Fachbeitrag · Notfallmanagement und DORA
Die Business Impact Analyse (BIA) ist der Ausgangspunkt jedes Notfallmanagements. Sie beantwortet eine einfache Frage: Was passiert, wenn eine Funktion ausfällt, und ab wann wird der Schaden untragbar?
Mit DORA ist die Business Impact Analyse seit dem 17.01.2025 eine unmittelbar geltende EU-Pflicht. Die MaRisk 10.0 (9. MaRisk-Novelle, Rundschreiben 06/2026 (BA) vom Juni 2026) haben das Notfallmanagement in AT 7.3 an DORA angeglichen: Maßstab sind nicht mehr „zeitkritische Aktivitäten und Prozesse“, sondern kritische oder wichtige Funktionen.
Die Analyse liefert acht Ergebnisse: eine Funktionsübersicht, den Schadensverlauf über abgestufte Zeiträume, den Einfluss des Ausfallzeitpunkts, die Einstufung kritischer oder wichtiger Funktionen, die Wiederherstellungsziele, die Abhängigkeiten, den Redundanzbedarf und die Prioritäten für den Wiederanlauf.
Methodisch bestimmen Sie zuerst die maximal tolerierbare Ausfallzeit aus der Schadensbewertung und leiten daraus die Wiederanlaufzeit (RTO) und den zulässigen Datenverlust (RPO) ab. Eine getrennte „IT-BIA“ und „Fach-BIA“ ist nicht vorgesehen: Sie führen eine gemeinsame Analyse, die DORA und AT 7.3 MaRisk zugleich bedient.
Rechtlich gelten drei Stände nebeneinander: geltendes Recht (DORA, MaRisk 10.0), ein Übergang bei den BAIT bis 31.12.2026 und ein künftiger Stand ab 01.01.2027 für KWG-Institute außerhalb von Art. 2 DORA. Dieser Beitrag behandelt die Methode der Analyse; den Gesamtrahmen von AT 7.3 und die DORA-Fristen behandeln eigene Beiträge.
Geltendes Recht Finanzunternehmen führen als Teil der allgemeinen Geschäftsfortführungsleitlinie eine Business Impact Analyse der bestehenden Risiken für schwerwiegende Betriebsstörungen durch (Art. 11 Abs. 5 DORA). Die Vorschrift verlangt:
Geltendes Recht Das Institut muss Auswirkungsanalysen durchführen, um Risiken für schwerwiegende Störungen von kritischen oder wichtigen Funktionen, deren Unterstützungsprozessen, den notwendigen IKT-Systemen und sonstigen Ressourcen sowie potenzielle Gefährdungen zu identifizieren. Basis ist eine Übersicht über alle Funktionen (AT 7.3 Tz. 1 MaRisk). Die Erläuterung lautet:
In Auswirkungsanalysen (Business Impact Analysen) wird über abgestufte Zeiträume betrachtet, welche Folgen eine Beeinträchtigung von Aktivitäten und Prozessen für den Geschäftsbetrieb haben kann. Die Auswirkungsanalysen müssen u. a. Art und Umfang des (im-)materiellen Schadens sowie den Zeitpunkt des Ausfalls berücksichtigen.
Aus dem früheren „sollten“ ist ein „müssen“ geworden. Gesetzlicher Anker ist das angemessene Notfallmanagement nach § 25a Abs. 1 Satz 3 Nr. 5 KWG.
Wichtig
Die BIA nach DORA ist Teil der allgemeinen Geschäftsfortführungsleitlinie, nicht nur der IKT-Leitlinie. Eine getrennte „IT-BIA“ und „Fach-BIA“ ist daher nicht vorgesehen. Führen Sie eine gemeinsame Analyse, die DORA und AT 7.3 MaRisk zugleich bedient.
