Warum Finanzinstitute Daten, Governance und Tools gemeinsam denken müssen

DORA-Umsetzung: Compliance erfüllt – und trotzdem nicht resilient?

Artikel
6 Minuten Lesezeit
30 Jul 2026

Mit dem Geltungsbeginn des Digital Operational Resilience Act (DORA) ist die regulatorische Diskussion in eine neue Phase eingetreten. Die meisten Finanzinstitute haben Gap-Analysen abgeschlossen, Zuständigkeiten benannt und Maßnahmenpläne aufgesetzt. In der operativen Umsetzung zeigt sich nun ein Muster, das sich in zahlreichen Projekten wiederfindet: Die eigentliche Hürde liegt nicht im Verständnis der Anforderungen, sondern in deren integrierter Steuerung über bisher getrennt arbeitende Funktionen hinweg. IKT-Risikomanagement, Third Party Risk Management (TPRM), Business Continuity Management (BCM) und Informationssicherheit müssen entlang gemeinsamer Objekte verzahnt werden – Geschäftsprozesse, Assets, Drittparteien, Vorfälle, Risiken. Genau hier entscheidet sich, ob DORA zu echter Resilienz führt oder zur dokumentierten Pflichtübung wird.

Von DORA-Compliance zu wirksamer Resilienzsteuerung

Wer DORA als reines Compliance-Thema behandelt, unterschätzt den organisatorischen Eingriff. Die Verordnung zwingt Institute dazu, Datenmodelle und Verantwortlichkeiten über Funktionsgrenzen hinweg zu harmonisieren. IKT-Risikomanagement, TPRM, BCM, Informationssicherheit und das operationelle Risikomanagement haben sich in vielen Häusern über Jahre als eigenständige Disziplinen entwickelt – mit eigenen Methoden, Datenhaushalten und Berichtswegen. DORA verlangt nun deren durchgängige Verzahnung.

In der Praxis zeigen sich dabei wiederkehrende Spannungsfelder:

Daten zu kritischen Geschäftsprozessen, IKT-Assets und Dienstleistern liegen redundant in unterschiedlichen Systemen vor.
Verantwortlichkeiten zwischen 1st und 2nd Line, zwischen IT, Einkauf, Risikomanagement und Compliance sind oft unscharf.
Bewertungslogiken folgen je nach Bereich abweichenden Skalen.

Eine konsolidierte Aussage zur operativen Resilienz, wie sie das Management nach DORA verantworten muss, ist auf dieser Basis kaum belastbar herzustellen.

Eine typische Herausforderung aus laufenden Projekten illustriert dieses Muster: Beim erstmaligen Aufbau eines konsolidierten Informationsregisters treffen mehrere über Jahre getrennt geführte Datenhaushalte aufeinander. Das Vertragsmanagement des Einkaufs folgt einer kaufmännischen Logik, das Auslagerungsregister der regulatorischen MaRisk-Systematik und die CMDB der IT bildet IKT-Assets und Services ab – jeweils ohne durchgängige Verknüpfung zwischen Vertrag, Service und unterstützter Geschäftsfunktion. Schon die Zuordnung, welcher Dienstleister welchen IKT-Service erbringt und welche kritische oder wichtige Funktion dieser stützt, wird damit aufwendig.

Wann lohnt sich eine GRC-Plattform für DORA?

Aus diesen Beobachtungen folgt eine unbequeme Erkenntnis: Eine GRC-Plattform löst weder das Governance- noch das Datenproblem. In der Praxis zeigt sich, dass viele dieser Probleme durch die Art der Tool-Einführung zusätzlich verstärkt werden. Häufig beginnt die Auswahl einer GRC-Plattform, bevor ein gemeinsames Datenmodell, harmonisierte Bewertungslogiken und klare Verantwortlichkeiten definiert sind. Bestehende Prozesse werden unverändert in das Tool übertragen, auch wenn sie bereichsspezifisch inkonsistent oder ineffizient sind. Gleichzeitig werden Datenqualität und Migrationsaufwand unterschätzt, Schnittstellen zu bestehenden Systemen unzureichend berücksichtigt und fachliche Zuständigkeiten nicht entlang der gemeinsamen Objekte geklärt. Das Ergebnis ist kein integriertes Steuerungsinstrument, sondern ein weiteres System, das bestehende Brüche lediglich sichtbar macht.

Gleichzeitig zeigt die Erfahrung, dass die DORA-Anforderungen ab einer gewissen Institutsgröße ohne toolgestützte Steuerung nicht mehr effizient erfüllbar sind. Die strukturierte Pflege des Informationsregisters, die Verknüpfung von Vorfällen mit betroffenen Assets und Drittparteien, die Nachverfolgung von Maßnahmen sowie die aufsichtskonforme Berichterstattung – etwa im XBRL-Format – überfordern dezentrale Excel-Lösungen schnell.

