Das Wichtigste in Kürze:
Der Digital Operational Resilience Act (DORA) verlangt vom europäischen Finanzsektor einen radikalen Paradigmenwechsel: von der reaktiven IT-Sicherheit hin zu einer ganzheitlichen, digitalen Widerstandsfähigkeit. Um Cyberangriffe und IKT-Störungen effektiv abzuwehren, fordert die neue EU-Verordnung ein lückenloses IKT-Risikomanagement und die strenge Überwachung von externen IT-Dienstleistern. Die größte Hürde bei der Umsetzung ist jedoch der Faktor Mensch. Unter wachsender Komplexität und enormem Leistungsdruck benötigen Finanzunternehmen dringend belastbare Teams und hochspezialisierte Fachkräfte. Das Recruiting wird damit zum entscheidenden Hebel für die regulatorische Compliance.
Der europäische Finanzsektor durchläuft aktuell einen beispiellosen Stresstest. Mit dem Digital Operational Resilience Act (DORA) hat die Europäische Kommission eine Verordnung verabschiedet, die das Risikomanagement von Grund auf neu definiert. Es geht längst nicht mehr nur um die finanzielle Stabilität von Banken, Wertpapierfirmen oder Versicherungsunternehmen. Im Zentrum der Aufsicht steht nun die operative und digitale Widerstandsfähigkeit – also die Fähigkeit von Finanzunternehmen, allen Arten von IKT-bezogenen Störungen und Cyberbedrohungen jederzeit standzuhalten.
Die Umsetzung dieser Vorgaben zwingt die Branche dazu, technologische Infrastrukturen und harte regulatorische Anforderungen lückenlos miteinander zu verzahnen. Doch während in den Chefetagen intensiv über neue technische Regulierungs- und Durchführungsstandards debattiert wird, gerät ein kritischer Faktor oft aus dem Blickfeld: Die strengen Richtlinien der europäischen Aufsichtsbehörden lassen sich nicht allein durch Software-Updates oder neue IT-Systeme erfüllen. Sie erfordern hochspezialisierte Expert:innen, die an der Schnittstelle von Technologie, Compliance und strategischem Management sicher agieren.
Regulatorische Besonderheiten: Der neue Standard im Finanzsektor
Die EU-Verordnung bündelt bestehende Vorgaben und hebt das IKT-Risikomanagement auf ein völlig neues Niveau. Um als „DORA-ready“ zu gelten, müssen Unternehmen weitreichende Anforderungen erfüllen, die weit über die klassische IT-Sicherheit hinausgehen. Im Kern geht es nicht mehr nur um Firewalls, sondern um den Nachweis der tatsächlichen, operativen Widerstandsfähigkeit der gesamten Organisation.
Incident Management: Präzision unter extremem Zeitdruck
Ein zentraler Baustein der neuen Regulierung ist der strikte Umgang mit Sicherheitsvorfällen. Es reicht nicht mehr aus, Cyberangriffe oder interne IT-Störungen lediglich technisch in den Griff zu bekommen. Finanzunternehmen sind künftig gesetzlich verpflichtet, schwerwiegende IKT-Vorfälle nach fest definierten Kriterien zu klassifizieren und innerhalb eng gesteckter Fristen an die zuständigen europäischen Aufsichtsbehörden zu melden.
Dieser Prozess erfordert höchste Präzision in absoluten Stresssituationen. Wenn kritische IT-Systeme ausfallen, müssen die zuständigen Teams nicht nur das technische Problem isolieren, sondern parallel hochkomplexe regulatorische Meldeprozesse orchestrieren. Wie unser aktuelles Whitepaper verdeutlicht, wachsen in solchen Phasen Komplexität und Erwartungshaltung rasant an, während die Entscheidungsfenster drastisch kleiner werden. Nur Teams, bei denen absolute Klarheit über Rollen und Zuständigkeiten herrscht, können in diesen Momenten handlungsfähig bleiben und empfindliche Sanktionen verhindern.
Zum Whitepaper "Teams unter Druck: Wie Sie erkennen, dass Ihre Mitarbeitenden schwierigen Phasen gewachsen sind".
Drittparteienrisikomanagement: Volle Kontrolle über die digitale Lieferkette
Ein weiterer, hochsensibler Bereich ist die enorme Abhängigkeit der Finanzwirtschaft von externen Partner:innen – seien es große Cloud-Provider:innen oder Anbieter:innen spezialisierter Kommunikationstechnologie. DORA schreibt hierfür ein tiefgreifendes Risikomanagement vor.
Das bedeutet im Klartext: Die juristische und operative Verantwortung für ausgelagerte IKT-Dienstleistungen bleibt vollständig beim Finanzunternehmen. Das Management muss Verträge mit sämtlichen IT-Drittdienstleistern lückenlos überwachen, detaillierte Ausstiegsstrategien definieren und kontinuierlich prüfen, ob die Sicherheit in der gesamten Lieferkette gewährleistet ist. Fällt ein externer Dienstleister aus, haftet das beauftragende Institut. Dies zeigt deutlich, dass Risikomanagement heute weit über die eigenen Unternehmensgrenzen hinausgedacht und gesteuert werden muss.
