Wenn in der Praxis über DORA gesprochen wird, geht es oft zuerst um interne Themen: Prozesse, Rollen, Tests, Meldungen, Nachweise. Das ist nachvollziehbar, weil man dort „direkt“ gestalten kann. Der größte Hebel für die operative Stabilität liegt aber in vielen Unternehmen an einer anderen Stelle: bei externen Dienstleistern. Nicht, weil Dienstleister per se schlecht wären – im Gegenteil. Sondern weil moderne IT-Landschaften ohne Provider, SaaS, Plattformen, Rechenzentren, Integrationspartner und spezialisierte Services kaum noch sinnvoll betrieben werden können. Genau dadurch entsteht jedoch ein Risiko, das in Audits und im Ernstfall besonders sichtbar wird: Ihr Dienstleister kann Ihr größtes Ausfallrisiko sein – und zwar selbst dann, wenn Ihre interne Organisation sauber aufgestellt ist.

Third-Party Risk klingt als Begriff schnell nach „Vendor Management“. In der Realität ist es viel konkreter: Es geht um Abhängigkeiten, um Reaktionsfähigkeit, um Eskalationswege, um das Zusammenspiel im Incident – und um die Frage, ob Sie als Kunde die Steuerung wirklich in der Hand haben. DORA verschärft diese Perspektive, weil es nicht reicht, einen Vertrag zu haben oder einmal im Jahr eine Bewertung auszufüllen. DORA zielt auf laufende Beherrschung: wiederholbar, nachvollziehbar und im Betrieb sichtbar.

Der Moment, in dem DORA plötzlich „real“ wird, ist selten das Kick-off, selten das erste Requirements-Dokument und auch nicht die hundertste Folie. Real wird DORA meistens dann, wenn jemand fragt: „Zeigen Sie mir das bitte.“ Nicht: „Erklären Sie mir, wie Sie es machen.“ Nicht: „Schicken Sie mir Ihr Konzept.“ Sondern: „Zeigen Sie mir konkret den Nachweis, dass es im Betrieb funktioniert.“

Genau hier trennt sich in der Praxis die Spreu vom Weizen. Viele Organisationen haben nach ein paar Monaten DORA-Projektlaufzeit sehr ordentliche Unterlagen: Policy-Stacks, Prozessbeschreibungen, Rollenmodelle, Gremienstrukturen, Kontrolldatenbanken. Und trotzdem entsteht im Audit Stress. Warum? Weil Prüfer nicht auf der Suche nach „viel Material“ sind, sondern nach einer belastbaren Spur: Entscheidung → Umsetzung → überprüfbarer Nachweis. Wenn diese Spur nicht klar und schnell auffindbar ist, wirkt selbst gute Arbeit plötzlich unfertig.

GRC wird in vielen Organisationen immer noch wie ein Sammelbegriff behandelt: ein bisschen Risiko hier, ein paar Kontrollen dort, dazu Richtlinien, Audits und eine Handvoll Reports. Und dann – ganz am Ende – eine Excel, die alles „zusammenführt“. Das Problem daran ist nicht Excel. Das Problem ist die Erwartung, dass man Führung, Steuerung und Nachweisführung über Listen „nachrüsten“ kann, während der Betrieb längst mit eigener Logik läuft.

Wenn Sie GRC wirklich wirksam machen wollen, hilft ein anderes Bild: GRC als Betriebssystem. Nicht als Tool, nicht als Abteilung und nicht als Papierlage – sondern als die Logik, nach der Entscheidungen vorbereitet, umgesetzt und überprüfbar gemacht werden. Ein Betriebssystem ist unsichtbar, solange es funktioniert. Es macht Abläufe zuverlässig, reduziert Reibung und sorgt dafür, dass ein System unter Last stabil bleibt. Genau das ist auch die Aufgabe eines guten GRC-Ansatzes: Er muss das Unternehmen im Alltag stabiler machen – und nebenbei auditfest.

