Im nunmehr zweiten Jahr ihrer Durchsetzung wird die Verordnung über die digitale operationale Resilienz (DORA) von Finanzdienstleistern in ganz Europa ernst genommen. Ein prägendes Merkmal der Verordnung ist, dass sie für eine Ein-Personen-Security-Funktion genauso gilt wie für ein 50-köpfiges Team. Die Kernanforderungen bleiben dieselben; DORA skaliert nicht mit der Größe Ihrer Organisation.
Was sich ändert, ist die Art und Weise, wie diese Anforderungen erfüllt werden. Wie wir in unserem vorherigen Blogbeitrag erläutert haben, profitieren nun jene Organisationen, die früh in die DORA-Vorbereitung investiert haben. Wenn 2025 das Jahr war, das Rahmenwerk aufzubauen, dann ist 2026 das Jahr, in dem es von Prüfern und Aufsichtsbehörden auf die Probe gestellt wird.
Schlanke Teams
Für schlanke Security-Teams sind Organisation und Automatisierung oft wertvoller als Größe. Ein gut vorbereitetes kleines Team ist besser aufgestellt als ein größeres, das noch von manuellen Prozessen abhängt. Und genau diese manuellen Prozesse scheitern unter DORA als Erstes. Excel-basierte Asset-Register zu pflegen, zentrale Risikoindikatoren (KRIs) von Hand zu erheben und Evidence-Packs in letzter Minute zusammenzustellen – all das lässt sich für eine fortlaufende Compliance schlicht nicht skalieren.
DORA erwartet eine kontinuierliche Nachweiserhebung statt periodischer Momentaufnahmen. Prüfer wollen den aktuellen Zustand Ihrer Umgebung sehen, nicht den vom letzten Quartal. Nachweise sollten bereits vorliegen, wenn der Prüfer eintrifft – sie sollten nicht erst als Reaktion auf eine Prüfungsanfrage zusammengetragen werden.
Wo sich Kontrollen nicht vollständig umsetzen lassen, dokumentieren Sie die Einschränkung und halten Sie die kompensierende Maßnahme fest. Schließen Sie kein Asset aus und ignorieren Sie keine Lücke in der Hoffnung, dass sie unbemerkt bleibt. Eine dokumentierte Ausnahme lässt sich weit leichter verteidigen als ein undokumentiertes Versäumnis.
Dasselbe Prinzip gilt für Prüfnachweise. Bauen Sie Ihre Nachweiskette fortlaufend auf und nicht erst kurz vor einem Audit. Wenn Sie Ihren Audit-Trail erst nach Erhalt einer Prüfungsankündigung anlegen, haben Sie eine der grundlegenden Erwartungen von DORA bereits verfehlt.
Für schlanke Teams ist Automatisierung längst kein Nice-to-have mehr, sondern unverzichtbar. Automatisierte Nachweiserhebung, kontinuierliche Überwachung und automatisiertes KRI-Reporting ermöglichen es kleinen Security-Funktionen, compliant zu bleiben, ohne im Verwaltungsaufwand unterzugehen.
Besonders wichtig wird das im Umgang mit Aufsichtsbehörden wie der BaFin, die jederzeit Nachweise anfordern kann. Dauerhaft audit-bereit zu sein, ist deutlich einfacher, als sich unter Druck vorzubereiten.
Dokumentation ist ein Nachweis, nicht das Ziel
Eines der größten Missverständnisse rund um DORA ist die Annahme, Compliance werde durch das Erstellen von Dokumentation erreicht. Tatsächlich ist die Dokumentation lediglich der Nachweis dafür, dass Ihre operativen Prozesse funktionieren.
Richtlinien, Verfahren und Risikoregister sind wichtig, doch die Aufsicht sucht zunehmend nach dem Beleg, dass diese Dokumente die tägliche Realität Ihrer Umgebung widerspiegeln. Wenn Ihr Schwachstellenregister besagt, dass kritische Schwachstellen innerhalb von sieben Tagen behoben werden, sollten Ihre Nachweise zeigen, dass genau das durchgängig geschieht. Wenn Ihre IKT-Risikorichtlinie festhält, dass Assets kontinuierlich überwacht werden, erwarten Prüfer die Monitoring-Daten und nicht bloß die Richtlinie selbst.
Für schlanke Teams heißt das: weniger Fokus auf zusätzlichen Papierkram und mehr darauf, dass bestehende operative Tätigkeiten automatisch Nachweise erzeugen. Jeder Konfigurations-Scan, jede Schwachstellenbewertung, jede Policy-Prüfung und jede Behebungsmaßnahme sollte zum Nachweis der Compliance beitragen.
Statt Governance und Security-Operations als getrennte Tätigkeiten zu behandeln, ermutigt DORA Organisationen dazu, sie zu verzahnen. Je enger die tägliche Sicherheitsarbeit mit den Compliance-Nachweisen verknüpft ist, desto weniger Zeit verbringen kleine Teams mit der Audit-Vorbereitung – und desto mehr Zeit können sie darauf verwenden, operatives Risiko zu senken.