Für die Analyse gelten drei Rechtsstände nebeneinander. Trennen Sie diese in Ihrer Dokumentation, damit Prüfer erkennen, welche Vorgabe Sie wann anwenden.
| Rechtsstand | Inhalt | Fundstelle |
|---|---|---|
| Geltend | BIA als Teil der allgemeinen Geschäftsfortführungsleitlinie für DORA-Finanzunternehmen; Ergebnisse fließen in Leitlinie, Tests und Wiederherstellungspläne; Auswirkungsanalysen nach MaRisk für kritische oder wichtige Funktionen; EBA/GL/2019/04 seit 20.05.2025 auf das Management der Beziehungen zu Zahlungsdienstnutzern beschränkt | Art. 11 Abs. 5 DORA; Art. 24–26, 39–40 Delegierte Verordnung (EU) 2024/1774; AT 7.3 Tz. 1 MaRisk (RS 06/2026 (BA)); EBA/GL/2025/02 |
| Übergang | BAIT gelten bis 31.12.2026 nur noch für Nicht-DORA-Institute; Umstellung der BIA von „zeitkritisch“ auf „kritische oder wichtige Funktionen“ | Bundesbank; AT 7.3 MaRisk |
| Künftig | Ab 01.01.2027 gilt DORA auch für KWG-Institute außerhalb von Art. 2 DORA, mit vereinfachtem Rahmen; EBA-Leitlinien zum Drittparteirisiko mit Prüfung der Notfallpläne von Dienstleistern, Anwendungsdatum noch offen | § 1a Abs. 2a, § 65a Abs. 3 KWG; Art. 16 DORA; Art. 39–40 Delegierte Verordnung (EU) 2024/1774; EBA/GL/2026/09 |
| Ergebnis | Inhalt | Fundstelle |
|---|---|---|
| Funktionsübersicht | alle Funktionen, Rollen und Verantwortlichkeiten mit den unterstützenden Informations- und IKT-Assets | Art. 8 Abs. 1 DORA; AT 7.3 Tz. 1 MaRisk |
| Schadensverlauf | Art und Umfang des materiellen und immateriellen Schadens über abgestufte Zeiträume | Erläuterung zu AT 7.3 Tz. 1 MaRisk |
| Einfluss des Ausfallzeitpunkts | zum Beispiel Monatsende, Meldestichtage, Hauptgeschäftszeiten im Zahlungsverkehr | Erläuterung zu AT 7.3 Tz. 1 MaRisk |
| Kritische oder wichtige Funktionen | Funktionen, deren Ausfall Leistungsfähigkeit, Geschäftsfortführung oder Erfüllung der Zulassungs- und Aufsichtspflichten erheblich beeinträchtigen würde | Art. 3 Nr. 22 DORA |
| Wiederherstellungsziele | maximal tolerierbare Ausfallzeit, Wiederanlaufzeit (RTO), maximal zulässiger Datenverlust (RPO), Wiederanlaufniveau | Art. 12 DORA; Art. 24 Abs. 1 Delegierte Verordnung (EU) 2024/1774; BSI-Standard 200-4 |
| Abhängigkeiten | Unterstützungsprozesse, IKT-Systeme, Daten, Personal, Gebäude, IKT-Drittdienstleister und Auslagerungsunternehmen, Interdependenzen | Art. 8 Abs. 5, Art. 11 Abs. 5 DORA; AT 7.3 Tz. 1 MaRisk |
| Redundanzbedarf | Anforderungen an Redundanz, Backup und Ausweichkapazitäten | Art. 11 Abs. 5, Art. 12 DORA |
| Prioritäten für den Wiederanlauf | Reihenfolge der Wiederherstellung, risikobasiert | Art. 24 Abs. 1 Delegierte Verordnung (EU) 2024/1774 |
Der BSI-Standard 200-4 liefert die gängige Begriffswelt:
| Kenngröße | Bedeutung |
|---|---|
| MTPD (maximal tolerierbare Ausfallzeit, MTA) | wie lange ein Prozess höchstens ausfallen darf, bevor nicht tolerierbare Auswirkungen eintreten; ermittelt aus der Schadensbewertung |
