DORA-Umsetzung in der Praxis: Wo Finanzinstitute tatsächlich stehen

Der Digital Operational Resilience Act (DORA) hat das Thema digitale Resilienz fest im Alltag vieler Finanzinstitute verankert und dafür gesorgt, dass es nicht mehr als isoliertes IT-Thema betrachtet wird, sondern als verbindlicher Bestandteil der operativen Steuerung. Finanzinstitute müssen Risikomanagement, Vorfallprozesse, Tests und Drittparteiensteuerung in ein konsistentes Rahmenwerk überführen – und vor allem im Tagesgeschäft nachweisbar machen.

Unsere Benchmark-Übersicht zeigt: Die grundlegenden Governance-Strukturen stehen in den meisten Unternehmen. Die zentrale Herausforderung liegt inzwischen in der operativen Umsetzung. Viele Finanzinstitute verfügen über Rollen, Richtlinien und dokumentierte Prozesse – aber deutlich weniger über Nachweise, dass diese unter realen Bedingungen funktionieren. Unsere Publikation zeigt, wo die Branche tatsächlich steht – und wo noch Raum für Verbesserungen besteht.

Wo liegen die größten Lücken in der praktischen Umsetzung?

Die Reifegrade sind stark unterschiedlich, je nach Themenfeld. Während Governance-Modelle weitgehend etabliert sind, fehlt es oft an konsequenter operativer Umsetzung und belastbarer Evidenz.

Besonders deutlich wird das in vier Bereichen:

ICT Risk Management

Es ist strukturell weit entwickelt, aber die Qualität von Kennzahlen, Methodik und Reporting variiert erheblich.
Incident Management

Es verfügt über solide technische Grundlagen, hat aber Schwächen bei Klassifikation, Eskalation und Wirkungsmessung.
Third Party Risk Management

Es steht unter hohem Anpassungsdruck – insbesondere bei Verträgen, Steuerung und Exit-Fähigkeit.
Testing & Audit

Es ist formalisiert, bleibt aber in der Intensität und Frequenz hinter den Anforderungen zurück.

Bereit für ein Gespräch? Kontaktieren Sie uns

Jetzt Studie herunterladen

picture_as_pdf

Whitepaper

DORA Implementation Survey - 2026 Benchmarking Exercise

Füllen Sie hier das Formular aus, um die KPMG-Publikation zu erhalten:

Wie priorisieren Finanzinstitute die DORA-Umsetzung?

Kaum ein Institut setzt DORA vollständig gleichmäßig um. Stattdessen dominiert ein risikobasierter Ansatz. Kritische Funktionen und abhängige Dienstleister werden priorisiert, während weniger kritische Bereiche bewusst langsamer entwickelt werden.

Das führt zu einem zweigeteilten Bild:

Fortschritte sind dort sichtbar, wo regulatorischer Druck und Risikorelevanz hoch sind (z. B. kritische Dienstleister).
Gleichzeitig entstehen bewusst akzeptierte Reifegradunterschiede innerhalb der Organisation.

Hinzu kommt: Nicht die Höhe der Investitionen entscheidet über den Fortschritt, sondern die gewählten Methoden. Unterschiedliche Ansätze bei Klassifikation, Asset-Zuordnung oder Metriken führen zu deutlich abweichenden Ergebnissen – selbst bei vergleichbaren Strukturen. Unser Paper liefert damit eine wichtige Einordnung: Fortschritt ist kein reines Budgetthema, sondern eine Frage der Umsetzungssystematik.

Was bedeutet das konkret für Ihre Organisation?

Für Entscheider:innen unterhalb der obersten Führungsebene liefert die Publikation vor allem drei konkrete Nutzen:

Standortbestimmung realistisch einordnen

Sie sehen, ob Ihre Organisation tatsächlich auf Augenhöhe mit dem Markt agiert – oder ob vermeintliche Fortschritte nur strukturell bestehen.
Fokus richtig setzen
Der größte Hebel liegt aktuell nicht in neuen Governance-Modellen, sondern in:
- operativer Nachweisfähigkeit
- konsistenter Methodik
- belastbaren KPIs und Tests
Prioritäten schärfen

Unsere Analyse zeigt, wo andere Finanzinstitute bewusst priorisieren – und wo Risiken durch zu langsames Nachziehen entstehen (insbesondere bei Drittparteien und Testing). Die Übersicht unterstützt Sie, Ihre DORA-Umsetzung vom Konzept in eine belastbare, prüfungssichere Praxis zu überführen.