Recruiting unter DORA: Die Rolle der richtigen Fachkräfte und Teams
DORA wird oft fälschlicherweise als reines IT-Projekt missverstanden. In der Realität ist es jedoch eine der größten organisatorischen Herausforderungen der letzten Jahre. Die Auswahl der richtigen Fachkräfte entscheidet darüber, ob ein Finanzunternehmen die Compliance-Vorgaben operativ auf die Straße bringt oder an der Komplexität scheitert.
Klassische IT-Sicherheitsexperten allein reichen für die Umsetzung nicht mehr aus. Gefragt sind interdisziplinäre Profile an der Schnittstelle von Technologie, Risikomanagement und Regulierung. Rollen wie der ICT Risk Manager oder Third-Party Compliance Analyst werden auf dem Arbeitsmarkt immer seltener und teurer. Diese Fachkräfte müssen nicht nur IT-Systeme verstehen, sondern auch in der Lage sein, technische Risiken in finanzielle Kennzahlen und regulatorische Meldungen zu übersetzen. Wir sehen hier einen klaren Trend: Wer Controlling und Risikomanagement in seinem Skillset vereint, gehört zu den gefragtesten Talenten im Markt.
Skills unter dem Mikroskop: Was Teams im Ernstfall brauchen
Aus Recruiting-Perspektive verschiebt sich der Fokus von reinen Hard Skills hin zur psychologischen und organisationalen Widerstandskraft. Die Umsetzung von DORA, knappe Budgets und immer anspruchsvollere Prozesse setzen Teams unter einen enormen Leistungsdruck.
Die Frage lautet daher: Woran erkennen Führungskräfte schon im Auswahlprozess oder in der Teamentwicklung, ob Mitarbeiter diesem Druck standhalten? Unser aktuelles Whitepaper „Teams unter Druck: Wie Sie erkennen, ob Ihre Mitarbeitenden schwierigen Phasen gewachsen sind“ liefert hierauf klare Antworten. Es definiert fünf zentrale Anzeichen für leistungsfähige Mitarbeitende in angespannten Phasen:
- Ownership: Die richtigen Mitarbeiter:innen denken über ihre Zuständigkeitsgrenzen hinaus. Wenn eine Störung bei einem externen Cloud-Provider auftritt, warten sie nicht auf Anweisungen, sondern ergreifen proaktiv Maßnahmen.
- Wachsamkeit: Sie verfügen über ein funktionierendes Frühwarnsystem und kommunizieren Risiken, bevor diese eskalieren – eine Kernkompetenz für das DORA Incident Management.
- Kritikfähigkeit: Sie können konstruktiv mit Konflikten umgehen und Spannungen aushalten, ohne dass die Beziehungen im Team darunter leiden.
- Flexibilität: Prioritäten können unter Stress neu geordnet werden, ohne das übergeordnete Ziel der digitalen Resilienz aus den Augen zu verlieren.
- Selbstreflexion: In Situationen, in denen Zuständigkeiten unklar sind, passen sie ihr eigenes Verhalten an und schaffen so Orientierung für das gesamte Team.
Wenn Unternehmen bei der Besetzung von Schlüsselpositionen für die DORA-Umsetzung auf diese Verhaltensmuster achten, minimieren sie das Risiko von folgenschweren Fehlbesetzungen.
Systematische Potenzialprüfung: Warnsignale im Team frühzeitig erkennen
Positive Indikatoren bei Mitarbeitenden sind wichtig, keine Frage. Ebenso relevant ist jedoch der genaue Blick auf Warnsignale, bevor personelle oder strukturelle Probleme in der Compliance chronisch werden. Bei der operativen Umsetzung der komplexen technischen Regulierungsstandards sowie der strengen Aufsichtsrahmenwerke (Oversight Framework) dürfen Finanzunternehmen nicht blind auf bestehende Strukturen vertrauen.
Typische Warnsignale auf individueller Ebene zeigen sich oft in einer schwachen Performance bei gesetzten KPIs sowie in einer unzureichenden Anpassungsfähigkeit. Auf Team-Ebene deuten langsame oder vertagte Entscheidungen und ein rein reaktives statt proaktives Verhalten unweigerlich auf Fehlbesetzungen hin. In der Ära von DORA ist das fatal: Werden IKT Risiken oder kritische Ausfälle bei externen Service Providers zu spät adressiert, drohen den Instituten massive regulatorische Sanktionen.