| RTO (geforderte Wiederanlaufzeit) | aus der MTPD abgeleitet; Zeit bis zur Inbetriebnahme der Notfalllösung; muss kürzer als die MTPD sein |
| RPO (maximal zulässiger Datenverlust) | wie alt die Daten höchstens sein dürfen, um im Notbetrieb sinnvoll arbeiten zu können |
| Wiederanlaufniveau | Leistungsumfang, der im Notbetrieb mindestens erbracht werden muss |
| RTA (erreichbare Wiederanlaufzeit) | tatsächlich erreichbare Zeit; der Abgleich mit der RTO zeigt Lücken |
DORA verlangt, dass Sie die Wiederherstellungsziele für jede Funktion festlegen und dabei berücksichtigen, ob es sich um eine kritische oder wichtige Funktion handelt und welche Gesamtauswirkungen auf die Markteffizienz entstehen. Die Zeitvorgaben müssen sicherstellen, dass die vereinbarte Dienstleistungsgüte auch in Extremszenarien erreicht wird (Art. 12 DORA). Kritische oder wichtige Funktionen müssen nach Störungen innerhalb einer RTO und eines RPO wiederhergestellt werden können (Art. 24 Abs. 1 Delegierte Verordnung (EU) 2024/1774).
Praxis-Tipp
Leiten Sie die RTO der IKT-Systeme aus der MTPD der Fachfunktion ab, nicht umgekehrt. Eine RTO, die die IT „schafft“, ersetzt keine Schadensbewertung.
Erfassen Sie alle Funktionen mit Eigentümern, unterstützenden Prozessen und Assets (Art. 8 Abs. 1 DORA; AT 7.3 Tz. 1 MaRisk).
Zum Beispiel finanzieller Schaden, aufsichtsrechtliche Folgen, Kundenschaden, Reputation, Marktwirkung; Zeitstufen wie 4 Stunden, 1 Tag, 3 Tage, 1 Woche.
Ab welchem Schaden ist ein Ausfall nicht mehr hinnehmbar? Diese Schwelle beschließt die Geschäftsleitung.
Bewerten Sie quantitativ und qualitativ, mit internen und externen Daten und Szenarien (Art. 11 Abs. 5 DORA), und berücksichtigen Sie den Zeitpunkt des Ausfalls.
Stufen Sie Funktionen als kritische oder wichtige Funktion nach Art. 3 Nr. 22 DORA ein, begründet und dokumentiert.
Legen Sie MTPD, RTO, RPO und Wiederanlaufniveau sowie die Prioritäten für den Wiederanlauf fest.
Erfassen Sie IKT-Systeme, Daten, Personal, Gebäude, Dienstleister und Unterauftragnehmer; brechen Sie RTO und RPO auf die Ressourcen herunter und gleichen Sie sie mit der erreichbaren Wiederanlaufzeit ab.
Überführen Sie die Ergebnisse in Leitlinie, Pläne und Tests. Die Geschäftsleitung ist mindestens quartalsweise über den Zustand des Notfallmanagements zu informieren (AT 7.3 Tz. 1 MaRisk); die Klassifizierung überprüfen Sie mindestens jährlich (Art. 8 Abs. 1 DORA).
Geltendes Recht Finanzunternehmen ermitteln alle Prozesse, die von IKT-Drittdienstleistern abhängen, und die Vernetzungen mit Dienstleistern, die kritische oder wichtige Funktionen unterstützen (Art. 8 Abs. 5 DORA). Die Wiederherstellungspläne müssen Szenarien zur Insolvenz oder zum Ausfall relevanter IKT-Drittdienstleister berücksichtigen (Art. 26 Abs. 2 Delegierte Verordnung (EU) 2024/1774). Bei Auslagerungen müssen Institut und Auslagerungsunternehmen über abgestimmte Notfallkonzepte verfügen (AT 7.3 Tz. 3 MaRisk).
