Seit dem 17. Januar 2025 gilt der Digital Operational Resilience Act (DORA) unmittelbar für Banken, Versicherungen, Kapitalverwaltungsgesellschaften und weitere Finanzunternehmen. Die BAIT, VAIT und KAIT sind damit Geschichte. Inzwischen laufen die ersten Jahresabschluss- und Sonderprüfungen, in denen DORA eine Rolle spielt. Zeit für eine Zwischenbilanz.
Fünf Prüfungsschwerpunkte
1. Das IKT-Risikomanagement-Rahmenwerk. Prüfer wollen ein dokumentiertes, vom Leitungsorgan genehmigtes Rahmenwerk sehen, das regelmäßig überprüft wird. Häufige Schwachstelle: Die alten BAIT-Dokumente wurden umbenannt, aber nicht an die Struktur von DORA und den technischen Regulierungsstandards angepasst.
2. Das Informationsregister. Das Register aller vertraglichen Vereinbarungen mit IKT-Drittdienstleistern ist für viele Häuser die größte Baustelle. Prüfer achten auf Vollständigkeit, auf die richtige Einstufung kritischer oder wichtiger Funktionen und darauf, dass das Register laufend gepflegt wird und nicht nur zum Meldestichtag.
3. Vertragsgestaltung mit Dienstleistern. Verträge müssen die Mindestinhalte nach Art. 30 DORA enthalten, darunter Prüfungs- und Zugangsrechte, Kündigungsrechte und Ausstiegsstrategien. Alte Rahmenverträge erfüllen das oft nicht.
4. Vorfallmanagement und Meldewesen. Gefragt ist ein nachvollziehbarer Prozess zur Klassifizierung von IKT-Vorfällen nach den DORA-Kriterien und zur fristgerechten Meldung an die Aufsicht.
5. Tests der digitalen operationalen Resilienz. Ein jährliches Testprogramm mit Schwachstellenscans, Notfalltests und Szenarien ist Pflicht. Prüfer schauen, ob Tests geplant, durchgeführt und die Ergebnisse nachverfolgt wurden.
Auch IT-Dienstleister sind betroffen
DORA gilt formal für Finanzunternehmen, wirkt aber über Verträge und Prüfungsrechte direkt auf deren IT-Dienstleister. Wer Rechenzentrums-, Cloud- oder Softwareleistungen für Banken erbringt, muss mit Audits seiner Kunden rechnen. Ein aktueller Prüfbericht nach ISAE 3402, IDW PS 951 oder BSI C5 kann viele Einzelprüfungen ersetzen, wenn er die richtigen Kontrollen abdeckt.
Die Rolle der Prüfungsberichtsverordnung
Für Institute regelt die Prüfungsberichtsverordnung (PrüfbV), wie der Abschlussprüfer über die IT und damit auch über DORA-Anforderungen berichtet. Eine ausführliche Einordnung finden Sie im Fachbeitrag unseres Partners GRC Factory: Die Prüfungsberichtsverordnung und ihre Bedeutung für DORA und IT-Prüfungen.
Unser Tipp
Machen Sie vor der nächsten Prüfung einen eigenen Schnelltest: Nehmen Sie drei kritische Dienstleister und verfolgen Sie sie durch alle Prozesse, vom Informationsregister über den Vertrag bis zum letzten Test und zur letzten Überwachungshandlung. Wo die Kette reißt, wird auch der Prüfer ansetzen.
Passende Seminare der GRC Akademie
- DORA für Finanzdienstleister und ihre IT-Dienstleister
Webinar, 2 Stunden · nächster Termin Mi 10.02.2027 · 299 € zzgl. USt. (Frühbucher 249 €) - IT-Revision bei Banken und Finanzdienstleistern – MaRisk, DORA und Auslagerungen
Seminar, 2 Tage · nächster Termin Mi 10.03.2027 · 990 € zzgl. USt. - Prüfung von Dienstleistern – ISAE 3402 und IDW PS 951 richtig lesen und verwerten
Webinar, 2 Stunden · nächster Termin Di 23.02.2027 · 249 € zzgl. USt. (Frühbucher 199 €)
Alle Themen bieten wir auch als Inhouse-Schulung für Ihr Team an. Den vollständigen Kalender finden Sie in der Übersicht der Online-Seminare.