Der erste DORA-Vorfallüberblick liefert eine erste Evidenzbasis
Im Juni 2026 veröffentlichten die europäischen Aufsichtsbehörden den ersten jährlichen Überblick über schwerwiegende, IT-bezogene Vorfälle im Rahmen des Digital Operational Resilience Act. Der Bericht ist deshalb wichtig, nicht weil er nach nur einem Berichtszyklus ein vollständiges Bild des operationellen Risikos zeichnet, sondern weil er beginnt, eine harmonisierte Evidenzbasis für den gesamten europäischen Finanzsektor zu schaffen. IT-Vorfälle sind zunehmend miteinander verknüpft, und ein Ausfall, der einen Anbieter betrifft, kann sich auf Institutionen, Länder und Sektoren ausweiten.
Das Berichterstattungsrahmenwerk von DORA soll diese Sichtbarkeit verbessern. Eine einheitliche Klassifizierung und Meldung ermöglicht es den Aufsichtsbehörden, gemeinsame Abhängigkeiten zu identifizieren und auf grenzüberschreitende Vorfälle koordiniert zu reagieren. Für Banken besteht der praktische Wert darin, eine solidere Grundlage für die Verbesserung des internen Vorfallsmanagements zu erhalten.
Klassifizierung und Eskalation müssen klar sein
Nicht jedes technische Problem ist ein schwerwiegender Vorfall. Institutionen benötigen daher Kriterien, mit denen Mitarbeiter routinemäßige operationelle Probleme von Ereignissen unterscheiden können, die die Aufmerksamkeit des oberen Managements und der Aufsichtsbehörden erfordern. Die Auswirkungen auf Kunden, die Dauer, die geografische Ausbreitung, finanzielle Verluste, Datenkompromittierung und die Kritikalität der Dienstleistung können alle die Klassifizierung beeinflussen.
Dies erfordert eine Abstimmung zwischen den Bereichen IT, Risiko, Compliance und den Geschäftsbereichen. Die IT-Teams können den ursprünglichen Fehler identifizieren, aber die Geschäftsbereiche verstehen die Auswirkungen auf Kunden und den Geschäftsbetrieb. Die Compliance-Teams verwalten die Meldepflichten, während die Kommunikationsabteilungen möglicherweise Kunden und andere Stakeholder informieren müssen. Die Verantwortlichkeiten sollten festgelegt werden, bevor das Ereignis eintritt.
Die Reaktion auf Vorfälle sollte kritische Dienste schützen
Der Zweck der Resilienz besteht nicht nur darin, die IT wiederherzustellen. Es geht darum, kritische Geschäftsdienste aufrechtzuerhalten oder wiederherzustellen. Banken müssen möglicherweise Backup-Systeme aktivieren, manuelle Umgehungslösungen verwenden, Transaktionen abgleichen oder die Kundenkommunikation ändern. Das obere Management muss manchmal unter erheblicher Unsicherheit Entscheidungen treffen.
Vorbereitung ist daher wichtig. Vorfallpläne sollten prägnant genug sein, um sie in einer echten Krise zu verwenden. Kritische Kontakte, Entscheidungsbefugnisse und alternative Kommunikationskanäle müssen auch dann verfügbar bleiben, wenn normale Systeme gestört sind. Die Wiederherstellungsziele sollten neben der technischen Betriebszeit auch die Datenintegrität und die Korrektheit der Geschäftsprozesse umfassen.
Die Überprüfung nach einem Vorfall ist ebenso wichtig. Ursache, Effektivität der Erkennung, Eskalation, Kommunikation und Behebung sollten systematisch untersucht werden. Eine Bank, die den Dienst wiederherstellt, ohne aus dem Ereignis zu lernen, hat sich zwar operationell erholt, aber nicht organisatorisch verbessert.
Drittanbieterrisiken sind zunehmend systemisch
Der erste DORA-Überblick unterstreicht auch die grenzüberschreitende Natur des IT-Risikos. Finanzunternehmen sind stark von Cloud-Anbietern, Softwareanbietern und anderen externen Dienstleistern abhängig. Eine Bank kann starke interne Kontrollen aufrechterhalten und dennoch dem Ausfall eines Lieferanten ausgesetzt sein. Sorgfaltspflichten und Vertragsmanagement müssen daher Resilienz, Vorfallskommunikation und Wiederherstellungsfähigkeit umfassen.
Das Konzentrationsrisiko ist besonders bedeutsam. Wenn ein kritischer Anbieter eine große Anzahl von Institutionen unterstützt, kann ein Ausfall zu einem branchenweiten Ereignis werden. Dies ist einer der Gründe, warum die europäischen Behörden im Rahmen von DORA verstärkt auf kritische Drittanbieter achten.
Künstliche Intelligenz fügt eine weitere Dimension hinzu. Die ESAs stellten fest, dass zunehmend leistungsfähige KI-gestützte Tools Finanzinstitute dazu anregen sollten, ihre Cybersicherheit zu stärken. Banken sollten daher KI-Abhängigkeiten und durch KI verstärkte Bedrohungen in Resilienzszenarien aufnehmen, anstatt sie als separate Innovationsthemen zu behandeln.