Künftiges Recht Nach den EBA-Leitlinien zum Drittparteirisiko (EBA/GL/2026/09) gehören Informationen darüber, ob der Dienstleister einen geeigneten Geschäftsfortführungsplan hat, zur Vorabprüfung; Berichte über Notfallmaßnahmen und Tests sind laufend auszuwerten. Das Anwendungsdatum steht nach dem Stand Oktober 2026 noch nicht fest.
Praxis-Tipp
Nutzen Sie dieselbe Einstufung kritischer oder wichtiger Funktionen in BIA, DORA-Informationsregister und Auslagerungsregister. Abweichende Einstufungen lassen sich gegenüber Prüfern nur schwer begründen und stellen die Konsistenz Ihrer Steuerung infrage.
Die frühere Szenarioliste der MaRisk ist entfallen. Das Notfallkonzept muss nun auf plausiblen Szenarien und vernünftigen Annahmen beruhen (AT 7.3 Tz. 3 MaRisk). Konkret wird die Delegierte Verordnung (EU) 2024/1774: Die Wiederherstellungspläne berücksichtigen mindestens die folgenden Szenarien (Art. 26 Abs. 2):
Die Tests der Geschäftsfortführungspläne beruhen auf schweren, aber plausiblen Szenarien, stellen die Annahmen der Pläne infrage und berücksichtigen die BIA (Art. 25 Delegierte Verordnung (EU) 2024/1774). Getestet wird mindestens jährlich und bei wesentlichen Änderungen (Art. 11 Abs. 6 DORA; AT 7.3 Tz. 4 MaRisk).
| Merkmal | Business Impact Analyse | Risikoanalyse (Risk Impact Analyse) |
|---|---|---|
| Leitfrage | Was passiert, wenn die Funktion ausfällt? | Wodurch kann die Funktion ausfallen, und wie wahrscheinlich ist das? |
| Ergebnis | Kritikalität, MTPD, RTO, RPO, Abhängigkeiten | Gefährdungen, Eintrittswahrscheinlichkeit, Maßnahmen |
| Fundstelle | Art. 11 Abs. 5 DORA; AT 7.3 Tz. 1 MaRisk | AT 7.3 Tz. 1 MaRisk („potenzielle Gefährdungen“); IKT-Risikomanagement nach DORA |
Die MaRisk 10.0 nennen die Risikoanalyse nicht mehr gesondert, sondern verlangen, mit den Auswirkungsanalysen auch potenzielle Gefährdungen zu identifizieren. Methodisch bleiben beide Blickrichtungen nötig.
Betroffene Unternehmen entwickeln ihre Geschäftsfortführungspläne auf Grundlage einer Analyse der Exposition gegenüber schwerwiegenden Betriebsstörungen und deren potenzieller Auswirkungen, einschließlich eines Cyberangriffsszenarios (Art. 39 Abs. 1 Delegierte Verordnung (EU) 2024/1774). Der Begriff „BIA“ fällt dort nicht, die Analyse ist aber dieselbe. Getestet werden Backup und Wiederherstellung mindestens jährlich (Art. 40 Abs. 1).
KWG-Institute außerhalb von Art. 2 DORA, etwa Factoring- und Leasinginstitute, wenden den vereinfachten Rahmen an (§ 1a Abs. 2a, § 65a Abs. 3 KWG).
Die Reaktions- und Wiederherstellungspläne unterliegen bei ihnen keiner unabhängigen internen Revision (Art. 11 Abs. 3 DORA).
Die BSIG-Pflichten zum Risikomanagement nach § 30 BSIG und die Resilienzpflichten nach §§ 12–16 KRITIS-Dachgesetz gelten nicht für DORA-Finanzunternehmen und die nach § 1a Abs. 2a KWG erfassten Institute (§ 28 Abs. 6 BSIG; § 4 Abs. 2 KRITISDachG).
