DORA-Rahmenwerk für IKT-Risikomanagement 2026: Vollständiger Leitfaden für Finanzunternehmen in Deutschland
Seit dem 17. Januar 2025 muss jedes Finanzunternehmen in der EU — von systemrelevanten Banken bis zu kleinen Zahlungsinstituten — ein dokumentiertes Rahmenwerk für das IKT-Risikomanagement gemäß DORA vorhalten. Das ist keine reine Formsache: Die Art. 6–16 der Verordnung (EU) 2022/2554, zusammen mit drei delegierten Verordnungen (RTS), legen genau fest, welche Richtlinien, Funktionen, Werkzeuge und Nachweise die BaFin bei einer Prüfung erwartet.
5 Mio. €
"Höchststrafe für ein Finanzunternehmen, das kein konformes IKT-Risikomanagement-Rahmenwerk nach DORA vorhält — oder 10 % des jährlichen weltweiten Gesamtumsatzes, falls dieser höher ist."
— DORA Art. 50, Verordnung (EU) 2022/2554
Was ist das DORA-Rahmenwerk für IKT-Risikomanagement? Die Gesamtheit der Strategien, Richtlinien, Verfahren und Werkzeuge, die ein Finanzunternehmen einrichten, umsetzen und aufrechterhalten muss, um IKT-bezogene Vorfälle zu identifizieren, zu klassifizieren, sich davor zu schützen, sie zu erkennen, darauf zu reagieren, sich davon zu erholen und daraus zu lernen. DORA macht das Leitungsorgan (Vorstand/Geschäftsleitung) unmittelbar verantwortlich für die Genehmigung und Überwachung dieses Rahmenwerks (Art. 5).
Die 5 Bausteine des DORA-Rahmenwerks für IKT-Risikomanagement
Governance und Organisation (Art. 5–6)
Das Leitungsorgan muss die IKT-Risikostrategie genehmigen, ein angemessenes IKT-Budget bereitstellen und sicherstellen, dass die IKT-Funktion über ausreichend qualifiziertes Personal verfügt. Eine interne Kontrollfunktion (zweite Verteidigungslinie) und eine Interne Revision (dritte Verteidigungslinie) müssen IKT-Risiken unabhängig bewerten. Der CISO (oder eine gleichwertige Funktion) berichtet mindestens einmal jährlich direkt an das Leitungsorgan.
Verwaltung der IKT-Assets (Art. 8)
Ein vollständiges, aktuelles Verzeichnis aller Hardware- und Software-IKT-Assets ist verpflichtend. Assets müssen nach ihrer Kritikalität für Geschäftsfunktionen klassifiziert werden. Die RTS zu IKT-Risikomanagement-Instrumenten (Delegierte Verordnung 2024/1774 der Kommission) legt die Mindestfelder für das Asset-Register und die Überprüfungshäufigkeit fest (mindestens jährlich oder nach jeder wesentlichen Änderung).
Schutz und Prävention (Art. 9)
Zu den Mindestkontrollen gehören: Netzwerksegmentierung, Multi-Faktor-Authentifizierung für privilegierte Konten, Verschlüsselung von Daten bei Übertragung und Speicherung (AES-256 oder gleichwertig), Patch-Management mit definierten SLAs nach Kritikalität sowie eine vom Leitungsorgan formell genehmigte Informationssicherheitsrichtlinie.
Erkennung (Art. 10)
Finanzunternehmen müssen Mechanismen zur zeitnahen Erkennung anomaler IKT-Aktivitäten implementieren — einschließlich Aktivitäten an Zugangspunkten von Drittanbietern. Dies erfordert in der Regel ein SIEM-System (Security Information and Event Management) mit definierten Alarmschwellen und einem Eskalationsprozess im Bereitschaftsdienst. Die RTS verlangt eine dokumentierte Baseline des normalen Verhaltens für kritische Systeme.
Reaktion, Wiederherstellung und Lernen (Art. 11–13)
Ein dokumentierter Geschäftsfortführungsplan (BCP) und ein IKT-Notfallwiederherstellungsplan (DRP) mit definierten RPO- und RTO-Zielen sind erforderlich. Die Pläne müssen jährlich getestet werden (oder nach einer wesentlichen Änderung). Nach jedem größeren Vorfall ist eine Nachbetrachtung durchzuführen und innerhalb von 3 Monaten dem Leitungsorgan vorzulegen.
