Kürzlich hat die Bafin die Meldedaten für schwerwiegende IKT-Vorfälle gemäß DORA für das Jahr 2025 veröffentlicht. Im Zeitraum vom 17. Januar bis 31. Dezember 2025 meldeten Finanzunternehmen insgesamt 733 IKT-Vorfälle. Die Ursachen lagen überwiegend bei Dritten. Solche Vorfälle betreffen häufig mehrere Finanzunternehmen.
In dem genannten Zeitraum registrierte die Bafin rund 60 sogenannte übergreifende Vorfälle. Diese wirkten sich auf zahlreiche Finanzunternehmen aus und führten zu 315 Meldungen. Vorfälle können aggregiert gemeldet werden, also stellvertretend für mehrere betroffene Finanzunternehmen. Alternativ können übergreifende Vorfälle auch von allen betroffenen Unternehmen gemeldet werden.
Die Zahlen der BaFin zeigen, dass sich die Vorfälle bei zentralen Finanzunternehmen und IKT-Drittdienstleistern auf zahlreiche Finanzunternehmen auswirken können. An dieser Stelle setzt das aggregierte Meldewesen an. Es bringt spürbare Erleichterungen für Finanzunternehmen, da es den Meldeaufwand bei einzelnen Finanzunternehmen reduziert.
Laut BaFin sind vor allem komplexe IT-Systeme, geopolitische Konflikte und Konzentrationen sowie kritische Abhängigkeiten Haupttreiber der hohen Risikolage. Wenn sich diese Risiken realisieren, können Störungen und schwerwiegende IKT-Vorfälle bei Finanzunternehmen die Folge sein.
Für Finanzunternehmen kommt es insbesondere darauf an, über resiliente Drittparteien zu verfügen. Erstere müssen die Risiken durch IKT-Dienste ihrer IKT-Drittdienstleister beobachten und steuern. Sie müssen auch überwachen, ob ihr Geschäft von weiteren Unternehmen abhängig ist. Die dadurch entstehenden Risiken müssen sie managen, da dies von der EU-Verordnung DORA verlangt wird.
Die im Dezember 2022 beschlossene DORA-Verordnung (Digital Operational Resilience Act) ist im Januar 2023 in Kraft getreten. Seit dem 17. Januar 2025 wird sie angewendet.
Die DORA-Klauseln enthalten organisatorische und technische Vorgaben, zum Beispiel wie ein Unternehmen sein IT-Risikomanagement aufstellen muss. Zudem enthält die Verordnung vertragliche Klauseln, die bei der Zusammenarbeit mit IT-Dienstleistern vereinbart werden müssen. Mit DORA ist das Ziel verbunden, die digitale operationale Widerstandsfähigkeit europäischer Finanzunternehmen und ihren Dienstleistern für IKT (Informations- und Kommunikationstechnologie) zu verbessern. Zudem soll ein EU-weit einheitlicher Aufsichtsrahmen geschaffen und der europäische Finanzmarkt soll gegenüber Cyberrisiken und IKT-Vorfällen gestärkt werden. DORA deckt die Themen Cybersicherheit, IKT-Risiken und digitale operationale Resilienz ab.
Gemäß Artikel 19 der Verordnung haben Finanzunternehmen in Deutschland schwerwiegende IKT-bezogene Vorfälle der Bundesanstalt für Finanzdienstleistungsaufsicht (Bafin) zu melden. Bei Kreditinstituten, die als bedeutend eingestuft wurden, leitet die Bafin die Meldungen an die EZB weiter. Die drei Europäischen Aufsichtsbehörden EBA, EIOPA und ESMA hatten im Juni dieses Jahres einen ersten Überblick über schwerwiegende IKT-Vorfälle veröffentlicht.
Kennen Sie schon unsere Fachbetreuung? Sie ist die erste Anlaufstelle für Fachexperten und Fachexpertinnen in Genossenschaftsbanken. Mitgliedsbanken erhalten von uns per E-Mail schnelle Antworten auf fachliche Auslegungs- und Umsetzungsfragen.
Senior Referentin
Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) hat am 30. Juni 2026 die 10. Ausgabe der Mindestanforderungen an das Risikomanagement (MaRisk) veröffentlicht.
Weiterlesen
Die Europäische Zentralbank (EZB) hat vor kurzem Meilensteine zur Einführung des Integrated Reporting Frameworks (IReF) bekannt gegeben.
Weiterlesen
Der EU AI Act schafft erstmals verbindliche Anforderungen für den Einsatz von KI-Systemen. Am 2. August 2026 treten die zentralen Vorgaben für Hochrisiko-KI-Systeme in Kraft.
Weiterlesen