EN
Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) hat am 21. August 2025 ihre zweite Aufsichtsmitteilung zum Digital Operational Resilience Act (DORA) veröffentlicht. Im Fokus: vereinfachte Anforderungen für kleinere und weniger komplexe Institute beim IKT-Risikomanagement und Drittparteienrisikomanagement.
Mit dem Digital Operational Resilience Act (DORA) stärkt die EU seit dem 17. Januar 2025 die operationelle Resilienz der Informations- und Kommunikationstechnologien (IKT) im Finanzsektor. Ziel ist es, Banken, Versicherungen und andere Finanzunternehmen widerstandsfähiger gegenüber Cyberangriffen, IT-Ausfällen und Drittparteienrisiken zu machen.
Bereits im Juli 2024 veröffentlichte die BaFin erste Umsetzungshinweise zu DORA. Nun folgt eine zweite Aufsichtsmitteilung, die vor allem kleineren und weniger komplexen Instituten praktische Orientierung bietet.
Wen betreffen die neuen Hinweise?
Die BaFin richtet sich mit ihrer zweiten Mitteilung an rund 1.100 Unternehmen in Deutschland, die unter die vereinfachten DORA-Anforderungen (Artikel 16) fallen. Dazu zählen:
- kleine Wertpapierinstitute und kleine Einrichtungen der betrieblichen Altersvorsorge,
- Versicherungsholdings und Institute, die nicht unter die Kapitaladäquanzverordnung (CRR) fallen.
Für einige dieser Unternehmen gelten noch Übergangsfristen: So sind etwa die BAIT (Bankaufsichtliche Anforderungen an die IT) bis Ende 2026 weiterhin gültig.
Die wichtigsten Vereinfachungen im Überblick
Die BaFin verdeutlicht in ihrer Mitteilung, wie der Grundsatz der Verhältnismäßigkeit in der Praxis umgesetzt wird. Der vereinfachte IKT-Risikomanagementrahmen unterscheidet sich deutlich vom regulären Rahmen:
- Keine Pflicht zur Resilienzstrategie: Unternehmen müssen keine umfassende Strategie für digitale operationale Resilienz entwickeln.
- Weniger organisatorische Vorgaben: Keine jährliche Dokumentations- und Überprüfungspflicht, keine separate Kontrollfunktion erforderlich.
- Informationssicherheitsbeauftragter entfällt: Anders als in BAIT/VAIT ist keine Benennung zwingend notwendig.
- Reduzierte Detailanforderungen: Beispielsweise bei Änderungsprozessen von IKT-Systemen.
- Fokus auf Technik statt Formalismus: Datensicherung bleibt Pflicht, doch liegt der Schwerpunkt auf technischer Umsetzung statt umfangreicher Konzepte.
Kontinuität zu BAIT/VAIT
Die BaFin stellt in ihrer Aufsichtsmitteilung einen Vergleich zwischen BAIT, VAIT und DORA her. Unternehmen, die die Rundschreiben bereits umgesetzt haben, profitieren nun doppelt:
- Sie sind auf die kommenden DORA-Anforderungen gut vorbereitet.
- Sie können durch die vereinfachten Regelungen Aufwand und Kosten reduzieren.
Herausforderungen für Finanzunternehmen
Auch wenn die Vereinfachungen auf den ersten Blick entlasten, bleibt die DORA-Compliance eine komplexe Aufgabe. Unternehmen müssen sicherstellen, dass:
- ein funktionierendes IKT-Risikomanagement etabliert ist,
- Drittparteienrisiken (z. B. Cloud-Anbieter, IT-Dienstleister) kontinuierlich überwacht werden,
- Notfallpläne und Business Continuity gewährleistet sind,
- ein Informationsregister nach DORA gepflegt wird.
Mehr dazu: Was ist das Informationsregister nach DORA?
Unterstützung durch Swiss GRC
Mit der GRC Toolbox unterstützt Swiss GRC Finanzunternehmen umfassend bei der Umsetzung von DORA – sowohl im regulären als auch im vereinfachten Rahmen. Die Module bieten u. a.:
- IKT-Risikomanagement / ISMS zur Identifikation und Steuerung von Risiken,
- Third-Party Risk Management (TPRM) für den Umgang mit IKT-Drittanbietern,
- Business Continuity Management (BCM) zur Krisenbewältigung,
- Incident Management für eine strukturierte Störungsbehandlung,
- DORA-Compliance-Check sowie das Informationsregister nach DORA.
Damit behalten Unternehmen auch in einem dynamischen regulatorischen Umfeld den Überblick und sichern ihre digitale Resilienz nachhaltig.
Die zweite Aufsichtsmitteilung der BaFin zeigt: DORA bleibt ein zentrales Thema für den Finanzsektor, das auch kleinere Institute nicht vernachlässigen dürfen. Vereinfachungen entbinden nicht von der Pflicht, IKT-Risiken professionell zu managen und die operationale Resilienz systematisch zu stärken.
Weitere Informationen zu DORA finden Sie direkt bei der BaFin sowie auf unserer Themenseite zu DORA.
