Sechs Monate sind vergangen, seit der Digital Operational Resilience Act (DORA) am 17. Januar 2025 in Kraft trat. Ein halbes Jahr, das für viele Unternehmen im Finanzsektor zugleich eine Compliance-Hürde und einen Prüfstein darstellte. Heute zeigt sich: Die ersten Erfahrungen sind klar – DORA ist kein Projekt mit Start- und Endpunkt, sondern der Beginn eines laufenden Transformationspfads. Was bisher gelungen ist, wo es noch hakt und warum die nächsten Monate entscheidend sind – all das erfährst du in diesem Artikel.

Die erste Phase: Anmeldung, Verwirrung und Umsetzungsstress

In den ersten Monaten galt es, die Basis zu schaffen: Das Register of Information (RoI) zu Drittdienstleistern musste bis Ende April 2025 eingereicht werden. Viele Unternehmen leisteten hier einen echten Sprint – doch schon damals war klar, dass die eigentliche Arbeit erst beginnt. Parallel dazu schärften nationale Behörden den Rahmen, indem sie detaillierte Anforderungen an Drittanbieter-Risikomanagement, Meldepflichten und interne Governance-Strukturen definierten. Besonders Asset Manager, Versicherer und kleinere Banken spüren seit Frühjahr 2025 einen deutlichen Umsetzungsdruck.

Wer in der Welt von Qualitätsmanagement, Informationssicherheit oder Prozessoptimierung unterwegs ist, kommt an PDCA nicht vorbei. Vier Buchstaben, die für viele nach grauer Theorie aus ISO-Handbüchern und endlosen Audit-Checklisten klingen. Plan – Do – Check – Act. Klingt simpel, fast schon banal. Doch hinter diesem unscheinbaren Zyklus steckt einer der mächtigsten Ansätze, um nicht nur Managementsysteme, sondern ganze Organisationen kontinuierlich zu verbessern. Das Problem: PDCA wird oft falsch verstanden oder halbherzig umgesetzt – und dann wirkt es tatsächlich langweilig. Wer es aber richtig macht, erlebt, wie aus einem theoretischen Modell ein lebendiger Motor für Veränderung wird.

Warum PDCA so oft unterschätzt (und missbraucht) wird

PDCA scheitert selten an seiner Logik, sondern an der Praxis. Häufige Fehlgriffe: „Plan“ wird als reines Dokumentieren verwechselt, „Do“ als hektisches Abarbeiten, „Check“ als Schuldzuweisung und „Act“ als Protokollnotiz ohne Konsequenz. Ebenso verbreitet: Der Zyklus wird nur jährlich gefahren – zum Audit – statt in kurzen, regelmäßigen Takten. Und nicht zuletzt: Es fehlt die Verbindung zu echten Zielen und Kennzahlen; Maßnahmen segeln ohne Kompass durch den Betrieb. Damit PDCA Wirkung entfaltet, braucht es drei Zutaten: klare Zielbilder, belastbare Daten und geübte Routinen. Erst dann wird aus Theorie gelebte Praxis.

In der Informationssicherheit gibt es unzählige Maßnahmen, Frameworks, Tools und Methoden. Wer sich in der Fachliteratur oder auf Messen umschaut, könnte glauben, dass es für jedes Risiko ein eigenes, hochspezialisiertes Werkzeug gibt – und dass man am besten alles gleichzeitig einführt. In der Realität haben Unternehmen jedoch begrenzte Ressourcen. Zeit, Budget und personelle Kapazitäten sind endlich. Deshalb ist die entscheidende Frage: Welche Maßnahmen bringen tatsächlich den größten Sicherheitsgewinn? Die Antwort darauf ist nicht immer offensichtlich, denn nicht alles, was technisch beeindruckend klingt, wirkt auch im Alltag nachhaltig. Wirkungsvolle Sicherheitsmaßnahmen sind solche, die messbar Risiken reduzieren, praxistauglich sind und langfristig Bestand haben. Sie kombinieren technische, organisatorische und personelle Komponenten – und sie sind so gestaltet, dass sie von den Menschen in der Organisation verstanden, akzeptiert und gelebt werden.