Die Leitlinien zum IKT- und Sicherheitsrisikomanagement sind seit 20.05.2025 auf das Management der Beziehungen zu Zahlungsdienstnutzern beschränkt (EBA/GL/2025/02). Die BIA richtet sich nach DORA.
Die Tabelle fasst die Prüffelder zusammen. Die Spalte „Möglicher Befund“ beschreibt Lücken, auf die Sie bei der Selbsteinschätzung achten sollten.
| Prüffeld | Prüffrage | Normbezug | Möglicher Befund |
|---|---|---|---|
| Funktionsübersicht | Sind alle Funktionen mit Eigentümern und Assets erfasst? | Art. 8 Abs. 1 DORA; AT 7.3 Tz. 1 MaRisk | Übersicht nur auf Prozess- oder Systemebene, ohne Eigentümer |
| Schwellen | Haben Geschäftsleitung Schadenskategorien, Zeithorizonte und Untragbarkeitsniveau beschlossen? | BSI-Standard 200-4 | Schwellenwerte ohne Beschluss der Geschäftsleitung |
| Ausfallzeitpunkt | Sind Stichtage und Spitzenzeiten berücksichtigt? | Erläuterung zu AT 7.3 Tz. 1 MaRisk | Bewertung nur für einen durchschnittlichen Tag |
| Kritikalität | Ist die Einstufung begründet und mit DORA-Informationsregister und Auslagerungsregister abgestimmt? | Art. 3 Nr. 22, Art. 8 Abs. 1 DORA | abweichende Einstufungen in den Verzeichnissen |
| Kenngrößen | Sind MTPD, RTO, RPO und Wiederanlaufniveau je Funktion festgelegt, und ist die RTO kleiner als die MTPD? | Art. 12 DORA; BSI-Standard 200-4 | RTO aus der IT-Fähigkeit statt aus der Schadensbewertung abgeleitet |
| Dienstleister | Sind Abhängigkeiten von IKT-Drittdienstleistern und Unterauftragnehmern erfasst? | Art. 8 Abs. 5 DORA; AT 7.3 Tz. 3 MaRisk | Unterauftragnehmer fehlen |
| Wiederanlaufzeit | Ist die erreichbare Wiederanlaufzeit gegen die RTO abgeglichen, und sind Lücken mit Maßnahmen hinterlegt? | BSI-Standard 200-4 (Glossar) | Lücken ohne Maßnahme und Verantwortlichen |
| Szenarien | Sind die Szenarien nach Art. 26 Abs. 2 Delegierte Verordnung (EU) 2024/1774 abgedeckt? | Art. 26 Abs. 2 Delegierte Verordnung (EU) 2024/1774 | nur Cyberangriff und Rechenzentrumsausfall betrachtet |
| Überführung | Sind die BIA-Ergebnisse in Leitlinie, Pläne und Testprogramm übernommen? | Art. 24–26 Delegierte Verordnung (EU) 2024/1774 | BIA liegt als Einzeldokument ohne Verbindung zu Plänen und Tests vor |
| Aktualisierung | Ist die Überprüfung mindestens jährlich und anlassbezogen dokumentiert? | Art. 8 Abs. 1 DORA; AT 7.3 Tz. 4 MaRisk | keine Aktualisierung nach Tests, Vorfällen und Änderungen |
| Zeitpunkt | Maßnahme |
|---|---|
| sofort | BIA auf „kritische oder wichtige Funktionen“ umstellen; Verweise auf „zeitkritische Prozesse“, BAIT und EBA/GL/2019/04 ersetzen |
| bis 31.12.2026 | Einstufung kritischer oder wichtiger Funktionen mit dem DORA-Informationsregister zum Stichtag 31.12.2026 abgleichen |
| ab 01.01.2027 | KWG-Institute nach § 1a Abs. 2a KWG: BIA bzw. Expositionsanalyse nach Art. 39 der Delegierten Verordnung (EU) 2024/1774 vorhalten |
| jährlich | Klassifizierung überprüfen, Pläne testen, BIA nach Tests, Vorfällen und Änderungen aktualisieren |
| quartalsweise | Bericht an die Geschäftsleitung über den Zustand des Notfallmanagements |
Die Kernbotschaften:
Wer die Business Impact Analyse jetzt auf kritische oder wichtige Funktionen umstellt, ist auf den Stichtag 31.12.2026 und die Änderungen ab 01.01.2027 vorbereitet. Die Checkliste im Quick-Check zeigt, wo Ihre Analyse noch Lücken hat.