Die 3 RTS, die DORAs IKT-Risikoanforderungen konkretisieren
| RTS | Kernanforderungen | In Kraft seit |
|---|---|---|
| RTS zu IKT-Risikomanagement-Instrumenten (2024/1774) | Felder des Asset-Registers, Patch-SLAs, Kryptografieanforderungen, Baseline für Netzwerksicherheit | 17. Jan. 2025 |
| RTS zum vereinfachten IKT-Risikorahmen (2024/1773) | Verhältnismäßige Anforderungen für kleine und nicht komplexe Unternehmen gemäß Art. 16 DORA | 17. Jan. 2025 |
| ITS zum Informationsregister (2024/2956) | Standardisierte Vorlagen für das IKT-Drittanbieterregister, das bei der BaFin einzureichen ist | 30. Apr. 2025 |
5 typische Lücken bei Prüfungen des DORA-IKT-Rahmenwerks
Asset-Register nicht formell vom Leitungsorgan genehmigt
Viele Unternehmen pflegen eine IT-Asset-Liste in einer Tabellenkalkulation, aber ohne dokumentierte Genehmigung durch das Leitungsorgan und ohne festgelegten Überprüfungszyklus.
BCP/DRP in den letzten 12 Monaten nicht getestet
DORA Art. 11 verlangt eine jährliche Prüfung der Reaktions- und Wiederherstellungsfähigkeiten. Tabletop-Übungen zählen, müssen aber mit Ergebnissen und Korrekturmaßnahmen dokumentiert werden.
SaaS-Anbieter fehlen im IKT-Drittanbieterregister
Cloud-Tools, die von Fachbereichen genutzt werden (CRM, HR, Kommunikationsplattformen), werden oft übersehen. Unter DORA muss jeder IKT-Drittanbieterdienst, der eine Geschäftsfunktion unterstützt, im Register erfasst sein.
Keine dokumentierte Kryptografie-Richtlinie
Die RTS zu IKT-Risikomanagement-Instrumenten verlangt eine formelle Kryptografie- und Schlüsselverwaltungsrichtlinie. Viele Unternehmen verlassen sich auf Anbieter-Standardeinstellungen, ohne die angewandten Standards zu dokumentieren.
CISO-Bericht an das Leitungsorgan nicht dokumentiert
DORA Art. 5(4) verlangt, dass die IKT-Risikofunktion mindestens einmal jährlich an das Leitungsorgan berichtet. Dieser Bericht — mit Tagesordnung, Protokoll und Maßnahmenpunkten — ist ein zentraler Prüfungsnachweis bei einer BaFin-Prüfung.
Wie IgeraRegtech die DORA-IKT-Dokumentation automatisiert
// Echte Anfrage eines Compliance-Teams
❓ "Verlangt DORA, dass wir IKT-Assets nach Kritikalität klassifizieren, und welche Felder muss das Register enthalten?"
✅ "Ja. DORA Art. 8(1) verlangt, dass Finanzunternehmen ein aktuelles Register aller IKT-Assets führen. Die Delegierte Verordnung (EU) 2024/1774 der Kommission (RTS zu IKT-Risikomanagement-Instrumenten), Art. 4, legt fest, dass das Register mindestens enthalten muss: Asset-Kennung, Asset-Typ (Hardware/Software), unterstützte Geschäftsfunktion(en), Kritikalitätsklassifizierung (kritisch/wichtig/sonstige), Verantwortlichen, Standort, Supportvertrag und Ende der Nutzungsdauer. Überprüfungshäufigkeit: mindestens jährlich und nach jeder wesentlichen Infrastrukturänderung."
⏱ 2 Sekunden · 📄 DORA Art. 8(1) + DVO 2024/1774 Art. 4 · 🚫 0 Halluzinationen
Häufig gestellte Fragen zum DORA-IKT-Rahmenwerk in Deutschland
Wer ist in Deutschland für die Beaufsichtigung der DORA-Umsetzung zuständig?
