DORA-Prüfung durch die Interne Revision: IKT-Risiko, Resilienztests und Drittparteienrisiko

Mit dem Digital Operational Resilience Act (DORA, Verordnung (EU) 2022/2554) gilt seit dem 17. Januar 2025 ein unmittelbar anwendbarer, EU-weiter Rahmen für die digitale operationale Resilienz des Finanzsektors. Für die Interne Revision ist DORA in doppelter Hinsicht relevant: als umfangreiches Prüfungsfeld und – nach Art. 6 Abs. 6 DORA – als ausdrücklicher gesetzlicher Prüfauftrag zum IKT-Risikomanagementrahmen. Dieser Beitrag zeigt, was die Interne Revision im Rahmen von DORA prüfen sollte, und grenzt DORA vom Auslagerungsmanagement nach MaRisk AT 9 ab.

Was ist DORA?

DORA ist die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor. Sie wurde am 14. Dezember 2022 erlassen und gilt seit dem 17. Januar 2025 unmittelbar in allen Mitgliedstaaten (Art. 64). Adressaten sind nahezu alle Finanzunternehmen sowie IKT-Drittdienstleister.

Für Finanzunternehmen stehen dabei insbesondere fünf Themenfelder im Vordergrund: das IKT-Risikomanagement (Art. 5 ff.), die Behandlung und Meldung IKT-bezogener Vorfälle (Art. 17 ff.), das Testen der digitalen operationalen Resilienz (Art. 24 ff.), das Management des IKT-Drittparteienrisikos (Art. 28 ff.) sowie der Informationsaustausch (Art. 45). Hinzu kommt der auf EU-Ebene angesiedelte Überwachungsrahmen für kritische IKT-Drittdienstleister (Art. 31–44). „IKT-Dienstleistungen" sind in Art. 3 Nr. 21 DORA legaldefiniert.

DORA und die Interne Revision (Art. 6 Abs. 6)

DORA enthält einen ausdrücklichen gesetzlichen Prüfauftrag zum IKT-Risikomanagementrahmen. Für Finanzunternehmen, die dem regulären IKT-Risikomanagementrahmen nach Art. 5–15 DORA unterliegen, verlangt Art. 6 Abs. 6 DORA eine regelmäßige interne Revision des Rahmens durch Prüfer mit ausreichendem Wissen und Fachwissen im Bereich IKT-Risiken und angemessener Unabhängigkeit, auf Basis eines risikoorientierten Prüfungsansatzes. Kleinstunternehmen sind hiervon ausgenommen.

Für Finanzunternehmen, die dem vereinfachten IKT-Risikomanagementrahmen nach Art. 16 DORA unterliegen, gilt Art. 6 Abs. 6 nicht, weil die Art. 5–15 durch den vereinfachten Rahmen ersetzt werden. Revisionsfrei sind diese Unternehmen deshalb aber nicht: Eine eigenständige Pflicht zur internen Revision des vereinfachten Rahmens ergibt sich aus Art. 28 der Delegierten Verordnung (EU) 2024/1774.

Für die Revision bedeutet das: ausreichende IKT-Kompetenz (eigen oder über Co-Sourcing), eine regelmäßige, risikoorientierte Prüfung des jeweils einschlägigen Rahmens und der Blick auf dessen Gesamtwirksamkeit – nicht nur auf einzelne technische Kontrollen.

IKT-Risikomanagementrahmen (Art. 5 und 6)

Nach Art. 5 DORA verfügen Finanzunternehmen über einen internen Governance- und Kontrollrahmen, der ein wirksames und umsichtiges Management von IKT-Risiken gewährleistet. Das Leitungsorgan trägt die Letztverantwortung für das IKT-Risikomanagement; DORA verlangt klare Rollen und Zuständigkeiten. Operative Aufgaben können zugewiesen werden – die Letztverantwortung verbleibt jedoch beim Leitungsorgan.

Art. 6 DORA konkretisiert den IKT-Risikomanagementrahmen: Strategien, Leitlinien, Verfahren, IKT-Protokolle und Instrumente zum Schutz der Informations- und IKT-Assets. Prüfungsschwerpunkte der Internen Revision sind insbesondere:

• Vollständigkeit und Angemessenheit des IKT-Risikomanagementrahmens,
• klare Verantwortlichkeiten und Einbindung des Leitungsorgans (Art. 5),
• Identifikation und Klassifizierung der IKT-gestützten Funktionen und Assets,
• Schutz-, Erkennungs-, Reaktions- und Wiederherstellungsmaßnahmen,
• IKT-Geschäftsfortführungs- sowie Reaktions- und Wiederherstellungspläne.