Ja. Für DORA-Finanzunternehmen schreibt Art. 11 Abs. 5 DORA die Business Impact Analyse vor. Für Institute verlangt AT 7.3 Tz. 1 MaRisk Auswirkungsanalysen für kritische oder wichtige Funktionen.
Nicht in den MaRisk. Maßstab sind kritische oder wichtige Funktionen nach Art. 3 Nr. 22 DORA. Der BSI-Standard 200-4 verwendet den Begriff weiter; methodisch bleibt er nützlich.
Die Klassifizierung der Funktionen ist mindestens jährlich zu überprüfen (Art. 8 Abs. 1 DORA). Darüber hinaus aktualisieren Sie die Analyse nach wesentlichen Änderungen, Tests und Vorfällen.
DORA verlangt Wiederherstellungsziele für jede Funktion (Art. 12 DORA). Für nicht kritische Funktionen genügen gröbere Werte.
Nein. Die Business Impact Analyse ist Teil der allgemeinen Geschäftsfortführungsleitlinie und betrachtet auch Personal, Gebäude und Dienstleister.
Ab 01.01.2027 gilt der vereinfachte DORA-Rahmen mit einer Analyse der Exposition gegenüber schwerwiegenden Betriebsstörungen nach Art. 39 der Delegierten Verordnung (EU) 2024/1774.
Weitere Rechtsgrundlagen: § 1a Abs. 2a, § 25a Abs. 1 Satz 3 Nr. 5 und § 65a Abs. 3 KWG, §§ 28 und 30 BSIG sowie § 4 Abs. 2 KRITISDachG.
Dieser Beitrag dient der Fachinformation und ersetzt keine Rechtsberatung. Rechtsstand: Oktober 2026.
S+P Seminare vermittelt die Methoden der Business Impact Analyse in Seminaren zum Business Continuity Management sowie im Lehrgang Resilience Officer. Ihr Team lernt, die Analyse selbst aufzusetzen und zu pflegen.
Qualifizierung zu DORA und NIS-2 für Fach- und Führungskräfte.
Einordnung der Regelwerke aus Governance-Sicht.
Dienstleisterabhängigkeiten und Auslagerungen steuern.
Aufsichtsrechtliche Anforderungen einschließlich MaRisk.
Risikoanalyse und Szenarien methodisch beherrschen.
Notfallmanagement und Tests prüfen.
Fehlen intern die Kapazitäten, können Sie Kontrollfunktionen auch an einen externen Dienstleister übertragen. Informationen dazu finden Sie bei S+P Compliance.
Achim Schulz kennt die Führungsebene aus eigener Verantwortung – langjährig als Vorstand bei Banken und Geschäftsführer sowie als Interim-Manager in Industrieunternehmen. Diese Doppelperspektive aus Finanzsektor und Realwirtschaft prägt seine Beiträge für CEO, COO und CFO. Er kennt das Zusammenspiel von Geschäftsleitung, Aufsichtsrat und Gesellschaftern aus der Praxis und übersetzt strategische wie aufsichtsrechtliche Anforderungen in umsetzbare, haftungssichere Führungsentscheidungen – praxisnah und auf Augenhöhe mit dem Management.
LinkedIn-Profil → · Redaktion & Experten →
