Geschäftsfortführung und Resilienz
Rechtsstand: 10. September 2026 | Lesezeit: rund 13 Minuten | Übersichtsseite mit Verweisen auf die Einzelthemen
Notfallmanagement war bis 2025 ein Thema mit einem Regelwerk. Seit die IT-Anforderungen aus AT 7.2 der MaRisk herausgenommen und auf DORA verlagert sind, sind es zwei. Diese Seite ordnet beide Stränge ein, zeigt die Berührungspunkte und führt zu den Einzelthemen.
Vor der 9. MaRisk-Novelle deckten AT 7.2 und AT 7.3 gemeinsam die IT-Sicherheit und das Notfallmanagement ab, und Prüfungen betrachteten beides zusammen. Mit der Fassung vom 30. Juni 2026 ist der IT-Teil entfallen; für IKT-Sachverhalte gilt DORA.
Daraus folgt eine Aufgabe, die vorher nicht existierte: Jedes Szenario, jeder Plan und jeder Test ist einem der beiden Regelwerke zuzuordnen. Ein Ausfall des Kernbankensystems ist ein IKT-Sachverhalt, ein Gebäudeausfall nicht, ein Dienstleisterausfall je nach Leistung einer von beiden.
Organisatorisch dürfen beide Stränge weiterhin in einer Einheit oder bei einer Person liegen. Das ändert nichts daran, dass die Anforderungen getrennt zu erfüllen und die Zuordnung nachvollziehbar zu dokumentieren ist.
Für die Geschäftsleitung ist Notfallmanagement damit doppelt adressiert: über die Gesamtverantwortung nach § 25a Abs. 1 KWG und AT 3 der MaRisk und über die ausdrückliche Zuweisung an das Leitungsorgan in Art. 5 DORA.
Die Gegenüberstellung zeigt, was sich unterscheidet – und dass die Struktur beider Regelwerke einander stark ähnelt. Genau das macht die Verwechslung wahrscheinlich.
| Punkt | AT 7.3 MaRisk | DORA |
|---|---|---|
| Rechtsgrundlage | AT 7.3 MaRisk in der Fassung vom 30. Juni 2026 | Kapitel II der Verordnung (EU) 2022/2554, insbesondere Art. 11 und Art. 12 |
| Gegenstand | Notfallmanagement für Sachverhalte ohne IKT-Bezug | IKT-Geschäftsfortführungsleitlinie, Reaktions- und Wiederherstellungspläne für IKT-Sachverhalte |
| Auslösendes Kriterium | Aktivitäten und Prozesse, die kritische oder wichtige Funktionen unterstützen | Kritische oder wichtige Funktionen im Sinne von Art. 3 Nr. 22 DORA |
| Kernbestandteile | Notfallkonzept mit Geschäftsfortführungs- und Wiederherstellungsplänen auf Basis plausibler Szenarien | Leitlinie, Pläne, Kommunikationspläne und regelmäßige Tests der digitalen operationalen Resilienz |
| Prüfung durch die Revision | Teil des Prüfungsuniversums nach AT 4.4.3 Tz. 5 | Art. 11 Abs. 3 DORA verlangt eine unabhängige interne Überprüfung der Pläne |
| Verantwortung | Gesamtverantwortung der Geschäftsleitung nach AT 3 und § 25a Abs. 1 KWG | Ausdrückliche Zuweisung an das Leitungsorgan nach Art. 5 DORA |
Der praktische Fehler liegt selten darin, eines der beiden Regelwerke zu übersehen. Er liegt darin, ein Notfallkonzept für beide Welten zu führen und im Prüfungsfall nicht zeigen zu können, welche Anforderung durch welchen Bestandteil erfüllt wird.
Der Kern ist knapp formuliert und in der Umsetzung anspruchsvoll: Vorsorge durch ein Notfallkonzept, und zwar für die Aktivitäten und Prozesse, die kritische oder wichtige Funktionen unterstützen.
