DORA und Notfallarbeitsplätze: Was Banken seit 2025 nachweisen müssen

Wenn wir mit Instituten über Betriebskontinuität sprechen, kommt an einer Stelle fast immer eine Pause: bei der Frage, wohin die Mitarbeitenden gehen, wenn das eigene Gebäude nicht nutzbar ist. Die Systeme sind meist bedacht: gespiegelte Rechenzentren, Backups, Wiederanlaufpläne. Die Menschen, die damit arbeiten, seltener.

Genau diese Lücke adressiert DORA deutlicher als alles, was vorher galt.

Was DORA konkret verlangt

Die Verordnung (EU) 2022/2554, Digital Operational Resilience Act, gilt seit dem 17. Januar 2025 unmittelbar in allen Mitgliedstaaten. Sie richtet sich an Banken, Versicherungen, Wertpapierfirmen, Zahlungsdienstleister und weitere Finanzunternehmen. Anders als eine Richtlinie musste sie nicht erst in deutsches Recht überführt werden.

Für den Betrieb sind vor allem die Artikel 11 und 12 relevant. Sie verlangen eine Leitlinie zur Fortführung des Geschäftsbetriebs, Reaktions- und Wiederherstellungspläne sowie deren regelmäßige Erprobung. Wichtig ist die Formulierung: Die Pläne müssen getestet werden, und zwar mindestens jährlich sowie nach wesentlichen Änderungen an der Infrastruktur.

Ein Konzept, das nie durchgespielt wurde, erfüllt diese Anforderung nicht. Das ist der Punkt, an dem in Prüfungen die meisten Diskussionen entstehen.

Was das für Arbeitsplätze bedeutet

DORA nennt Ausweicharbeitsplätze nicht wörtlich. Die Anforderung ergibt sich indirekt, aber zwingend: Wenn ein Wiederanlaufplan vorsieht, dass ein kritischer Prozess innerhalb einer bestimmten Zeit wieder läuft, muss auch geklärt sein, wer ihn ausführt und von wo.

Bei vielen Instituten lautete die Antwort jahrelang: Homeoffice. Das trägt für einen Teil der Tätigkeiten, aber eben nicht für alle. Wertpapierhandel mit Aufzeichnungspflicht, Bargeldlogistik, Prozesse mit besonderen Zugriffsbeschränkungen oder Vier-Augen-Prinzip lassen sich am Küchentisch nicht abbilden. Für diese Fälle braucht es einen Ort, der die technischen und organisatorischen Anforderungen erfüllt.

Dazu kommt ein praktischer Aspekt, der unterschätzt wird: Ein Ausweicharbeitsplatz muss im Ernstfall sofort nutzbar sein. Ein Raum mit Tischen genügt nicht: Netzanbindung, Telefonie mit den gewohnten Rufnummern, Zugriff auf die Fachanwendungen und der Nachweis, dass all das funktioniert, gehören dazu.

Wie die nationalen Vorgaben dazu passen

DORA ersetzt die bekannten deutschen Regelwerke nicht, sondern liegt darüber. In der Praxis bewegen sich Institute weiterhin in diesem Rahmen:

• KWG §25a verlangt eine ordnungsgemäße Geschäftsorganisation einschließlich eines angemessenen Notfallkonzepts.
• MaRisk AT 7.3 konkretisiert das: Notfallkonzept, Geschäftsfortführungs- und Wiederanlaufpläne, jährliche Tests.
• BAIT ergänzt die IT-spezifische Sicht, insbesondere zum Auslagerungscontrolling.
• DORA hebt die Anforderungen an Tests und an die Steuerung von IKT-Drittdienstleistern auf europäisches Niveau.

Wer MaRisk und BAIT sauber umgesetzt hat, steht nicht bei null. Die Lücke liegt meist bei der Nachweisführung und bei der Frage, wie die Auslagerung an IT-Dienstleister dokumentiert und überwacht wird.

Der Punkt, an dem es in Prüfungen klemmt

Nach unserer Erfahrung sind es selten fehlende Konzepte. Es sind drei andere Dinge:

Erstens die Testnachweise. Ein Plan existiert, aber der letzte dokumentierte Test liegt Jahre zurück oder war ein Gespräch am Tisch, ohne dass jemand die Technik tatsächlich hochgefahren hat. DORA Art. 11 Abs. 6 verlangt ausdrücklich die Erprobung.

Zweitens das Auslagerungsregister. Nach DORA Art. 28 müssen Institute alle vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen führen, mit definierten Angaben. Viele Register sind unvollständig, weil kleinere Dienstleister übersehen wurden.

Drittens die Wiederanlaufzeiten. RTO und RPO sind oft für Systeme definiert, aber nicht für Geschäftsprozesse, und ohne Business-Impact-Analyse fehlt die Begründung, warum ausgerechnet diese Zeiten angemessen sein sollen.

Was ein tragfähiges Konzept enthält

Wenn wir mit einem Institut ein Notfallkonzept aufbauen oder überarbeiten, gehen wir in dieser Reihenfolge vor:

Zuerst die Business-Impact-Analyse: Welche Prozesse sind kritisch, was passiert bei welcher Ausfalldauer, welche Abhängigkeiten bestehen? Daraus ergeben sich die Wiederanlaufzeiten, begründet statt geschätzt.

Darauf aufbauend die Wiederanlaufpläne je Prozess: Wer macht was, in welcher Reihenfolge, mit welchen Systemen, von wo aus. Hier fällt auf, wenn für einen Prozess kein Arbeitsplatz vorgesehen ist.

Dann die Ausweicharbeitsplätze selbst: geografisch getrennt vom Hauptstandort, wie es die Auslagerungsanforderungen der BAIT vorsehen, mit vorbereiteter Technik und Anbindung.

Schließlich die Tests: einmal als Planbesprechung, einmal technisch. Beides dokumentiert, mit Feststellungen und deren Behebung.

Wie CentricCom das abbildet

Wir betreiben Ausweicharbeitsplätze an drei geografisch getrennten Standorten in Deutschland. Institute buchen die Plätze, die sie nach ihrer Business-Impact-Analyse benötigen, und bekommen sie im Ernstfall einsatzbereit: mit Netzanbindung, Telefonie und Zugriff auf ihre Umgebung.

Ebenso wichtig ist der Papierteil: Wir dokumentieren die Auslagerung so, dass sie ins Auslagerungsregister nach DORA Art. 28 passt, und begleiten die jährlichen Tests einschließlich Protokoll.

Unser Sitz ist Bad Vilbel bei Frankfurt, im Einsatz sind wir deutschlandweit.

Ausweicharbeitsplätze sind dabei nur ein Teil. Welche weiteren Themen in einem beaufsichtigten Haus zusammenhängen, Aufzeichnung im Wertpapiergeschäft, Microsoft 365 unter Auslagerungsregeln, Fernzugriff mit Protokoll, haben wir auf der Seite IT für Banken und Finanzinstitute zusammengefasst.

Ein pragmatischer erster Schritt

Falls Sie nicht sicher sind, wo Ihr Institut steht: Nehmen Sie Ihren letzten Notfalltest zur Hand und prüfen Sie drei Dinge. Wann fand er statt? Wurde dabei tatsächlich Technik hochgefahren oder nur besprochen? Und steht im Protokoll, welche Feststellungen es gab und ob sie behoben wurden?

Wenn eine dieser Fragen unbeantwortet bleibt, ist das der Punkt, an dem wir ansetzen würden.

Dieser Beitrag gibt den Stand vom September 2026 wieder und dient der allgemeinen Information. Er ersetzt keine Rechtsberatung und keine aufsichtsrechtliche Auskunft.