DORA in der Praxis: Was Versicherer und IT-Dienstleister 2026 wirklich beachten müssen

Von der Dokumentationspflicht zur aktiven Aufsicht

Seit dem 17. Januar 2025 gilt der Digital Operational Resilience Act (DORA) unmittelbar in allen EU-Mitgliedstaaten. Für Banken, Versicherer, Zahlungsdienstleister und weitere Finanzunternehmen endete damit eine jahrelange Vorbereitungsphase. Doch 2026 hat sich der Charakter der Verordnung spürbar verändert: Aus reiner Dokumentationspflicht wird aktive Aufsicht. Die BaFin hat 2026 unmissverständlich zur Bewährungsprobe erklärt – geprüft wird nicht mehr, ob DORA implementiert wurde, sondern wie stringent.

Für IT-Verantwortliche in Versicherungsunternehmen bedeutet das: Wer DORA bislang primär als abgeschlossenes Projekt behandelt hat, sollte jetzt nachschärfen. Die eigentliche operative Bewährungsprobe beginnt gerade erst.

Die rechtliche Einordnung für Deutschland

DORA ist eine EU-Verordnung und gilt direkt, ohne dass es eines nationalen Umsetzungsgesetzes für die inhaltlichen Anforderungen bedurfte. Deutschland benötigte lediglich ein begleitendes Gesetz für Zuständigkeiten und Befugnisse – das Finanzmarktdigitalisierungsgesetz (FinmadiG), das seit Anfang 2025 die nationalen Aufsichtsbefugnisse an DORA anpasst. In der Praxis bedeutet das eine Konsolidierung: DORA ersetzt die bisherigen aufsichtlichen IT-Anforderungen der BaFin, für Versicherer konkret das Rundschreiben VAIT (Quelle: shattered.io). Was zuvor in separaten nationalen Regelwerken für Banken, Versicherer, Kapitalverwaltungsgesellschaften und Zahlungsinstitute stand, geht nun in einem einheitlichen europäischen Rahmen auf.

Zuständige Aufsichtsbehörde für DORA ist in Deutschland die BaFin, in enger Zusammenarbeit mit der Deutschen Bundesbank. Zur Vorbereitung hatte die BaFin bereits 2023 sechs Arbeitsgruppen mit Vertreterinnen und Vertretern der Industrie und der Bundesbank gegründet, die in mehr als 30 Sitzungen die Anforderungen von DORA den bisherigen VAIT-Vorgaben gegenüberstellten und daraus konkrete Handlungsbedarfe ableiteten.

Die schärfste Anforderung: Meldepflichten bei IKT-Vorfällen

Als besonders anspruchsvoll gilt in der Praxis die Meldepflicht für schwerwiegende IKT-bezogene Vorfälle. DORA schreibt hierfür ein dreistufiges, eng getaktetes Meldesystem vor:

• Erstmeldung: innerhalb von 4 Stunden nach Klassifizierung eines Vorfalls als schwerwiegend, spätestens jedoch 24 Stunden nach Entdeckung.
• Zwischenbericht: innerhalb von 72 Stunden.
• Abschlussbericht: innerhalb eines Monats.

Diese Fristen erfordern etablierte, eingeübte interne Eskalationsprozesse – von der technischen Erkennung eines Vorfalls bis zur rechtssicheren Meldung an die BaFin. Wer diese Kette nicht regelmäßig testet, läuft Gefahr, die engen Zeitfenster im Ernstfall zu verpassen.

IKT-Drittparteienrisiko: Das Register als Dauerpflicht

Ein zweiter Schwerpunkt der aktuellen Aufsichtspraxis betrifft das Management von IKT-Drittparteienrisiken. Die Frist für das erstmalige Informationsregister lag bereits zum 30. April 2025 – inzwischen mehr als ein Jahr zurück, und die Fristen laufen weiter: Für 2026 ist eine erneute Meldung des ICT-Drittanbieter-Registers im xBRL-CSV-Format vorgesehen. Betroffen sind dabei auch die großen Cloud-Anbieter: 19 IKT-Drittanbieter gelten europaweit als Critical Third-Party Providers (CTPPs) und unterliegen damit einer direkten Aufsicht durch die europäischen Aufsichtsbehörden – darunter die großen Hyperscaler.