Das Notfallkonzept muss Geschäftsfortführungs- und Wiederherstellungspläne umfassen. Die Geschäftsfortführung sichert den Betrieb während der Störung, die Wiederherstellung führt in den Normalzustand zurück. Wer nur eine Planart hat, hat eine Lücke.
Die Pläne müssen auf plausiblen Szenarien und vernünftigen Annahmen beruhen. Das schließt sowohl unrealistische Extremfälle als auch beschönigende Annahmen aus – beides ist im Zweifel zu begründen.
Welche Notfallszenarien zu berücksichtigen sindWelche Aktivitäten zeitkritisch sind, ergibt sich nicht aus dem Bauchgefühl der Fachbereiche, sondern aus einer Auswirkungsanalyse. Sie ist die Vorstufe jedes belastbaren Plans.
Was ist eine Business-Impact-AnalyseWerden Aktivitäten und Prozesse ausgelagert, die kritische oder wichtige Funktionen unterstützen, müssen Institut und Auslagerungsunternehmen über abgestimmte Notfallkonzepte verfügen.
Governance im AuslagerungsmanagementEin Notfallkonzept, das nie erprobt wurde, ist eine Annahme. Die Erprobung gehört in den Jahresplan und ihr Ergebnis in die Dokumentation – auch weil die Interne Revision sie prüft.
Aufgaben der Internen RevisionUmfang und Tiefe richten sich nach Art, Umfang, Komplexität und Risikogehalt der Geschäftsaktivitäten. Auch bei kleinen Instituten entfällt die Vorsorge nicht – sie fällt schlanker aus.
MaRisk Ordnungsrahmen im ÜberblickDie drei Begriffe hängen zusammen und werden regelmäßig in der falschen Reihenfolge bearbeitet.
Der häufigste Fehler ist der Sprung von Schritt eins zu Schritt vier: Die vorhandene Technik gibt die Wiederanlaufzeit vor, und die Auswirkungsanalyse wird nachträglich so geschrieben, dass sie dazu passt. Das lässt sich in einer Prüfung schwer verteidigen, weil die Analyse dann keine Entscheidungsgrundlage mehr ist, sondern eine Begründung im Nachhinein.
Zeitkritikalität, Abhängigkeiten zwischen Prozessen, benötigte Ressourcen und die Schadenentwicklung über die Ausfalldauer.
Was in der Business-Impact-Analyse ermittelt wirdDie Auswirkungsanalyse fragt nach den Folgen eines Ausfalls, die Risikoanalyse nach seiner Ursache und Wahrscheinlichkeit. Beide sind erforderlich und ersetzen einander nicht.
Was die Risikoanalyse zum BCM feststelltRTO und RPO sind Vorgaben des Geschäfts an die Technik, keine Meldung der Technik an das Geschäft. Wer sie umgekehrt bestimmt, hat die Analyse übersprungen.
Die Kennzahlen RTO und RPOPlausibel und vernünftig sind unbestimmte Begriffe. In der Praxis hat sich eine Auswahl entlang der Ausfallgegenstände bewährt – jeder Gegenstand einmal, unabhängig von der denkbaren Ursache.
Nicht nutzbare Räumlichkeiten, unabhängig davon, ob Brand, Wasser oder eine behördliche Sperrung die Ursache ist. Ausweichflächen und Fernarbeit gehören in den Plan.
Gleichzeitiger Ausfall mehrerer Schlüsselpersonen. Der Fall ist unspektakulär und in der Praxis der häufigste – und er trifft die Vertretungsregelungen, nicht die Technik.
Ein Auslagerungsunternehmen erbringt die Leistung nicht mehr. Hier greift die Verzahnung mit AT 9 Tz. 6: Handlungsoptionen und gegebenenfalls Ausstiegsstrategien.
Auslagerung: AusstiegsstrategienDer Fall gehört in den DORA-Strang. Die Reaktions- und Wiederherstellungspläne nach Art. 11 DORA sind hier maßgeblich.