Behandlung und Meldung IKT-bezogener Vorfälle (Art. 17 ff.)

Kapitel III DORA verlangt einen Prozess zur Behandlung IKT-bezogener Vorfälle: Erkennung, Handhabung, Klassifizierung nach einheitlichen Kriterien sowie die Meldung schwerwiegender IKT-bezogener Vorfälle an die zuständigen Behörden. Die Delegierte Verordnung (EU) 2025/301 konkretisiert Inhalte und Fristen: Erstmeldung so früh wie möglich, spätestens vier Stunden nach Einstufung als schwerwiegend und spätestens 24 Stunden nach Kenntniserlangung; Zwischenmeldung grundsätzlich innerhalb von 72 Stunden nach der Erstmeldung; Abschlussbericht grundsätzlich spätestens einen Monat nach der Erstmeldung.

Prüfungsschwerpunkte der Internen Revision: nachvollziehbare Klassifizierungskriterien, vollständige Erfassung und Dokumentation der Vorfälle, Einhaltung der Melde- und Fristenvorgaben sowie die Wirksamkeit der Reaktions- und Eskalationsprozesse.

Testen der digitalen operationalen Resilienz (Art. 24 ff.)

Nach Art. 24 DORA richten Finanzunternehmen ein Programm zum Testen der digitalen operationalen Resilienz ein; Kleinstunternehmen sind von einem formalen Testprogramm ausgenommen (Art. 24 Abs. 1). Für Finanzunternehmen, die keine Kleinstunternehmen sind, verlangt Art. 24 Abs. 6 mindestens jährlich angemessene Tests sämtlicher IKT-Systeme und -Anwendungen, die kritische oder wichtige Funktionen unterstützen. Kleinstunternehmen unterliegen gleichwohl risikobasierten Tests nach Art. 25 Abs. 3.

Für bestimmte Finanzunternehmen kommen zusätzlich bedrohungsgeleitete Penetrationstests (TLPT) hinzu. Erfasst sind Finanzunternehmen, die von der zuständigen Behörde nach den Kriterien des Art. 26 Abs. 8 DORA identifiziert werden; TLPT sind grundsätzlich mindestens alle drei Jahre durchzuführen, wobei die Behörde die Frequenz risikobasiert anpassen kann. Die Details konkretisiert die Delegierte Verordnung (EU) 2025/1190. Die Interne Revision sollte prüfen, ob ein angemessenes Testprogramm besteht, ob Testtiefe und -frequenz den Vorgaben entsprechen und ob festgestellte Schwächen nachverfolgt und behoben werden.

Management des IKT-Drittparteienrisikos (Art. 28–30)

Kapitel V DORA regelt das Management des IKT-Drittparteienrisikos. Nach Art. 28 DORA managen Finanzunternehmen dieses Risiko als integralen Bestandteil ihres IKT-Risikomanagements und bleiben trotz Nutzung externer Dienstleister jederzeit in vollem Umfang verantwortlich. Art. 29 DORA adressiert das IKT-Konzentrationsrisiko. Art. 30 DORA regelt die vertraglichen Bestimmungen: Art. 30 Abs. 2 enthält Mindestanforderungen für sämtliche IKT-Dienstleistungsverträge; Art. 30 Abs. 3 enthält zusätzliche Anforderungen für IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen – insbesondere erweiterte Zugangs-, Inspektions- und Auditrechte sowie Übergangs- und Ausstiegsregelungen.

Prüfungsschwerpunkte: vollständiges Informationsregister zu vertraglichen Vereinbarungen über IKT-Dienstleistungen, Risiko- und Konzentrationsbewertungen, vertragliche Mindestinhalte nach Art. 30 Abs. 2 sowie – bei kritischen oder wichtigen Funktionen – die zusätzlichen Anforderungen nach Art. 30 Abs. 3 und tragfähige Ausstiegsstrategien.

Prüft die Interne Revision das IKT-Drittparteienrisikomanagement, ist seit dem 15. September 2026 nach den IIA-Berufsstandards zudem die Anwendbarkeit des Topical Requirement Drittparteien zu beurteilen. Es knüpft nicht an den aufsichtlichen Auslagerungsbegriff an und erfasst daher auch IKT-Drittdienstleister.

Abgrenzung zu MaRisk AT 9 und § 25b KWG

Für den Anwendungsbereich von MaRisk AT 9 ist die Abgrenzung seit der MaRisk-Fassung 06/2026 ausdrücklich geregelt: IKT-Dienstleistungen im Sinne des Art. 3 Nr. 21 DORA, die dem IKT-Drittparteienrisikomanagement nach Art. 28–30 DORA unterliegen, fallen nicht in den Anwendungsbereich von AT 9 (vgl. BaFin, MaRisk AT 9 Tz. 1).

