Die DORA-Verordnung ist inzwischen deutlich mehr als ein Jahr als Rahmenwerk für die operationale Resilienz von Finanzinstituten in Kraft, die in der und mit der Europäischen Union tätig sind. Seit sie am 17. Januar 2025 anwendbar wurde, lautet die zentrale Lektion dieser 16 Monate: Es geht nicht um Compliance.
Letztlich hat DORA kein Compliance-Problem geschaffen, sondern ein Problem des Exposure-Managements – und die Unternehmen, die diesen Unterschied früh verstanden haben, befinden sich in einer grundlegend anderen Lage als jene, die es nicht taten.
Ein Blick zurück
Als DORA im Januar 2025 wirksam wurde, war ihr Ziel, die Widerstandsfähigkeit des Finanzsektors gegen Cyberangriffe zu stärken und das Konzept der operationalen Resilienz voranzutreiben. Sie ermutigt Unternehmen, kontinuierliches Threat Exposure Management zu betreiben und für eine solide Absicherung ihrer Partner und externen Lieferketten zu sorgen.
Die Verordnung wurde im Januar 2023 eingeführt, bevor im Januar 2025 die Durchsetzung begann. Die Unternehmen wussten also, was auf sie zukam – und diese 24 Monate gaben ihnen zugleich Zeit zur Vorbereitung.
Seit dem Ende der Umsetzungsphase und der Einführung von Durchsetzungsmaßnahmen hat sich der Fokus von der Vorbereitung hin zur Compliance verschoben. DORA schreibt zwar kein einheitliches Sanktionsregime für ganz Europa vor, doch sind nun die nationalen Aufsichtsbehörden für die Durchsetzung zuständig – jeweils auf Basis ihrer eigenen Rahmen für finanzielle Sanktionen. Je nach Rechtsraum und Schwere des Verstoßes können das 5 bis 20 Millionen Euro sein oder bis zu zwei Prozent des weltweiten Jahresgesamtumsatzes.
Das wirft die Frage auf, ob Organisationen tatsächlich darauf vorbereitet sind, DORAs Anforderungen an die operationale Resilienz in der Praxis zu erfüllen.
Schutz und Prävention
Von den 64 Artikeln der DORA ist mir vor allem Artikel 9 ins Auge gefallen, der sich mit Schutz und Prävention befasst. Er betont insbesondere, dass „Finanzunternehmen die Sicherheit und Funktionsfähigkeit ihrer IKT-Systeme und -Werkzeuge kontinuierlich überwachen und kontrollieren" müssen.
Ziel ist es, das Risiko für IKT-Systeme durch den Einsatz weiterer IKT-Sicherheitswerkzeuge, -richtlinien und -verfahren zu minimieren. Mit anderen Worten: Artikel 9 soll sicherstellen, dass Finanzunternehmen hohe Sicherheitsstandards wahren und ihre IKT-Systeme gegenüber Cyberbedrohungen und Betriebsausfällen widerstandsfähig sind.
Das ist eine weitere Stufe auf der Resilienzleiter: Können Unternehmen, die unter diese Verordnung fallen, die Belastbarkeit, Kontinuität und Verfügbarkeit ihrer IKT-Systeme nicht gewährleisten, ist das ein schwarzer Fleck in ihrem Audit.
Was haben wir also gelernt? Artikel 9 verlangt eine kontinuierliche Identifizierung und Behebung – sowohl aus Compliance- als auch aus Sicherheitsgründen. Nach allem, was ich gesehen habe, fahren regulierte Unternehmen noch immer vierteljährliche Scans und ticketbasiertes Patching – und erklären sich damit für compliant. Das ist kein Dokumentationsproblem. Es ist ein Problem des Exposure-Managements – und vierteljährliche Scans waren nie dafür gedacht, es zu lösen.
Weitere Lücken?
Selbst mit der Zeit, seit Januar 2025 einen Überblick zu gewinnen, zeigt sich hier die Realität des kontinuierlichen Threat Exposure Managements – nämlich dort, wo Anspruch und operative Wirklichkeit am weitesten auseinanderdriften. Aus unserer Sicht wird die Nachweislücke genau hier im Verlauf des Jahres 2026 am deutlichsten aufgehen. Können Sie Ihren Compliance-Grad ohne die richtigen Nachweise belegen?
Ein Sicherheitsverantwortlicher einer EU-Genossenschaftsbank mit 20 Milliarden Euro Bilanzsumme sagte: „Wenn der Prüfer kommt, drücke ich den Knopf und sage: Hier, so sieht es aus, so sah es letzte Woche aus, so vor vier Wochen, das ist der Trend, das tun wir, und so machen wir es."
Jährliche Audits wurden bestanden, weil Unternehmen eine Momentaufnahme ihres Compliance-Status vorlegen konnten. Doch umfassende, fortlaufende Compliance erfordert oft eine Änderung der Architektur, nicht der Dokumentation.
Bis heute haben die meisten Unternehmen diesen Schritt nicht vollzogen. Und was wir hier gelernt haben: Zu viele Audits beruhen nicht auf kontinuierlicher Compliance. Wer ein Compliance-Programm aufgebaut hat, hat etwas gebaut, das ein Audit bestehen soll. Was DORA aber tatsächlich verlangt, ist ein Exposure-Management-Programm – eines, das Compliance-Nachweise als Nebenprodukt guter Sicherheit erzeugt, kontinuierlich und auf Abruf. Das ist nicht dasselbe. Und mit dem Einsatz von KI ist seit der Entstehung der DORA-Verordnung ein weiterer Aspekt hinzugekommen.
