ESMA Report 2026: DORA geht in den operativen Vollzug und die Ahndung von Verstößen über

II. Zeitliche Vorgaben und wiedderkehrende Zeitfenster

1. Fristen, die ausdrücklich in den Texten genannt werden:

• Jährliche Berichtspflicht der Behörden: Die einzige konkret im Text genannte Frist betrifft die Europäischen Aufsichtsbehörden (ESAs) selbst. Gemäß Artikel 22 Absatz 2 DORA sind diese verpflichtet, jährlich einen Bericht über schwerwiegende IKT-bezogene Vorfälle zu veröffentlichen.

2. Fristen für Unternehmen (Kontext-Hinweis):

In den hier zitierten Pressemitteilungen und Zusammenfassungen der ESMA-Jahresberichte werden keine konkreten operativen Meldefristen (in Stunden oder Tagen) für die Finanzunternehmen genannt. Es wird lediglich betont, dass schwerwiegende IT-Vorfälle zwingend und fristgerecht gemeldet werden müssen (Art. 17–19 DORA).

Für Ihre Compliance-Praxis ist jedoch wichtig (auch wenn es nicht in diesen spezifischen PR-Texten steht): Die genauen Fristen für Unternehmen regeln die technischen Regulierungsstandards (RTS) zu DORA. Diese verlangen in der Regel ein extrem schnelles Handeln, wie beispielsweise:

• Erstmeldung (Initial Notification): Sehr zeitnah nach der Klassifizierung des Vorfalls als „schwerwiegend“ (oft innerhalb von 4 Stunden nach Klassifizierung bzw. spätestens 24 Stunden nach Entdeckung).

• Zwischenbericht (Intermediate Report): Sobald sich der Status signifikant ändert oder spätestens nach 72 Stunden.

• Abschlussbericht (Final Report): Spätestens einen Monat nach Behebung des Vorfalls.

Der ESMA-Jahresbericht unterstreicht lediglich, dass die Aufsicht nun genau kontrolliert, ob Ihre internen Prozesse in der Lage sind, dieses harte und harmonisierte Meldesystem in der Praxis einzuhalten.

1.) Pflichten für das C-Level (Vorstand / Geschäftsführung)

Für die oberste Führungsebene wandelt sich die IT-Sicherheit von einem rein operativen Thema zu einer strategischen Kernpflicht:

a.) Unübertragbare Gesamtverantwortung (Art. 5 DORA):

Das Leitungsorgan trägt die finale und nicht delegierbare Verantwortung für das Management der IKT-Risiken. Die Verantwortung kann nicht mehr an den CIO oder IT-Dienstleister ausgelagert werden.

b.) Vermeidung der persönlichen Organhaftung:

Das C-Level muss eine solide Unternehmensführung („sound corporate governance“) im Bereich der digitalen Resilienz sicherstellen. Bei Versäumnissen droht die direkte persönliche Haftung mit dem Privatvermögen (z. B. nach § 93 AktG oder § 43 GmbHG).

c.) Investitionspflicht in Cybersicherheit:

Angesichts der im ESA-Bericht betonten Bedrohungen durch hochleistungsfähige KI-gesteuerte Tools ist das Management verpflichtet, ausreichende Budgets und Ressourcen bereitzustellen, um höchste Cybersicherheitsstandards aufrechtzuerhalten.