Für Versicherer bedeutet das konkret, dass sämtliche IKT-Dienstleister – von Cloud-Infrastruktur über BiPRO-Schnittstellenanbieter bis zu spezialisierten Softwarehäusern – lückenlos im Register erfasst sein müssen, inklusive Angaben zu Art des Dienstes, Datenspeicherort, eingesetzten Subunternehmern, Vertragslaufzeit und einer dokumentierten Exit-Strategie. Die BaFin hat bereits in Workshops 2025 häufige Fehler bei der Einreichung dieser Register dokumentiert und bereitet für 2026 weitere Workshops vor – ein deutliches Signal, dass hier noch erheblicher Nachbesserungsbedarf in der Breite besteht.

Threat-Led Penetration Testing: Die nächste Stufe

Für systemrelevante Finanzinstitute schreibt DORA zudem regelmäßige, auf dem TIBER-EU-Framework der EZB basierende Penetrationstests vor – sogenanntes Threat-Led Penetration Testing (TLPT), das die gesamte IKT-Lieferkette einschließt. Konkrete Anforderungen der BaFin hierzu werden voraussichtlich im zweiten Halbjahr 2026 veröffentlicht. Versicherer, die potenziell in den Anwendungsbereich fallen, sollten diese Entwicklung aktiv verfolgen, da die Vorbereitung solcher Tests – anders als reine Dokumentationsaufgaben – signifikanten technischen und organisatorischen Vorlauf benötigt.

Der Umsetzungsstand ist ungleich verteilt

Der tatsächliche Reifegrad der DORA-Umsetzung variiert in der Praxis erheblich. Laut einer Branchenerhebung lag der durchschnittlich geplante Umsetzungsstand zum Stichtag bei etwa zwei Dritteln der Anforderungen – im besten Fall bei 90 Prozent, im schlechtesten Fall jedoch bei nur 30 Prozent. Besonders betroffen sind mittelständische Finanzunternehmen, die weder über die Ressourcen großer Konzerne noch über die vereinfachten Anforderungen nach Artikel 16 DORA für Kleinstunternehmen verfügen – sie befinden sich in einer regulatorischen Sandwichposition zwischen vollen Anforderungen und begrenzten Kapazitäten. Auch europaweit zeigt sich ein uneinheitliches Bild: Ende 2025 hatten nur rund 50 Prozent der europäischen Finanzinstitute vollständige DORA-Compliance erreicht, und rund 38 Prozent der Finanzinstitute haben ihr Compliance-Ziel im Jahresverlauf 2026 verschoben.

Praktische Handlungsempfehlungen für Versicherer und ihre IT-Dienstleister

• Meldeprozesse regelmäßig testen, nicht nur dokumentieren. Die engen Fristen von 4, 72 Stunden und einem Monat lassen sich nur einhalten, wenn Eskalationsketten eingeübt sind – eine reine Verfahrensdokumentation reicht hierfür nicht aus.
• Drittparteienregister als Daueraufgabe verstehen. Das IKT-Drittanbieter-Register ist keine einmalige Meldung, sondern muss fortlaufend gepflegt und zu festen Terminen – etwa dem 30. März – aktualisiert eingereicht werden.
• Exit-Strategien für kritische IKT-Dienstleister konkretisieren. Gerade bei Cloud-Anbietern und zentralen Schnittstellendienstleistern verlangt DORA eine dokumentierte, im Ernstfall umsetzbare Ausstiegsstrategie – ein Punkt, der in vielen Unternehmen noch unzureichend ausgearbeitet ist.
• TLPT-Anforderungen frühzeitig mitdenken. Auch wenn konkrete BaFin-Vorgaben erst im zweiten Halbjahr 2026 erwartet werden, lohnt sich eine frühzeitige Auseinandersetzung mit dem TIBER-EU-Framework, um nicht kurzfristig unter Zeitdruck zu geraten.
• DORA als Anlass zur IT-Sicherheitsarchitektur-Überprüfung nutzen. Wer DORA nicht als reine Pflichtübung, sondern als Anlass zur umfassenden Überprüfung der eigenen IT-Sicherheits- und Vertragsarchitektur begreift, gewinnt über die reine Regulatorik hinaus eine besser organisierte und dokumentierte IT-Landschaft.

Fazit

DORA-Compliance ist kein einmaliges Projekt mit einem Stichtag, sondern ein laufender Prozess, bei dem die eigentliche operative Bewährungsprobe erst 2026 beginnt. Für Versicherer und ihre IT-Dienstleister verschiebt sich der Fokus spürbar: weg von der reinen Erstimplementierung, hin zur nachweisbaren, wiederholbaren Praxis bei Meldewesen, Drittparteienmanagement und Resilienztests. Wer diese Bewährungsprobe ernst nimmt, sichert sich nicht nur regulatorische Rechtssicherheit, sondern auch eine belastbarere IT-Sicherheitsorganisation insgesamt.