DORA: IKT-Drittanbieter und systemische RisikenStrom, Kommunikationsnetze, Zahlungsverkehrsinfrastruktur. Die Abhängigkeit ist meist bekannt, die Ausweichlösung selten erprobt.
Der Ausfall eines Dienstleisters, der zugleich für mehrere Prozesse zuständig ist, ist kein Einzelszenario. Konzentrationen gehören eigens betrachtet.
Zwingend als kritisch/wesentlich einzustufenEine Bemerkung zur Vollständigkeit: Der Normtext verlangt keine bestimmte Zahl von Szenarien. Er verlangt, dass die gewählten Szenarien plausibel sind und die zeitkritischen Aktivitäten abdecken. Eine Liste abzuarbeiten ersetzt diese Prüfung nicht.
Hier greifen Notfallmanagement und Auslagerungsmanagement ineinander – und hier entstehen die meisten Lücken, weil zwei Funktionen zuständig sind.
Bei Auslagerungen von Aktivitäten und Prozessen, die kritische oder wichtige Funktionen unterstützen, müssen Institut und Auslagerungsunternehmen über abgestimmte Notfallkonzepte verfügen. Abgestimmt bedeutet mehr als vorhanden: Die Annahmen, Zielzeiten und Auslöser müssen zueinander passen.
Ergänzend verlangt AT 9 Tz. 7 lit. g, Anforderungen für die Umsetzung und Überprüfung von Notfallkonzepten im Auslagerungsvertrag zu vereinbaren. Ohne diese Klausel lässt sich die Abstimmung nicht durchsetzen.
AT 9 Tz. 6 verlangt für Fälle unbeabsichtigter oder unerwarteter Beendigung, Handlungsoptionen auf ihre Durchführbarkeit zu prüfen und zu verabschieden. Die Erläuterung ergänzt: Existieren keine Handlungsoptionen, ist zumindest eine angemessene Berücksichtigung in der Notfallplanung erforderlich.
Das ist die Stelle, an der beide Themen formal miteinander verbunden sind – und sie funktioniert nur, wenn der Übergabepunkt zwischen Auslagerungsmanagement und Notfallmanagement definiert ist. In vielen Häusern ist er es nicht.
AT 9 Tz. 7 lit. g nennt Anforderungen für Umsetzung und Überprüfung von Notfallkonzepten als Pflichtinhalt bei wesentlichen Auslagerungen.
Mindestanforderungen an AuslagerungsvereinbarungenWann ein Notfall vorliegt und wann nur eine Schlechtleistung, entscheidet eine vorher definierte Schwelle. Die Indikatoren dafür stammen aus derselben Quelle wie die laufende Leistungsüberwachung.
Unterschiede zwischen KPIs und KRIsFehlende Abstimmung, ungetestete Pläne und ein nicht definierter Übergabepunkt sind wiederkehrende Feststellungen.
Typische PrüfungsfeststellungenNotfallmanagement zerfällt in mehrere Einzelfragen. Jeder Eintrag führt zu einem eigenen Beitrag.
Was Business Continuity Management umfasst, wie es sich vom Krisenmanagement unterscheidet und warum Resilienz mehr ist als ein Plan im Schrank.
Was versteht man unter Business Continuity ManagementDie Verschärfungen im Notfallmanagement und ihre Herkunft aus den europäischen Vorgaben.
Anforderungen an das NotfallmanagementZeitkritikalität, Abhängigkeiten und Schadenentwicklung – die Grundlage jeder Zielzeit.
Was ist eine Business-Impact-AnalyseRecovery Time Objective und Recovery Point Objective, ihre Herleitung und ihre Grenzen.
Die Kennzahlen RTO und RPOWelche Ausfallgegenstände abzudecken sind und wie sich die Auswahl begründen lässt.