Ein gutes Beispiel liefert eine europäische Bank, die Mondoo begleitet hat: Dort erreichte ein schlankes Security-Team innerhalb eines Finanzinstituts mit 20 Milliarden Euro Bilanzsumme die DORA-Compliance. Mit Mondoo etablierte das Team seine Scan-Ergebnisse als Hardening-Baseline, dokumentierte Ausnahmen für gemeinsam genutzte Infrastruktur und automatisierte die KRI-Erhebung, die zuvor erheblichen manuellen Aufwand erfordert hatte. Als die Prüfer Nachweise anforderten, konnte das Team die erforderlichen Berichte sofort erstellen, statt tagelang Dokumentation zusammenzustellen.
Klein anfangen und wachsen
Ihr Vorgehen zeigt noch eine weitere wichtige Lektion: klein anfangen und schrittweise ausweiten. Statt zu versuchen, alle Systeme gleichzeitig abzudecken, konzentrieren Sie sich zuerst auf eine Umgebung oder einen Asset-Typ. Bauen Sie einen belastbaren Prozess auf und dehnen Sie ihn dann auf die gesamte Organisation aus. Eine ordentlich umgesetzte Kontrolle ist weit mehr wert als mehrere uneinheitlich umgesetzte.
Wenn Sie nicht sicher sind, wo Sie beginnen sollen, bieten Ihre vorhandenen Scan-Ergebnisse eine hervorragende Baseline. Anstatt zu versuchen, DORA auf Hunderte bestehender Kontrollen abzubilden, starten Sie mit dem, was Ihre Umgebung Ihnen ohnehin schon verrät. Definieren Sie diese Funde als Ihre Baseline, gleichen Sie jede Anforderung mit Ihrer Umgebung ab und dokumentieren Sie alle begründeten Ausnahmen.
Dieser Ansatz verlagert das Schwachstellenmanagement weg vom bloßen Erkennen von Problemen hin zu einer messbaren Behebung. Letztlich geht es DORA darum, operatives Risiko zu senken – nicht darum, Berichte zu produzieren.
Auch eine der größten europäischen Banken veranschaulicht die Realität gemeinsam genutzter Infrastruktur. Sie ist für viele Kerndienste und Technologieplattformen auf einen gemeinsamen IT-Dienstleister angewiesen. Auch wenn dieser Dienstleister einen Großteil der zugrunde liegenden Infrastruktur verwaltet, bleibt die Verantwortung für die DORA-Compliance bei der Bank selbst.
Dokumentieren Sie die Abweichungen
Gemeinsam genutzte Infrastruktur ist keine Befreiung von der Compliance. Wo Plattformkonfigurationen von anerkannten Frameworks wie den CIS Benchmarks abweichen, sollten Organisationen diese Abweichungen dokumentieren, das damit verbundene Risiko festhalten und die vorhandenen kompensierenden Maßnahmen erläutern.
Dieses Prinzip gilt auch für das Management von Drittparteienrisiken im weiteren Sinne. DORA verlangt von Organisationen, IKT-Lieferanten, Verträge und ausgelagerte Dienste kontinuierlich zu überwachen. Lieferantenregister dürfen keine statischen Dokumente sein. Jeder neue Lieferant, jede Vertragsänderung und jeder Ausstieg aus einem Dienst sollte fortlaufend im System abgebildet werden. Eine Tabelle, die zuletzt vor achtzehn Monaten aktualisiert wurde, dürfte einer aufsichtlichen Prüfung kaum standhalten – zumal die Aufsichtsbehörden Abgleich und Nachweisvalidierung zunehmend automatisieren.
Wichtig ist außerdem: Der Anwendungsbereich von DORA wächst weiter. Ab Januar 2027 wird das deutsche Finanzmarktdigitalisierungsgesetz (FinmadiG) DORA auf Factoring-Institute und Anbieter von Finanzierungsleasing ausweiten, die bisher außerhalb des europäischen Rahmens lagen.
Diese Unternehmen können zwar einen vereinfachten Rahmen für das IKT-Risikomanagement anwenden, müssen DORA aber dennoch einhalten. Zugleich werden die alten deutschen Aufsichtsrahmen wie BAIT, VAIT, ZAIT und KAIT vollständig abgelöst, sodass DORA zum einheitlichen Rahmenwerk für die operationale Resilienz im gesamten deutschen Finanzsektor wird.
Fazit: Operative Reife schlägt Größe
Letztlich ist DORA kein Projekt mit einer Ziellinie. Es ist eine operative Disziplin, die auf kontinuierlicher Überwachung, kontinuierlicher Nachweiserhebung und kontinuierlicher Verbesserung beruht. Organisationen, die DORA als einmalige Compliance-Übung behandelt haben, stellen bereits fest, dass es weit schwieriger ist, Compliance aufrechtzuerhalten, als sie zu erreichen.
Die Organisationen, die unter DORA erfolgreich sind, sind nicht zwangsläufig jene mit den größten Sicherheitsbudgets oder -teams. Es sind diejenigen, die Resilienz in ihren Alltag eingebettet, manuellen Aufwand durch wiederholbare Prozesse ersetzt haben und jederzeit Compliance nachweisen können.
Für schlanke Security-Teams ist die vielleicht größte Lektion der DORA, dass operative Reife operative Größe stets übertreffen wird. Es geht nicht mehr darum, sich auf das nächste Audit vorzubereiten – sondern darum, jeden Tag bereit zu sein.