Managementinformationen sollten sich auf Muster konzentrieren
Harmonisierte Berichterstattung schafft auch die Möglichkeit für branchenweites Lernen. Eine einzelne Bank sieht nur ihre eigenen Vorfälle, während Aufsichtsbehörden Muster über viele Unternehmen hinweg identifizieren können. Institutionen sollten diese Logik intern übernehmen. Mehrere kleinere Vorfälle, die durch denselben schwachen Prozess verursacht wurden, können aufschlussreicher sein als ein dramatisches, aber ungewöhnliches Ereignis.
Management-Dashboards sollten daher wiederkehrende Ursachen, Lieferantenabhängigkeiten, Wiederherstellungsleistung und überfällige Behebungsmaßnahmen enthalten. Das Ziel ist nicht, um des Berichtens willen mehr Berichte zu erstellen; es geht darum, operationelle Schwachstellen sichtbar zu machen, bevor sich mehrere kleine Probleme zu einem schwerwiegenden Ausfall kombinieren.
Fazit
Der erste DORA-Vorfallbericht markiert den Übergang von einem regulatorischen Rahmenwerk auf dem Papier zu Erkenntnissen aus realen Ereignissen. Banken haben nun eine klarere Grundlage, um die interne Praxis mit branchenweiten Erwartungen zu vergleichen. Die zentrale Erkenntnis ist, dass IT-Ausfälle unvermeidlich sind, die Qualität der Vorbereitung jedoch darüber entscheidet, ob die Störung beherrschbar bleibt oder zu einer Krise wird.
Die eBSI Banking Academy betrachtet operationelle Resilienz als Teil der modernen Bankenkompetenz. Fachkräfte in den Bereichen Betrieb, Risiko, Compliance und Management müssen ausreichend verstehen, wie sich digitale Störungen auf ihre eigene Rolle auswirken. DORA ist dann am nützlichsten, wenn es das Verhalten zwischen Vorfällen verändert, nicht nur währenddessen.
Quelle
European Banking Authority, „ESAs veröffentlichen den ersten Bericht über schwerwiegende, IT-bezogene Vorfälle nach DORA“, 3. Juni 2026.
Der Wert der Vorfallsmeldung liegt im kollektiven Lernen
Ein harmonisiertes Berichterstattungsrahmenwerk ermöglicht es Aufsichtsbehörden, Muster zu identifizieren, die keine einzelne Institution erkennen kann. Wiederholte Vorfälle mit einer bestimmten Art von Lieferant, einer Kontrollschwäche oder einer Angriffsmethode können auf eine branchenweite Schwachstelle hindeuten. Im Laufe der Zeit kann diese Evidenz die Aufsichtsprioritäten beeinflussen und Finanzinstituten helfen, Investitionen in die Bereiche zu lenken, die am wichtigsten sind.
Banken sollten dasselbe Prinzip intern anwenden, indem sie Cluster analysieren, anstatt jeden Vorfall isoliert zu betrachten. Mehrere kleinere Ausfälle, die durch ein wiederkehrendes Konfigurationsproblem verursacht wurden, verdienen möglicherweise mehr Aufmerksamkeit als ein einziges dramatisches, aber ungewöhnliches Ereignis. Trendanalysen können aufzeigen, wo Kontrollen allmählich nachlassen. Deshalb sollten Managementinformationen wiederkehrende Ursachen und unvollendete Behebungsmaßnahmen enthalten, nicht nur die Anzahl der im Berichtszeitraum gemeldeten Vorfälle.
Die Qualität der Berichterstattung hängt auch von der Unternehmenskultur ab. Mitarbeiter müssen Beinahe-Vorfälle und aufkommende Probleme melden können, ohne befürchten zu müssen, dass Transparenz als Versagen gewertet wird. Eine Kultur, die kleine Vorfälle vertuscht, um Leistungskennzahlen zu schützen, erhöht in der Regel die Wahrscheinlichkeit eines größeren Vorfalls in der Zukunft. DORA kann den Rahmen bieten, aber die Resilienz hängt letztendlich vom Verhalten innerhalb der Institution ab.
Vorbereitung auf den nächsten Berichtszyklus
Banken sollten den ersten jährlichen Überblick als Anlass nutzen, um die Qualität ihrer eigenen Vorfalldaten zu überprüfen. Wenn Klassifizierungen inkonsistent sind oder Ursachen nur oberflächlich erfasst werden, verliert die Organisation einen Großteil des Lernwerts, den DORA schaffen soll. Interne Taxonomien sollten daher einheitlich genug angewendet werden, um im Laufe der Zeit aussagekräftige Trendanalysen zu ermöglichen.
Institutionen sollten auch testen, ob die regulatorische Berichterstattung abgeschlossen werden kann, ohne wichtige Mitarbeiter von der Wiederherstellung des Geschäftsbetriebs abzulenken. Die besten Abläufe ermöglichen es, die für die Meldung erforderlichen Informationen als Teil des Reaktionsprozesses zu erfassen, anstatt sie später rekonstruieren zu müssen. Dies reduziert Doppelarbeit und verbessert die Genauigkeit.