Viele Unternehmen betrachten regulatorische Vorgaben zunächst als zusätzliche Belastung. Neue Gesetze bringen neue Pflichten, mehr Dokumentation, strengere Kontrollen – und das alles kostet Zeit, Geld und Nerven. Auch beim Digital Operational Resilience Act (DORA) war die erste Reaktion in manchen Vorständen und IT-Abteilungen verhalten. „Schon wieder eine EU-Verordnung, die uns Arbeit macht“, lautete der Tenor. Doch wer DORA nur als Pflichtübung versteht, übersieht das Potenzial, das in dieser Verordnung steckt. Richtig umgesetzt, kann DORA nicht nur helfen, Risiken zu reduzieren und Compliance sicherzustellen, sondern auch zu einem echten Wettbewerbsvorteil werden. Resilienz ist in einer digitalisierten Wirtschaft nicht nur eine Frage der Sicherheit – sie ist ein entscheidender Faktor für Vertrauen, Reputation und langfristigen Erfolg.

Von Mindeststandards zu Marktvorteilen: Die fünf Säulen als Wachstumshebel

Das beginnt mit einem Blick auf die Grundidee hinter DORA. Die Verordnung will nicht einfach nur Mindeststandards für die IT-Sicherheit festlegen, sondern die gesamte digitale Widerstandsfähigkeit von Finanzunternehmen und ihren Dienstleistern stärken. Das umfasst IKT-Risikomanagement, Incident Reporting, Resilienztests, Management von Drittparteien und den Informationsaustausch im Sektor. Wer diese fünf Säulen konsequent umsetzt, ist nicht nur gesetzeskonform, sondern auch deutlich robuster gegenüber Cyberangriffen, Systemausfällen oder Lieferkettenstörungen. Diese Robustheit ist kein Selbstzweck – sie sorgt dafür, dass das Unternehmen in Krisensituationen handlungsfähig bleibt, Kundenbeziehungen stabil hält und Schäden minimiert. Genau hier entstehen handfeste Vorteile: niedrigere Ausfallzeiten, schnellere Wiederanläufe, bessere Konditionen in Ausschreibungen, höhere Abschlussquoten im Vertrieb und ein spürbar geringeres Reputationsrisiko.

Viele Unternehmen sammeln, speichern und verarbeiten heute mehr Daten denn je – Kundendaten, Produktinformationen, Vertragsunterlagen, Forschungsdokumente, Quellcodes, Finanzzahlen, interne Kommunikationsströme. Doch nur ein Teil dieser Daten ist wirklich geschäftskritisch. Die Herausforderung liegt darin, diesen Teil zu identifizieren und gezielt zu schützen, ohne dabei in einer Flut von Informationsbeständen unterzugehen. Hier kommt ein strukturiertes Asset Management ins Spiel, das nicht nur auflistet, welche IT-Systeme und Daten vorhanden sind, sondern gezielt den Wert, die Sensibilität und die Schutzbedürftigkeit dieser Assets bewertet. Wer weiß, welche Daten für den Unternehmenserfolg unverzichtbar sind, kann Sicherheitsmaßnahmen effizient einsetzen, Risiken realistisch einschätzen und im Ernstfall schnell reagieren.

Warum „Asset Management mit Mehrwert“?

Ein Asset-Inventar, das nur Seriennummern und Standorte führt, ist Verwaltung. Mehrwert entsteht, wenn das Inventar eine Entscheidungsplattform wird: Es verknüpft fachlichen Geschäftswert, Schutzbedarf, Abhängigkeiten, rechtliche Pflichten, Wiederanlaufziele und Verantwortlichkeiten – und liefert so die Grundlage für Priorisierung, Budgetsteuerung und Krisenfestigkeit. Gerade unter NIS2, ISO 27001, BSI IT-Grundschutz oder DORA ist dieses Informationsfundament kein „nice to have“, sondern Prüfungs- und Steuerungsgrundlage.