Welche Notfallszenarien zu berücksichtigen sindDie Gegenstücke zur Auswirkungsanalyse: Ursachen, Eintrittswahrscheinlichkeit und Maßnahmen.
Was die Risikoanalyse zum BCM feststelltIndikatoren, die eine Störung früh sichtbar machen, statt sie im Nachhinein zu dokumentieren.
Was bei der Steuerung mit Kennzahlen zu beachten istWarum Widerstandsfähigkeit eine Organisationsfrage ist und nicht allein eine der Technik.
Warum Resilienz im Unternehmen zähltAT 7.3 ist ein Modul der MaRisk. Der Hub zum Ordnungsrahmen ordnet es in das Gesamtwerk ein.
MaRisk Ordnungsrahmen im ÜberblickNotfallmanagement ist 2026 kein Thema mit einem Regelwerk mehr, sondern eines mit zwei.
Wer die Zuordnung je Szenario dokumentiert, erfüllt beide Regelwerke mit einem Prozess. Wer sie offenlässt, diskutiert in der Prüfung über Zuständigkeiten statt über Wirksamkeit.
In AT 7.3. Für Aktivitäten und Prozesse, die kritische oder wichtige Funktionen unterstützen, ist Vorsorge durch ein Notfallkonzept zu treffen. Es muss Geschäftsfortführungs- und Wiederherstellungspläne umfassen und auf plausiblen Szenarien und vernünftigen Annahmen beruhen.
Die IT-bezogenen Anforderungen sind aus AT 7.2 herausgenommen und auf DORA verlagert. Damit bestehen zwei getrennte Stränge: das IKT-bezogene Notfallmanagement nach DORA und das übrige Notfallmanagement nach AT 7.3. Beide sind zu erfüllen, sauber abzugrenzen und zu dokumentieren.
Sie ermittelt, welche Aktivitäten und Prozesse zeitkritisch sind und welche Folgen ein Ausfall hätte. Aus ihrem Ergebnis leiten sich die Zielzeiten für Wiederanlauf und Datenwiederherstellung ab. Ohne Auswirkungsanalyse sind Geschäftsfortführungs- und Wiederherstellungspläne nicht begründbar.
Die Recovery Time Objective ist die Zielzeit, innerhalb derer ein Prozess nach einer Störung wieder verfügbar sein soll. Die Recovery Point Objective gibt an, welcher Datenverlust maximal hinnehmbar ist. Beide Werte folgen aus der Auswirkungsanalyse und sind keine technische Festlegung der IT.
Bei Auslagerungen von Aktivitäten und Prozessen, die kritische oder wichtige Funktionen unterstützen, müssen Institut und Auslagerungsunternehmen nach AT 7.3 über abgestimmte Notfallkonzepte verfügen. Abgestimmt heißt: aufeinander bezogen, nicht nur nebeneinander vorhanden.
Ja. Die Gesamtverantwortung für die ordnungsgemäße Geschäftsorganisation liegt nach § 25a Abs. 1 KWG und AT 3 der MaRisk bei allen Geschäftsleitern gemeinsam. Für den IKT-Bereich weist Art. 5 DORA die Verantwortung ausdrücklich dem Leitungsorgan zu.
Primärquellen zuerst. Je Eintrag ist angegeben, wofür die Quelle in diesem Beitrag einsteht.
Notfallmanagement im Detail – von den Grundlagen über die Auswirkungsanalyse bis zur Schnittstelle zum Auslagerungsmanagement.
Hinweis zur Unabhängigkeit: Diese Übersicht gibt Anforderungen und Vorgehensweisen neutral wieder. Aussagen zu BCM-Software oder Beratungsleistungen einzelner Anbieter werden bewusst nicht getroffen.
Zwei Regelwerke, ein Notfallkonzept – und die Zuordnung fehlt? Zur Gegenüberstellung.
Wir verwenden Cookies und ähnliche Technologien, um Ihre Erfahrung auf unserer Website zu verbessern. Weitere Informationen in unserer Datenschutzerklärung.