Von Bauchgefühl zu datengetriebenen Personalentscheidungen
Wer als Führungskraft auf Dauer zuverlässig entscheiden will, ob ein Team dem enormen Druck standhält, braucht ein systematisches Vorgehen. Auf individueller Ebene startet man hier mit klar definierten Anforderungsprofilen und Kompetenz-Mapping. Genau hier zeigt sich, dass neue Berufsbilder im Finanzwesen völlig andere Evaluierungsmethoden erfordern.
Es reicht nicht, lediglich Zertifikate abzufragen. Durch 1:1-Gespräche, strukturierte Feedbackrunden, 360°-Analysen oder die Simulation von Stresssituationen müssen im Risk Management die tatsächlichen Verhaltensmuster sichtbar gemacht werden. Nur so lässt sich im Recruiting valide prüfen, ob ein/e Bewerber:in der strengen europäischen Regulation gewachsen ist und im Ernstfall einen kühlen Kopf bewahrt.
Leadership als Treiber der digitalen Widerstandsfähigkeit
Werden Defizite bei der Bewältigung von Vorfällen – beispielsweise im Umgang mit externen IKT-Drittdienstleistern – erkannt, muss strukturiert und konsequent gehandelt werden. Die Ursachenforschung muss klären, ob es an Wissen, Passung oder schlichtweg an Überlastung mangelt.
Die erfolgreichsten Strategien digitaler Finanzunternehmen setzen in solchen Transformationsphasen auf starkes Leadership. Manchmal greifen interne Maßnahmen wie Schulungen jedoch zu kurz. Um veraltete Strukturen in der IT-Sicherheit aufzubrechen und eine echte DORA-Compliance aufzubauen, müssen Entscheider:innen evaluieren, warum IT-Führungsrollen besser extern besetzt werden sollten. Ein unverbrauchter Blick von außen ist oft der entscheidende Hebel, um die Widerstandsfähigkeit der gesamten Organisation nachhaltig zu stärken.
DORA als strategische Chance für die Finanzwirtschaft
Der Digital Operational Resilience Act ist weit mehr als nur ein weiteres regulatorisches Pflichtenheft. Er ist ein notwendiger Katalysator für die europäische Finanzwirtschaft, um sich gegen zunehmende Cyberrisiken und weitreichende IT-Ausfälle zu wappnen. Wer die Anforderungen an die Sicherheit von Netzwerken und Informationssystemen lediglich als Aufgabe für die IT-Abteilung betrachtet, greift zu kurz. Wahre Resilienz erfordert ein tiefes Verständnis für IKT Dienstleistungen und deren strategische Steuerung.
Die entscheidende Erkenntnis für das Management lautet: Gute und resiliente Teams entstehen nicht aus dem reinen Bauchgefühl heraus, sondern aus strategischer Klarheit. Schwierige Phasen und der enorme Druck durch Regulatoren zeigen schonungslos auf, warum Leistung in kritischen Momenten entsteht oder eben ausbleibt. Genau dieses „Warum“ durch gezielte Potenzialprüfungen greifbar zu machen, eröffnet Unternehmen wichtige Entwicklungsspielräume.
Gerade jetzt ist die Passung von hochspezialisierten Expert:innen entscheidender denn je. Wer systematisch hinschaut, Erwartungen klärt und sein Personal gezielt für die Bewältigung von Cyberangriffen und IKT-Störungen entwickelt, schafft nicht nur Alternativen zu drastischen Restrukturierungsmaßnahmen, sondern stärkt zugleich die langfristige Zukunftsfähigkeit seines Unternehmens.
Häufig gestellte Fragen (FAQ)
Für wen gelten die DORA-Vorgaben im Finanzmarkt genau?
Die Verordnung gilt für nahezu alle Akteure im europäischen Finanzmarkt. Dazu gehören klassische Banken und Versicherungen, aber auch Wertpapierfirmen, Zahlungsdienstleister sowie Anbieter:innen von Krypto Dienstleistungen. Auch externe IKT Dienstleister, die kritische Kommunikationstechnologie für den Sektor bereitstellen, fallen indirekt (und teilweise direkt) unter die strengen Vorgaben der europäischen Aufsichtsbehörden.
Was versteht man unter dem IKT-Drittparteienrisikomanagement?
Finanzinstitute lagern zunehmend Prozesse an externe Service Providers (wie Cloud-Anbieter) aus. DORA verpflichtet die Institute dazu, die Risiken, die von diesen IKT Drittdienstleistern ausgehen, lückenlos zu überwachen. Fällt ein externer Dienstleister aus, bleibt das beauftragende Institut voll in der Verantwortung.
Welche Fachkräfte werden für die Umsetzung am dringendsten gesucht?
Der Markt sucht händeringend nach interdisziplinären Talenten. Reine IT-Spezialisten reichen nicht aus; gefragt sind Profile an der Schnittstelle von ICT Risk Management, Compliance und Controlling. Diese Expert:innen müssen in der Lage sein, technische Themen und Vorfälle in regulatorische Meldungen und strategische Handlungsoptionen zu übersetzen.
.png)