Davon zu unterscheiden ist die gesetzliche Einordnung nach § 25b KWG: Die Vorschrift enthält selbst keinen entsprechenden ausdrücklichen DORA-Ausschluss. „DORA" und „§ 25b KWG/AT 9" sollten daher nicht pauschal als einheitliches Alternativregime dargestellt werden; maßgeblich sind die jeweiligen gesetzlichen Anwendungsbereiche. Auch die vereinfachende Formel „IKT gleich DORA, alles andere gleich AT 9" greift zu kurz. Für jede Drittbeziehung sollte die Interne Revision nachvollziehbar dokumentieren, welchem Regime sie unterliegt. Für Wertpapierinstitute gilt zusätzlich die entsprechende Abgrenzung in den WpI MaRisk.

Proportionalität und vereinfachter Rahmen (Art. 16)

DORA folgt dem Grundsatz der Verhältnismäßigkeit: Die Anforderungen sind nach Größe, Gesamtrisikoprofil sowie Art, Umfang und Komplexität der Tätigkeiten auszugestalten. Für bestimmte Finanzunternehmen sieht Art. 16 DORA einen vereinfachten IKT-Risikomanagementrahmen vor, der die Art. 5–15 ersetzt. Auch für diesen vereinfachten Rahmen besteht eine interne Revisionspflicht (Art. 28 der Delegierten Verordnung (EU) 2024/1774).

Kleinstunternehmen sind von einzelnen Pflichten ausgenommen – etwa vom formalen Testprogramm (Art. 24 Abs. 1) und von der internen Revision des regulären Rahmens nach Art. 6 Abs. 6 –, unterliegen aber risikobasierten Tests nach Art. 25 Abs. 3. Für die Revision heißt das: Sie prüft nicht nur die Einhaltung, sondern auch, ob in Anspruch genommene Erleichterungen sachgerecht begründet und dokumentiert sind und zum tatsächlichen Risikoprofil passen.

Was die Interne Revision jetzt prüfen sollte

Aus DORA folgt zunächst der ausdrückliche gesetzliche Prüfauftrag zum IKT-Risikomanagementrahmen (Art. 6 Abs. 6). Darüber hinaus ist es revisionsfachlich geboten, die weiteren DORA-Themenfelder risikoorientiert in das Prüfungsuniversum (Audit Universe) aufzunehmen. Insbesondere sollte die Interne Revision beurteilen:

• Governance: Verantwortung und Einbindung des Leitungsorgans für den IKT-Risikomanagementrahmen (Art. 5).
• IKT-Risikomanagement: Wirksamkeit des Rahmens (Art. 6) sowie die interne Revision des einschlägigen Rahmens – regulär nach Art. 6 Abs. 6, beim vereinfachten Rahmen nach Art. 28 der Delegierten VO (EU) 2024/1774.
• Vorfälle: Klassifizierung, Dokumentation und fristgerechte Meldung schwerwiegender IKT-Vorfälle (Art. 17 ff.; Fristen nach Del. VO (EU) 2025/301).
• Resilienztests: mindestens jährliche Tests kritischer/wichtiger Systeme (Art. 24 Abs. 6), ggf. TLPT (Art. 26), Nachverfolgung der Feststellungen.
• Drittparteienrisiko: Informationsregister, Risiko-/Konzentrationsbewertungen, Vertragsinhalte nach Art. 30 Abs. 2/3, Ausstiegsstrategien (Art. 28 ff.).
• Abgrenzung: nachvollziehbare Zuordnung jeder Drittbeziehung zu DORA bzw. MaRisk AT 9.
• Proportionalität: sachgerechte Begründung in Anspruch genommener Erleichterungen (Art. 16).

Fazit

DORA macht die digitale operationale Resilienz zu einem eigenständigen, prüfungsrelevanten Governance-Thema. Mit Art. 6 Abs. 6 benennt die Verordnung die Interne Revision ausdrücklich als Prüfinstanz des IKT-Risikomanagementrahmens; für den vereinfachten Rahmen nach Art. 16 ergibt sich die Revisionspflicht aus Art. 28 der Delegierten Verordnung (EU) 2024/1774. Die weiteren Themenfelder – Vorfälle, Tests und Drittparteienrisiko – gehören risikoorientiert in das Prüfungsuniversum.

Die Letztverantwortung für IKT-Risiken verbleibt beim Leitungsorgan des Instituts. Die Interne Revision liefert die unabhängige Beurteilung, ob der IKT-Risikomanagementrahmen insgesamt angemessen und wirksam ist.