Die BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht) ist die zuständige nationale Behörde für die Beaufsichtigung von Banken, Versicherungen, Zahlungsinstituten und Wertpapierfirmen im Rahmen von DORA. Sie überwacht die Einhaltung der Art. 5–16 (IKT-Risikomanagement), Art. 17–23 (Vorfallmeldung) und Art. 28–44 (Drittanbieterrisiko) und nimmt die im Rahmen der ITS 2024/2956 vorgesehenen IKT-Drittanbieterregister entgegen. Bei kritischen IKT-Drittanbietern erfolgt zusätzlich eine europaweite Überwachung durch die Europäischen Aufsichtsbehörden (EBA, ESMA, EIOPA).
Muss der Vorstand das IKT-Rahmenwerk persönlich genehmigen oder reicht ein Ausschuss?
Das Leitungsorgan (Vorstand oder Geschäftsleitung) kann die operative Überwachung an einen Risikoausschuss delegieren, die Genehmigung der IKT-Strategie und die letztendliche Verantwortung für das Rahmenwerk müssen jedoch beim Gesamtorgan verbleiben. Art. 5(4) DORA verlangt, dass das Leitungsorgan mindestens einmal jährlich einen Bericht der verantwortlichen IKT-Risikofunktion erhält. Bei BaFin-Prüfungen wird zunehmend geprüft, ob der Vorstand den Inhalt tatsächlich versteht und nicht nur formal absegnet.
Reicht die bestehende Informationssicherheitsrichtlinie zur Erfüllung von Art. 9 aus?
Das hängt vom Inhalt ab. Art. 9 und die RTS 2024/1774 verlangen, dass die Informationssicherheitsrichtlinie formell vom Leitungsorgan genehmigt (nicht nur vom CTO), mindestens jährlich überprüft wird und spezifisch Folgendes abdeckt: Zugangskontrollen (mit MFA für kritische Systeme), Verschlüsselung, Patch-Management mit SLAs sowie eine Kryptografie- und Schlüsselverwaltungsrichtlinie. Viele vor DORA erstellte Richtlinien erreichen nicht den von der RTS geforderten Detaillierungsgrad.
Wie oft muss das gesamte IKT-Rahmenwerk überprüft werden?
Mindestens einmal jährlich sowie nach jedem bedeutenden IKT-Vorfall, jeder wesentlichen Änderung des Geschäftsmodells oder jeder relevanten Änderung der IKT-Infrastruktur. Die Überprüfung umfasst die Aktualisierung des Asset-Registers (Art. 8), die Tests des BCP/DRP (Art. 11) sowie die unabhängige Überprüfung des gesamten Rahmenwerks (Art. 15).
Wie unterstützt IgeraRegtech bei der Dokumentation des IKT-Rahmenwerks?
IgeraRegtech fungiert als spezialisierter RAG-Compliance-Assistent für DORA: Er beantwortet Fragen zu den Artikeln von Kapitel II und den RTS in Sekunden mit exakter Quellenangabe. Er erzeugt Vorlagen für die IKT-Risikomanagementrichtlinie, die Informationssicherheitsrichtlinie, ein DORA-konformes BCP/DRP, ein Asset-Register mit den Feldern der RTS 2024/1774 sowie Entwürfe für den CISO-Bericht an das Leitungsorgan — angepasst an Art und Größe des Unternehmens, ohne Halluzinationen.
Prüfungsfähige DORA-Dokumentation in 48 Stunden
IgeraRegtech erstellt Ihre IKT-Risikorahmenwerk-Dokumentation — Richtlinien, Asset-Register-Vorlage, BCP/DRP-Gliederung, Bericht an das Leitungsorgan — vorausgefüllt mit Ihren Unternehmensdaten und konform mit den aktuellen RTS.
Kostenlose DORA-Gap-Analyse startenVeröffentlicht: Juni 2026 · Quellen: Verordnung (EU) 2022/2554 (DORA); Delegierte Verordnung (EU) 2024/1774 der Kommission (RTS zu IKT-Risikomanagement-Instrumenten); Delegierte Verordnung (EU) 2024/1773 der Kommission (RTS vereinfachtes Rahmenwerk); Durchführungsverordnung (EU) 2024/2956 der Kommission (ITS Informationsregister); Gemeinsame Leitlinien von EBA/ESMA/EIOPA zum IKT- und Sicherheitsrisikomanagement 2024 · Autor: Gerard Maymó, CEO Igera Solutions · IgeraRegtech