KI überall
Seit Januar 2025 hat sich die Verbreitung generativer KI und agentischer Systeme deutlich beschleunigt. Studien zeigen, dass KI vom Experimentierstadium 2023 zu einem breiten operativen Einsatz im Jahr 2026 herangereift ist: Mehr als 85 Prozent der Großunternehmen nutzen KI in mindestens einer Geschäftsfunktion, und rund die Hälfte der Beschäftigten bindet sie in ihre tägliche Arbeit ein.
Die Auswirkungen reichen weit über klassische Sicherheitsanwendungen wie Bedrohungserkennung und E-Mail-Filterung hinaus. Werkzeuge wie Claude, Gemini, Copilot und ChatGPT sind fester Bestandteil des Tagesgeschäfts geworden, während agentische Systeme zunehmend eingesetzt werden, um Workflows zu automatisieren, Entscheidungen zu unterstützen und Security-Operations zu verstärken.
Daraus ergibt sich eine neue Dimension für DORA. Die Herausforderung besteht nicht einfach in der Einführung von KI an sich, sondern in der Frage, ob Organisationen KI als Teil ihres IKT-Risikorahmens steuern. Da KI in Software, Daten, Infrastruktur, Netzwerke, Schnittstellen und Geschäftsprozesse einzieht, fällt sie mitten in jene Umgebungen, die DORA regeln soll.
Zugleich wird KI zu einer der Schlüsseltechnologien, die kontinuierliches Threat Exposure Management überhaupt erst in großem Maßstab möglich machen. Agentische KI kann Risiken über komplexe Umgebungen hinweg fortlaufend erkennen, in den Kontext setzen und priorisieren – und hilft Organisationen so, die dauerhafte Transparenz und Nachweisbarkeit zu wahren, die DORA erwartet.
Doch so sehr KI das Risikomanagement beschleunigen kann: Die Verantwortung muss beim Menschen bleiben. Der Wert entsteht aus der Kombination von KI-gestützter Skalierung und Geschwindigkeit mit transparenten, nachprüfbaren Entscheidungen und menschlicher Aufsicht.
Die Kehrseite: KI selbst wird rasch zum Teil der Angriffsfläche. LLM-Werkzeuge, agentische Systeme, Copilot-artige Assistenten, Schatten-KI (Shadow AI), RAG-Pipelines (Retrieval-Augmented Generation), KI-Dienste von Drittanbietern und MCP-Server schaffen allesamt neue Assets, die verstanden, überwacht und auf Risiken hin bewertet werden müssen.
Die Aufsichtsbehörden reagieren bereits. 2026 veröffentlichte die deutsche BaFin eine Guidance zum Umgang mit IKT-Risiken beim KI-Einsatz im Finanzwesen und bezog KI-Systeme damit ausdrücklich in den Geltungsbereich des IKT-Rahmens der DORA ein. Das bedeutet: KI-Assets erfordern nun dasselbe Maß an Inventarisierung, Bewertung der Sicherheitslage und kontinuierlicher Exposure-Überwachung wie jede andere kritische Technologie. Viele Organisationen haben jedoch noch immer keinen klaren Überblick darüber, welche KI-Assets in ihren Umgebungen überhaupt existieren.
Daraus entsteht eine doppelte Herausforderung für regulierte Unternehmen. KI hilft ihnen, kontinuierliches Exposure-Management in dem von DORA geforderten Umfang umzusetzen – und erweitert zugleich den Umfang dessen, was gesteuert und überwacht werden muss. Die Frage ist, ob KI-Initiativen als Teil des übergreifenden IKT-Risikoprogramms geführt werden oder weiterhin außerhalb davon laufen.
Rück- und Ausblick
Es ist offensichtlich, dass ein Großteil der Unternehmen nicht auf die DORA-Compliance vorbereitet war. Aber zurück zum Kernpunkt – was wir bisher gelernt haben: Wenn 2025 das Jahr war, das Rahmenwerk aufzubauen, dann ist 2026 das Jahr, in dem das Rahmenwerk auf die Probe gestellt wird.
Wir sehen nun, dass die Bemühungen um Compliance genau jene Lücken sichtbar gemacht haben, die andere Regulierungen nicht offengelegt hatten. Damit erweist sich kontinuierliches Threat Exposure Management als die beste Lösung für den Teil der DORA, in dem es um fortlaufende Nachweise geht.
DORA verlangt diese Exposure-Management-Fähigkeit für all das, was sich nicht durch Dokumentation belegen lässt. Und genau hier sollten Fachleute Compliance als Untergrenze verstehen, nicht als Obergrenze: Operationale Resilienz entsteht aus der Fähigkeit, Risiken belastbar zu beheben und zu mindern – nicht aus der Dokumentation dieser Maßnahmen.
Es sind aber nicht nur schlechte Nachrichten: Wer sich an DORAs Compliance-Säulen orientiert, erkennt genau, wo das eigene Programm Lücken hat, warum sie bestehen und was sie schließt. Nutzen Sie DORA als Orientierung dafür, ob ein Programm auf regelmäßige Compliance oder auf Exposure-Management ausgelegt ist – und wie gut ein kontinuierliches Managementrahmenwerk im Unternehmen funktionieren könnte.
Man muss ehrlich sein und anerkennen: DORA hat funktioniert. Sie hat ein strengeres Regelwerk für regulierte Finanzunternehmen geschaffen und verlangt einen besseren Rahmen für die digitale operationale Resilienz – sowohl für die Finanzunternehmen selbst als auch für ihre IKT-Drittanbieter.
DORA ist nun seit 16 Monaten in Kraft, seit die Durchsetzung am 17. Januar 2025 begann. Und ob Sie Compliance erreicht haben oder nicht: Sie bleibt uns erhalten.