2.) Pflichten für die Compliance-Organisation

Die Compliance-Abteilung muss die operativen und vertraglichen Leitplanken setzen, um DORA rechtskonform umzusetzen und das C-Level vor Haftung zu schützen:

a.) Striktes Drittparteien-Risikomanagement (Art. 28 DORA):

Da Systemausfälle bei externen Dienstleistern die Hauptursache für Vorfälle sind, muss Compliance die lückenlose Überwachung und strenge vertragliche Absicherung aller IT-Auslagerungen („third-party dependencies“) sicherstellen.

b.) Aufbau eines extrem schnellen Meldewesens (Art. 17–19 DORA):

Compliance muss interne Prozesse implementieren, die sicherstellen, dass schwerwiegende IKT-Vorfälle (Major Incidents) sofort intern eskaliert und fristgerecht an die zuständigen Aufsichtsbehörden gemeldet werden.

c.) Übersetzung von Aufsichtserwartungen:

Compliance ist in der Pflicht, die Vorgaben und Erwartungen der Aufsichtsbehörden (wie im ESMA-Jahresbericht 2025 dargelegt) in interne Richtlinien zu gießen, um die DORA-Compliance bei Prüfungen jederzeit nachweisen zu können.

Die Umsetzung der DORA-Pflichten ist in der Praxis oft schmerzhaft, da es sich keineswegs um ein reines „IT-Projekt“ handelt. Es ist eine tiefgreifende organisatorische Transformation, die etablierte Prozesse aufbricht.

Basierend auf den Vorgaben und den Aufsichtsschwerpunkten ergeben sich für Finanzunternehmen vier zentrale „Pain Points“:

1. Die „Übersetzungsleistung“ für das C-Level (Art. 5 DORA)

• Das Kommunikations-Silo: Die Geschäftsleitung trägt nun die unübertragbare Verantwortung und das Haftungsrisiko. Oft fehlt im Vorstand jedoch das tiefe technische Verständnis für Cyberrisiken.

• Der Pain Point: Compliance und IT-Sicherheit müssen hochkomplexe technische Sachverhalte so aufbereiten, dass das C-Level fundierte Entscheidungen treffen und Budgets freigeben kann. Wenn Vorstände Risiken abzeichnen, die sie nicht vollständig durchdringen, wird die Organhaftung zur tickenden Zeitbombe.

2. Die Ohnmacht gegenüber IT-Dienstleistern (Art. 28 DORA)

• Marktmacht und Lieferketten: DORA verlangt strenge Audit- und Kontrollrechte gegenüber allen kritischen IT-Dienstleistern. Der ESA-Bericht hat bereits gezeigt, dass gemeinsame Infrastrukturen und externe Ausfälle die Haupttreiber für Risiken sind.

• Der Pain Point: Verträge mit Tech-Giganten (wie den großen Cloud-Anbietern) lassen sich in der Praxis nur extrem schwer nachverhandeln. Zudem mangelt es vielen Instituten an der Transparenz, um sogenannte „Sub-Outsourcing“-Ketten (der Dienstleister Ihres Dienstleisters) effektiv zu überwachen.

3. Der extreme Zeitdruck im Meldewesen (Art. 17–19 DORA)

• Echtzeit-Klassifizierung: Die Aufsicht erwartet bei schwerwiegenden Vorfällen Erstmeldungen innerhalb kürzester Zeit (oftmals innerhalb von Stunden nach Entdeckung).

• Der Pain Point: Wenn am Freitagabend ein Server ausfällt, weiß die IT das vielleicht sofort – aber ab wann genau gilt das Ereignis rechtlich als „Major Incident“? Die Meldekette von der IT über den Krisenstab bis zur Compliance-Abteilung und schließlich zur Aufsichtsdichte ist in den meisten Häusern noch viel zu langsam und silohaft organisiert.

4. Ressourcenmangel vs. hochkomplexe Bedrohungen

• Technologischer Rückstand: Die Aufsichtsbehörden haben explizit auf die Gefahr durch hochleistungsfähige, KI-gesteuerte Angriffswerkzeuge hingewiesen.

• Der Pain Point: Um diesen Bedrohungen und den harten DORA-Anforderungen standzuhalten, sind massive Investitionen in Personal und Technik nötig. Der chronische Fachkräftemangel im Bereich Cybersicherheit und IT-Compliance macht es enorm schwer, die notwendigen Experten überhaupt zu finden und zu binden.