen.
Wer Evidence systematisch aufbaut, verbessert nicht nur seine regulatorische Position, sondern stärkt gleichzeitig die tatsächliche Widerstandsfähigkeit seiner Organisation.

Quelle

Europäische Zentralbank (EZB): Guide on outsourcing cloud services to cloud service providers, 16. Juli 2025. https://www.bankingsupervision.europa.eu/press/pr/date/2025/html/ssm.pr250716~c0401b1b6b.en.html