Dossiers · A.1
DORA & operationelle Resilienz
Wie der Digital Operational Resilience Act das IKT-Risiko im Finanzsektor neu ordnet und erstmals Hyperscaler unter direkte EU-Aufsicht stellt.
Leitfragen
- Was ändert direkte EU-Aufsicht über Hyperscaler faktisch?
- Wie gehen Banken mit dem Konzentrationsrisiko in der Cloud um?
Worum geht es
Der Digital Operational Resilience Act (DORA) ist seit dem 17. Januar 2025 anwendbar und schafft erstmals einen einheitlichen, sektorweiten Rahmen für die digitale operationelle Resilienz von Banken, Versicherern und Wertpapierfirmen. Kern sind fünf Bausteine: IKT-Risikomanagement, Meldung schwerwiegender IKT-Vorfälle, Resilienztests (bis hin zu bedrohungsgeleiteten Penetrationstests, TLPT), das Management von IKT-Drittparteienrisiken und ein vollständiges Informationsregister aller IKT-Dienstleistungen.
Die eigentliche Neuerung liegt im letzten Punkt: Kritische IKT-Drittdienstleister (CTPP), allen voran die großen Cloud-Anbieter, unterliegen nun einem gemeinsamen Oversight der europäischen Aufsichtsbehörden.
Warum ist es relevant
Banken haben zentrale Systeme über Jahre in die Cloud verlagert. DORA macht die damit verbundene Abhängigkeit zum expliziten Aufsichtsthema und adressiert das Konzentrationsrisiko: Wenn ein großer Teil des Sektors auf denselben wenigen Anbietern läuft, wird deren Ausfall zur systemischen Frage. Für Institute bedeutet das konkrete Pflichten, etwa beim Vertragswerk, bei den Exit-Szenarien und bei der Datenqualität im Informationsregister.
Aktueller Stand
Im November 2025 wurde die erste CTPP-Liste mit 19 Anbietern veröffentlicht, darunter AWS, Microsoft, Google, IBM, SAP und Oracle. Die Aufsichtsarchitektur steht damit auf drei Ebenen: Das Überwachungsforum sorgt für die sektorübergreifende Steuerung, im gemeinsamen Überwachungsnetzwerk (JON) stimmen sich die federführenden Behörden operativ ab, und die gemeinsamen Prüfteams führen die Prüfungen durch. Als Lead Overseer fungiert je nach Nutzerkreis die EBA, die ESMA oder die EIOPA.
Die Frage nach der praktischen Wirkung lässt sich seit der Analyse in Woche 1 genauer beantworten. Das Oversight ist keine Lizenzierung. Der Lead Overseer kann Informationen anfordern und Anbieter vor Ort inspizieren, dazu Empfehlungen aussprechen. Verweigert ein Anbieter die Mitwirkung, greift ein Zwangsgeld von bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes. Die eigentliche Steuerungswirkung läuft aber mittelbar: DORA bindet in erster Linie die Banken, und wer mit einem Hyperscaler Geschäft machen will, muss ihn vertraglich auf DORA-Kurs bringen. Empfehlungen, welche für den Anbieter formal unverbindlich sind, wirken so über die Pflichten seiner Kunden trotzdem.
Grenzen bleiben. Die Melde- und Aufsichtswelten von DORA und NIS2 überlappen sich weiterhin. Ob die Pflicht zur EU-Tochtergesellschaft außereuropäischen Konzernen juristischen Griff verschafft, muss sich erst zeigen. Und zwischen „kritisch benannt” und „tatsächlich steuerbar” liegt eine Lücke, die kein Rechtstext allein schließt.
2026 steht die zweite Einreichung der Informationsregister an. Die EBA gibt Feedback zur Datenqualität und dringt auf belastbare Substituierbarkeits- und Exit-Szenarien. Ob diese Register die Qualität erreichen, welche echte Exit-Analysen brauchen, verfolgt das Dossier in den kommenden Journal-Posts weiter.
Quellen
Wichtige Termine
- DORA anwendbar wirksam
- DORA: erste CTPP-Liste wirksam
- Cyber Resilience Act: Meldepflichten anstehend
- Cyber Resilience Act: Hauptpflichten anstehend
Verknüpfte Journal-Posts
Änderungshistorie
- Aktueller Stand um die Ergebnisse aus Woche 1 erweitert: mittelbare Wirkmechanik des Oversight, seine Grenzen (NIS2-Überlappung, Tochtergesellschafts-Pflicht) und der Ausblick auf die zweite Registereinreichung 2026.
- Erstveröffentlichung mit Woche 1: Tiefenanalyse zum Oversight (Mechanik Art. 31–44, ESA-Zuständigkeit, dreistufige Aufsicht Forum/JON/JET); Glossar-Begriff JON ergänzt.