Risikobasierter Start: zuerst verstehen, dann entscheiden

Ein zentrales Merkmal wirksamer Sicherheitsmaßnahmen ist ihr Bezug zu konkreten Risiken. Sicherheitsarbeit beginnt nicht mit dem Einkauf neuer Technologie, sondern mit einer sauberen Risikoanalyse. Diese zeigt, welche Bedrohungen für die eigenen Systeme, Daten und Prozesse tatsächlich relevant sind. Erst danach sollte entschieden werden, welche Maßnahmen am besten geeignet sind, diese Risiken zu reduzieren. Wer ohne diese Grundlage agiert, läuft Gefahr, Ressourcen in Schutzmechanismen zu investieren, die zwar modern wirken, aber an den tatsächlichen Schwachstellen vorbeigehen. Das klassische Gegenbeispiel: Ein Unternehmen investiert in eine teure KI-gestützte Angriffserkennung, übersieht aber, dass sensible Daten unverschlüsselt in einer Cloud gespeichert werden. Das ist, als würde man eine Alarmanlage installieren, aber die Haustür unverschlossen lassen.

Die Business Impact Analyse (BIA) gilt in vielen Unternehmen als kompliziertes und theoretisches Verfahren, das vor allem Berater oder Auditoren lieben, aber in der Praxis schwer greifbar ist. Tatsächlich ist sie ein zentrales Werkzeug für Business Continuity Management (BCM), Notfallplanung und Informationssicherheit – und weit weniger mysteriös, als ihr Ruf vermuten lässt. Eine gut gemachte BIA beantwortet im Kern eine einfache Frage: Was passiert, wenn ein bestimmter Geschäftsprozess oder ein bestimmtes System ausfällt – und wie schnell müssen wir wieder arbeitsfähig sein? Die Kunst besteht darin, diese Frage strukturiert, nachvollziehbar und in einer Sprache zu beantworten, die alle im Unternehmen verstehen.

Begriffe im Klartext: Prozesskritikalität, RTO, RPO, MAO

Damit alle dasselbe meinen, wenn sie diskutieren, lohnt sich eine klare Begriffswelt:

In der Welt der Cybersicherheit ist es ein offenes Geheimnis: Kein Unternehmen kann sich allein verteidigen. Die Angreifer arbeiten längst nicht mehr isoliert – sie tauschen sich aus, handeln im Darknet mit Schwachstellen und Angriffswerkzeugen und nutzen koordinierte Kampagnen, um möglichst viele Ziele gleichzeitig zu treffen. Wer darauf nur mit einer isolierten Verteidigungsstrategie reagiert, läuft Gefahr, in der Informationslücke zwischen den Organisationen unterzugehen. Genau hier setzt eine der Kernideen von DORA an: den strukturierten und sicheren Informationsaustausch im Finanzsektor zu fördern. Die Botschaft dahinter ist klar – Sicherheit wird zur Gemeinschaftsaufgabe.

Der Gedanke ist so einfach wie kraftvoll: Wenn ein Unternehmen eine Bedrohung erkennt oder einen Angriff erlebt, können andere davon profitieren, diese Informationen schnell zu kennen. Ob es sich um neue Phishing-Muster, Zero-Day-Schwachstellen oder komplexe Supply-Chain-Angriffe handelt – je früher andere potenzielle Opfer gewarnt sind, desto besser können sie reagieren. DORA will diesen Austausch nicht nur ermöglichen, sondern systematisieren. Das Ziel: Angriffszeiten verkürzen, Verteidigungsmaßnahmen beschleunigen und die kollektive Widerstandsfähigkeit des gesamten Sektors steigern.