DORA RISIKEN – Wird Resilienz zur Bedrohung?

DORA – die Digital Operational Resilience Act – gilt als regulatorisches Meisterstück im Kampf gegen Cyberrisiken und IT-Ausfälle im Finanzsektor. Doch je tiefer man in die Pflichten und Sanktionen eintaucht, desto drängender wird eine Frage:

Könnte DORA selbst zu einem Risiko werden?

Ausgangspunkt: Was droht bei Verstößen?

Gemäß Artikel 50 der DORA-Verordnung können Unternehmen bei Verstößen mit bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes belangt werden – je nachdem, welcher Betrag höher ist.

Was als notwendiges Druckmittel zur Compliance gedacht ist, wirft in der Praxis existenzielle Fragen auf:

• Können kleine und mittlere Finanzunternehmen diese Sanktionen überstehen?

• Was passiert mit regionalen IT-Dienstleistern, wenn sie als „kritisch“ eingestuft werden, aber nicht compliant sind?

• Erreicht man mit dem DORA-Regime tatsächlich mehr Sicherheit – oder nur mehr Bürokratie?

Hypothese: DORA als systemischer Risikofaktor

Während DORA der systemischen Resilienz dienen soll, könnten gerade kleinere Marktteilnehmer durch den Umsetzungsdruck in wirtschaftliche Schieflage geraten. Wenn viele kleine Akteure aus dem Markt gedrängt werden, entsteht eine neue Konzentration – und damit ein neues systemisches Risiko.

These:

Wenn die DORA-Pflichten strukturell benachteiligen, fördern sie langfristig nicht Resilienz, sondern Monopolisierung.

Worst Case: Wer könnte durch DORA in Schieflage geraten?

Hinweis: Es handelt sich hier nicht um Vorwürfe oder Prognosen, sondern um hypothetische Beispiele auf Basis öffentlich zugänglicher Daten (Bilanzsummen, Geschäftsmodelle, Brancheneinschätzungen).

Banken mit kritischer Bilanzgröße

Versicherungsunternehmen mit enger Marge

KRITIS- und IT-Unternehmen (anonymisiert)

Fazit: Die Zahl potenziell gefährdeter Organisationen ist größer als man denkt – besonders im Mittelstand, wo Liquidität oft knapp ist und Compliance-Aufwand nicht skalierbar ist.

Der Preis der Resilienz

Direkte Kosten:

• Personal für DORA-Compliance (Juristen, IT-Risikomanager)

• Tooling: GRC, SIEM, automatisiertes Reporting

• Vertragsverhandlungen & Monitoring mit Drittanbietern

Indirekte Kosten:

• Verzögerung von Digitalprojekten

• Outsourcing nur noch an zertifizierte Partner möglich

• Haftungsfragen in Geschäftsführung und IT-Betrieb

Frage: Ist das proportional für Unternehmen mit < 100 Mitarbeitenden?

Kritik: DORA trifft die Falschen?

Während große Konzerne (z. B. Allianz, Deutsche Bank, Generali) eigene Compliance-Abteilungen mit dutzenden Mitarbeitenden unterhalten, kämpfen kleinere Akteure um jede Stelle. DORA trifft sie mit gleicher Härte.

Potenzielle Effekte:

• Rückzug von FinTechs aus der EU

• Einschränkung regionaler IT-Versorgung

• Konsolidierung im KRITIS-Sektor

• Innovationsbremse durch Compliance-Aufwand

Beispiel: Laut Bitkom würden nur noch 19 % der FinTech-Gründer Deutschland erneut als Standort wählen. DORA könnte diesen Trend verstärken.

Fazit: Mehr Schaden als Nutzen?

DORA ist ein gut gemeintes Gesetz mit ambitionierten Zielen. Doch wie bei vielen Regulierungen liegt die Tücke im Detail – und in der Skalierung.

Ein Bußgeld, das für Großbanken ein Quartalsrisiko darstellt, kann für kleinere Marktteilnehmer den Todesstoß bedeuten.

Daher braucht es:

• Proportionalität in der Sanktionierung

• Förderprogramme für Compliance-Tooling

• Regulatorisches Sandboxing für Startups & KMU

Nur dann wird DORA zum echten Resilienzgewinn – und nicht zum Risiko für die Vielfalt des europäischen Finanzökosystems.

Quellenverzeichnis

Allgemeine Quellen

• DORA-Verordnung (EU) 2022/2554 – EUR-Lex
• Delegierte Verordnung (EU) 2024/1772 – Schwellenwerte
• BaFin – Aufsicht über Banken und Versicherer
• BSI – Bundesamt für Sicherheit in der Informationstechnik

Banken & Versicherer

• Liste der größten Banken in Deutschland – Wikipedia
• Liste der größten Versicherungen in Deutschland – Wikipedia
• Geschäftsberichte (Commerzbank, Deutsche Bank, Sparkassen etc.)

FinTechs & Finanzdienstleister

• Raisin Bank – Unternehmensprofil
• Tomorrow Bank – Geschäftszahlen & Kritik
• Scalable Capital – Presseinformationen
• Trade Republic – Pressebereich
• Solaris SE – BaFin-Maßnahmen
• Bitkom FinTechs in Deutschland 2024 – PDF

KRITIS & Versorger

• BSI KRITIS-Sektorenliste (nach BSI-KritisV)
• HHLA – Geschäftsbericht
• Gelsenwasser – Jahresabschluss
• Sana Kliniken – Unternehmensprofil

IT-Dienstleister

• DATEV eG – Unternehmensprofil
• Atruvia AG – Jahresbericht
• Finanz Informatik – Geschäftsbericht Sparkassen-IT
• NTT Data Deutschland
• T-Systems – Rechenzentrumsbetrieb