Fragmentierte IT bleibt Risiko Ein Jahr DORA: Banken ohne Front-to-Back-Strategie stehen unter Druck

Anbieter zum Thema

Objectway

easy software AG

Flexera Software GmbH

Yorizon GmbH & Co. KG

Ein Jahr nach Inkrafttreten von DORA zeigt sich, wie stark fragmentierte IT-Strukturen Banken unter regulatorischen Druck setzen. 2026 wird zum Praxistest für operative Resilienz.

Seit dem 17. Januar 2025 ist der Digital Operational Resilience Act (DORA) für Finanzinstitute in der EU verbindlich. Seine praktischen Auswirkungen werden jedoch erst 2026 deutlich. Nach einem Jahr, das vielerorts von Registeraufbau, Richtlinienarbeit und organisatorischer Neuordnung geprägt war, beginnt nun die Phase, in der Aufsichtsbehörden konkrete Wirksamkeit einfordern: belastbare Prozesse, getestete Resilienz und Transparenz über Abhängigkeiten. Besonders unter Druck geraten Institute mit historisch gewachsenen, fragmentierten IT-Strukturen.

Von der Theorie zur operativen Resilienz

Die europäische Finanzbranche befindet sich damit im ersten vollständigen Jahr unter aktiver DORA-Aufsicht. Obwohl die Regulierung bereits 2025 angewendet wurde, stand dieses Jahr in vielen Häusern im Zeichen der Orientierung. Register wurden erstellt, Zuständigkeiten definiert und bestehende Anforderungen gebündelt. Das war notwendig, aber es war der leichtere Teil. 2026 markiert den Übergang in eine Phase, in der nicht mehr die Dokumentation im Vordergrund steht, sondern die tatsächliche Belastbarkeit. Entscheidend ist, ob Strukturen im Ernstfall funktionieren.

Dabei ist DORA kein Projekt mit Enddatum, sondern ein dauerhaftes Aufsichtsregime mit laufenden Prüf-, Melde- und Testpflichten. Jetzt zeigt sich, welche Institute regulatorische Resilienz tatsächlich operationalisiert haben und welche sich vor allem auf formale Compliance gestützt haben.

Fragmentierte Banken-IT wird zum Compliance-Risiko

Inhaltlich ist DORA keine reine IT-Verordnung. Sie umfasst Governance, Risikomanagement, Incident-Handling, Resilienztests sowie den Umgang mit IKT-Drittanbietern, und das über alle Geschäftsbereiche hinweg. Genau hier liegt für viele Institute eine strukturelle Herausforderung. In der Praxis bestehen weiterhin fragmentierte Front-, Middle- und Back-Office-Landschaften. Prozesse verteilen sich auf unterschiedliche Systeme, Daten werden redundant vorgehalten, Verantwortlichkeiten folgen gewachsenen Silos.

Solange regulatorische Anforderungen punktuell adressiert wurden, ließ sich diese Komplexität verwalten. Mit DORA ändert sich das grundlegend. Resilienz lässt sich nur dort überzeugend nachweisen, wo Abhängigkeiten transparent sind. Im Kern geht es um drei Fragen: Welche Systeme sind für kritische Prozesse relevant? Welche Auswirkungen haben Störungen entlang der Prozesskette? Und welche Drittanbieter sind eingebunden, einschließlich ihrer Substituierbarkeit? Gerade an Schnittstellen entstehen Risiken. Wo Systeme nicht integriert sind, wird die Vorfallanalyse komplex, Resilienztests werden aufwendig und die Steuerung verliert an Präzision. Fragmentierung wird damit vom Effizienzproblem zum aufsichtsrechtlichen Risiko.

Resiliente Betriebsmodelle: von SaaS bis BPaaS

Zugleich zeigt DORA, dass operative Resilienz nicht allein technologisch zu verstehen ist, sondern eng mit dem Betriebsmodell zusammenhängt. Software-as-a-Service und Business-Process-as-a-Service gewinnen strategisch an Bedeutung. Insbesondere BPaaS ermöglicht standardisierte, automatisierte und resilientere Prozesse mit klaren Verantwortlichkeiten und definierten Service-Level-Agreements.

Voraussetzung bleibt, dass Institute über die gesamte Prozesskette hinweg Transparenz und Kontrolle behalten – von Datenflüssen und Sicherheitsmechanismen bis zu Incident-Management und Exit-Szenarien. Die Zusammenarbeit mit Partnern, die belastbare Governance- und Kontrollstrukturen nachweisen können, wird damit zum entscheidenden Faktor. Denn auch wenn kritische Drittanbieter künftig strenger beaufsichtigt werden, bleibt die Verantwortung letztlich beim Institut. Integrierte Servicemodelle sind zentral, um Risiken zu bewerten und regulatorische Anforderungen konsistent zu erfüllen.

Souveräne Cloud zwischen Anspruch und Wirklichkeit

Digitale Souveränität im Finanzsektor: Geht das?

2026 als Wendepunkt für Institute

Ein Jahr nach Inkrafttreten wird deutlich: DORA entfaltet seine Wirkung nicht auf dem Papier, sondern in der operativen Umsetzung. 2026 wird zum Wendepunkt – weg von formaler Compliance, hin zu gelebter Resilienz. Institute müssen ihre Architektur- und Betriebsentscheidungen neu bewerten, wenn sie weiterhin resilient bleiben und vor allen Dingen mit dem Wettbewerb mithalten wollen.

Dabei gilt: Front-to-Back-Integration, modulare Architekturen und servicebasierte Modelle sollten keine Schlagworte mehr für die Entscheider sein, sondern konkrete Antworten auf eine veränderte Aufsichtspraxis. Wer diese Transformation konsequent angeht, wird DORA nicht nur erfüllen, sondern daraus nachhaltige Stärke gewinnen.

(ID:50783860)