Die ersten Prüfungen durch den Regulator zeigen: Viele Institute haben formell reagiert, strukturelle Schwächen im IKT‑Risikomanagement bestehen jedoch fort. Besonders dort, wo Prozesse zwar dokumentiert, aber nicht wirksam umgesetzt sind, greift die Aufsicht ein.
Die folgenden Beobachtungen basieren auf den veröffentlichten BaFin‑Erkenntnissen vom Dezember 2025 sowie auf praktischer Umsetzungserfahrung.
Wie BaFin unter DORA prüft
Mit DORA hat sich das aufsichtliche Prüfungsverständnis grundlegend verändert. Die bisherigen xAIT‑Rundschreiben wurden durch zehn neue DORA‑Prüffelder ersetzt, darunter Governance und Organisation, IKT‑Risikomanagement, Schutz und Prävention sowie IKT‑Geschäftsfortführung.
Prüfungen erfolgen risikoorientiert und unternehmensspezifisch. In der Regel werden drei bis fünf Prüffelder ausgewählt – abhängig von Geschäftsmodell, Risikolage und bekannten Schwachstellen. Maßgeblich ist nicht der Umfang der Dokumentation, sondern deren operative Wirksamkeit.
Vier zentrale Lücken aus den ersten BaFin‑Prüfungen
1. Governance ohne ausreichende Steuerungswirkung
Eine der wichtigsten Feststellungen betrifft Governance und Leitungseinbindung. In zahlreichen geprüften Instituten fehlt eine konsistente, nachvollziehbare DORA‑Strategie mit klar definierten, überprüfbaren Zielen. Risikotoleranzschwellen sind häufig abstrakt formuliert und nicht messbar. Eine aktive Genehmigung und laufende Überwachung durch das Leitungsorgan ist vielfach nicht erkennbar.
Empfehlung: Die Strategie zur digitalen operationalen Resilienz muss vom Leitungsorgan aktiv getragen werden. Ziele und Risikotoleranzen sollten konkret und überprüfbar definiert sein. Governance darf keine formale Übung bleiben, sondern muss wirksam Steuerungsimpulse setzen.
2. Unvollständiges IKT‑Risikomanagement und mangelhafte CIF‑Herleitung
Im IKT‑Risikomanagement zeigt sich ein strukturelles Defizit bei der Identifikation kritischer oder wichtiger Funktionen (CIF). BaFin stellt regelmäßig fest, dass CIF‑Inventare unvollständig oder nicht plausibel hergeleitet sind. Die zugrunde liegenden Prozesse, Abhängigkeiten und unterstützenden IKT‑Assets sind häufig nicht durchgängig dokumentiert oder bewertet. Zusätzlich ist die neu geforderte IKT‑Kontrollfunktion organisatorisch oft nicht ausreichend unabhängig oder personell nicht angemessen ausgestattet.
Empfehlung: Die Identifikation von CIF muss auf einem vollständigen Prozessinventar basieren und anhand klarer Kriterien erfolgen. Die Ableitung von unterstützenden IKT‑Assets muss nachvollziehbar und regelmäßig aktualisiert sein. Verantwortlichkeiten und Kontrollfunktionen sind klar zu verankern.
3. Schutz und Prävention ohne nachgewiesene Wirksamkeit
Im Prüffeld Schutz und Prävention zeigt sich ein wiederkehrendes Muster: Sicherheitsmaßnahmen sind eingeführt, ihre Wirksamkeit wird jedoch nicht systematisch überprüft. Schwachstellen‑ und Patchmanagement ist vielfach nicht flächendeckend, nicht automatisiert oder ohne verbindliche Fristen. Zentrale Nachverfolgung fehlt.
Auch grundlegende Sicherheitsmaßnahmen wie Netzwerksegmentierung, Verschlüsselung oder privilegierte Zugriffssteuerung sind nicht konsequent umgesetzt oder getestet. IKT‑Drittdienstleister sind häufig nur unzureichend in Sicherheitsanforderungen eingebunden.
Empfehlung: Schutzmaßnahmen müssen flächendeckend, risikoorientiert und überprüfbar umgesetzt sein. Schwachstellenmanagement erfordert Automatisierung, klare Bearbeitungsfristen und transparente Steuerung. Sicherheitsanforderungen an Drittdienstleister sind vertraglich zu regeln und fortlaufend zu überwachen.
4. IKT‑Geschäftsfortführung: vorhanden, aber nicht operationalisiert
Bei der IKT‑Geschäftsfortführung stellt BaFin fest, dass Pläne zwar existieren, ihre Umsetzbarkeit jedoch nicht ausreichend belegt ist. RTO‑ und RPO‑Vorgaben aus der Business Impact Analyse spiegeln sich nicht konsistent in Wiederherstellungsplänen wider. Tests sind selten realitätsnah, Erkenntnisse werden nicht systematisch nachverfolgt. Drittdienstleister sind oft nicht vollständig in Notfall‑ und Wiederherstellungsprozesse eingebunden.
Empfehlung: Geschäftsfortführungspläne müssen realisierbar, aktuell und regelmäßig getestet sein. Tests sollten szenariobasiert erfolgen und in einen kontinuierlichen Verbesserungsprozess münden. Abhängigkeiten zu IKT‑Drittdienstleistern sind integraler Bestandteil der Planung.
Blick nach vorne: Aufsichtliche Schwerpunkte ab 2026
Die BaFin hat angekündigt, auch 2026 weitere – zunehmend individualisierte – DORA‑Prüfungen durchzuführen. Bestehende xAIT‑Feststellungen verlieren dabei nicht an Bedeutung, sondern werden konsequent auf DORA‑Prüffelder abgebildet.
Ein zentrales Fazit der ersten Prüfungen lautet: Dokumentation ist notwendig, aber nicht ausreichend. Entscheidend ist, ob Prozesse verstanden, angewendet, überwacht und kontinuierlich verbessert werden.
Organisationen, die diesen Anspruch konsequent umsetzen, schaffen nicht nur regulatorische Konformität – sondern echte Resilienz.