Die richtige Reihenfolge ist daher entscheidend: erst fachliche Klärung, dann technische Abbildung. Die nachfolgend dargestellten drei Spannungsfelder sollten vor jeder Tool-Auswahl adressiert sein – sie entscheiden über den Erfolg der Implementierung.

Voraussetzungen für eine integrierte Resilienzsteuerung

Informationen zu Geschäftsprozessen, IKT-Assets und Dienstleistern liegen häufig redundant in verschiedenen Systemen – mit abweichenden Granularitäten und Bezeichnungen. Vor jeder Tool-Auswahl sollte geklärt sein: Welches gemeinsame Datenmodell verbindet Assets, Prozesse, Drittparteien, Risiken und Vorfälle? Welche Funktion ist datenführend für welches Objekt? Ohne diese Klarheit lässt sich auch das DORA-Informationsregister nicht effizient erzeugen.

Zwischen 1st und 2nd Line, IT, Einkauf, Risikomanagement und Compliance ist oft unklar, wer welche Datenobjekte pflegt und welche Bewertungen verantwortet. Unter dem Zeitdruck von Meldepflichten wird diese Unschärfe zum Risiko. Erfolgreiche DORA-Umsetzungen klären Rollen entlang der gemeinsamen Objekte – nicht entlang der bestehenden Abteilungslogik. Das Tool bildet diese Rollen anschließend ab, definiert sie aber nicht.

Risikobewertungen, Kritikalitätseinstufungen und BIA-Logiken folgen je nach Bereich unterschiedlichen Skalen. Eine durchgängige Aussage zur operativen Resilienz erfordert eine harmonisierte Methodik – ohne bereichsspezifische Besonderheiten vollständig einzuebnen. Wo Abweichungen sachlich begründet sind, sollten sie dokumentiert und überleitbar gemacht werden, damit Aggregationen für Berichte und Steuerung tragfähig bleiben.

Was erfolgreiche DORA-Implementierungen unterscheidet

Wo Tool-Einführungen im DORA-Kontext erfolgreich verlaufen, sehen wir wiederkehrende Muster. Eine frühe Einbindung der 2nd Line stellt sicher, dass Bewertungslogiken auch aus Risikosicht tragfähig sind. Ein iteratives Vorgehen – Beginn mit dem Informationsregister und dem IKT-Risikomanagement, schrittweise Erweiterung um Vorfall- und Auslagerungsprozesse – reduziert Komplexität und schafft frühe Wirksamkeitsnachweise gegenüber Aufsicht und Vorstand. Eine klare Abgrenzung zu bestehenden Systemen wie IT-Servicemanagement, Vertragsmanagement oder GRC-Altlösungen verhindert Doppelpflege. Und schließlich entscheidet die bewusste Steuerung der Konfigurationstiefe über die spätere Wartbarkeit: Eine zu starke Individualisierung erschwert Releasewechsel und regulatorische Updates.

DORA ist damit ein Integrationsthema. Tools sind notwendig, aber nicht hinreichend. Institute, die die Verordnung als Anlass nehmen, ihre Resilienzsteuerung methodisch und organisatorisch neu zu ordnen, schaffen mehr als regulatorische Konformität – sie gewinnen eine belastbare Grundlage für Steuerungsentscheidungen, die ohnehin zunehmend datenbasiert getroffen werden müssen. PwC Deutschland begleitet Finanzinstitute auf diesem Weg – von der methodischen Ausgestaltung über die Auswahl und Einführung geeigneter GRC-Plattformen bis zur operativen Verankerung im Steuerungsrahmen. Dabei arbeiten wir mit verschiedenen Anbietern, wie zum Beispiel Artemeon oder Formalize zusammen, um unsere Kunden effizient End-to-End begleiten zu können.

Sie haben Fragen?

Kontaktieren Sie unsere Expert:innen

Sie möchten wissen, welches Tool für Sie das richtige ist oder ob die aktuell eingesetzten Tools bereits optimal und Compliance-konform genutzt werden?

Wir bieten Ihnen gerne ein initiales Beratungsgespräch oder einen Tages-Workshop an, um gemeinsam einen Blick auf Ihre aktuelle oder geplante GRC-Toollandschaft zu werfen.

Melden Sie sich gerne bei uns.

Die Autor:innen

Philipp Schulz

Partner, DORA Lead, PwC Germany

Philipp ist Partner im Bereich Cyber Security für Finanzdienstleister bei PwC Deutschland in Düsseldorf und verantwortlich für das Thema DORA in Deutschland und EMEA. In den letzten Jahren hat er eine Vielzahl von IT-Prüfungs- und IT-Beratungsprojekten für Kunden aus dem Finanzdienstleistungssektor (Banken, Versicherungen, Vermögensverwaltung und deren IT-Dienstleister) geleitet und verantwortet.

E-Mail

Lea Otten

Manager, PwC Germany