DORA für kleinere Genossenschaftsbanken: Verhältnismäßigkeit in der Praxis
Aktualisiert: 22. Okt.
Inhaltsübersicht
DORA gilt seit dem 17. Januar 2025 vollständig und ersetzt für Genossenschaftsbanken den bisherigen Flickenteppich aus BAIT, MaRisk AT 7.2 und Auslagerungsleitfäden durch eine einheitliche EU-Verordnung. Für regionale Institute ist die entscheidende Frage weniger, was DORA verlangt – das steht im Text – sondern wie weit die Verhältnismäßigkeit nach Artikel 16 reicht. Der Beitrag ordnet die fünf Säulen ein, zeigt die Erleichterungen für kleine und nicht-verflochtene Institute und skizziert, wie eine pragmatische Umsetzung 2026 aussieht.
Rechtsstand: August 2026 · Dieser Beitrag richtet sich an Vorstände, Aufsichtsräte und Mitglieder von Genossenschaften.
Das Wichtigste in Kürze
DORA verlangt fünf Säulen: IKT-Risikomanagement, Incident-Meldung, Resilience-Testing, Drittparteienrisiken und Information Sharing. Kleinere Genossenschaftsbanken können nach Artikel 16 DORA das vereinfachte Rahmenwerk anwenden – die Pflicht zur Umsetzung bleibt jedoch.
Die bestehende Auslagerungsgovernance nach MaRisk AT 9 wird durch DORA überlagert: Drittanbieterregister, vertragliche Mindestklauseln und kritische Dienstleister-Liste sind zusätzlich zu führen.
Sanktionen reichen bis zu 2 Prozent des Jahresumsatzes; in der Praxis relevanter sind aufsichtsrechtliche Feststellungen durch die BaFin und Prüfungsfeststellungen durch den genossenschaftlichen Prüfungsverband.
Was DORA verlangt – die fünf Säulen
DORA arbeitet mit fünf Säulen, die sich ineinanderfügen. Das IKT-Risikomanagement nach den Artikeln 5 bis 15 bildet die Grundschicht: schriftliche IKT-Governance-Leitlinie, Zuständigkeit des Leitungsorgans, IKT-Risikoappetit, Klassifizierung sämtlicher IKT-Assets, Business-Impact-Analyse und Schutzmaßnahmen wie Backup, Segmentierung und Kryptografie. Direkt daran anknüpfend verlangt die Incident-Meldung nach den Artikeln 17 bis 23 eine definierte Klassifizierung schwerer Vorfälle mit gestaffelten Meldefristen an die BaFin: 24 Stunden für die Erstmeldung, 72 Stunden für den Zwischenbericht, 30 Tage für den Abschlussbericht.
Die dritte Säule ist das Digital Operational Resilience Testing nach den Artikeln 24 bis 27: mindestens jährliche IKT-Tests, wobei Threat-Led Penetration Tests nur für als signifikant eingestufte Institute vorgesehen sind – Genossenschaftsbanken sind davon in der Regel nicht betroffen. Die vierte Säule, das Drittparteienrisiko-Management nach den Artikeln 28 bis 44, ist in der Praxis die dokumentationsintensivste: zentrales Drittanbieter-Register, DORA-konforme Musterverträge mit 14 verpflichtenden Klauseln und besondere Anforderungen an kritische IKT-Dienstleister. Hinzu tritt die fünfte Säule, das Information Sharing nach Artikel 45 – freiwilliger Austausch von Bedrohungsinformationen innerhalb des Genossenschaftsverbunds. Die Teilnahme ist nicht verpflichtend, wirkt in der Aufsicht aber entlastend.
Verhältnismäßigkeit: Artikel 16 DORA
DORA kennt zwei Stufen: das vollständige Rahmenwerk und das vereinfachte Rahmenwerk nach Artikel 16 für kleine und nicht-verflechtete Institute. Die Schwelle ist gut definiert: Bilanzsumme unter einer Milliarde Euro bei gleichzeitiger Nicht-Signifikanz im SSM-Sinne. Die Mehrheit regionaler Genossenschaftsbanken erfüllt beide Bedingungen und kommt damit in den Anwendungsbereich des vereinfachten Regimes. Das bedeutet reduzierte Dokumentationstiefe, verringerte Häufigkeit der Testing-Aktivitäten und eine schlankere Governance-Struktur – nicht aber den Verzicht auf eine der fünf Säulen. Die Pflichten bleiben alle anwendbar, nur ihr Vollzug ist proportional reduziert.
Im genossenschaftlichen Sektor kommt ein zweiter Hebel hinzu: die Delegation an den Verbund. Rechenzentren und Service-Provider übernehmen viele technische Anforderungen, das Institut muss die Governance aber auf eigener Ebene nachweisen. Die BaFin erwartet auch im vereinfachten Rahmenwerk eine eigenständige IKT-Risikoanalyse, ein eigenständiges Incident-Handling und ein eigenes Drittanbieter-Register. Der genossenschaftliche Prüfungsverband prüft die Umsetzung im Rahmen der Pflichtprüfung nach § 53 GenG; Feststellungen können zum Managementletter oder zu Nachprüfungen führen und sollten deshalb ernst genommen werden, bevor sie aktenkundig werden.
IKT-Drittparteienregister in der Praxis
Besonders dokumentationsintensiv ist Artikel 28 mit dem Drittanbieter-Register. Jedes Institut muss eine vollständige Liste aller IKT-Dienstleister führen, mit Pflichtfeldern zu Dienstleister, Vertragsgegenstand, Kritikalität, Unterauftragnehmern, Datenverarbeitungsorten, Eskalationspfaden und Kündigungsrechten. Das Format ist durch EBA-Leitlinien und ITS vorgegeben. Die zentrale Einstufung betrifft die Unterscheidung kritisch versus nicht-kritisch: Kritische IKT-Dienstleistungen sind solche, deren Ausfall die Geschäftstätigkeit wesentlich beeinträchtigt. Diese Einstufung triggert verschärfte Anforderungen und muss konsistent begründet werden.
Die Vertragsebene verlangt in Artikel 30 vierzehn verpflichtende Klauseln – Leistungsbeschreibung, Datenort, Security-Level, Auditrechte, Business Continuity, Kündigung, Rückführung. Bestandsverträge müssen bis Ende 2025 angepasst sein; der Zeitdruck ist für viele Institute die eigentliche Hürde. Hinzu kommt das Concentration Risk: Der hohe Verflechtungsgrad im genossenschaftlichen Sektor führt zu Klumpenrisiken beim Rechenzentrum, die dokumentiert und mitigiert werden müssen. Ab 2025 wird das Drittanbieter-Register einmal jährlich über das MVP-Portal an die BaFin gemeldet; Verzug wird als Aufsichtsbefund geführt.
Incident-Meldung und Testing
Die Incident-Meldung ist die Anforderung mit dem höchsten operativen Risiko, weil die 24-Stunden-Frist zu laufen beginnt, sobald das Institut von einem schwerwiegenden Vorfall Kenntnis erlangt. Die Klassifikationskriterien der Delegierten Verordnung (EU) 2024/1772 berücksichtigen Anzahl betroffener Kunden, Datenverluste, wirtschaftliche Auswirkungen, geografische Reichweite und Reputationsfolgen. Nach der Erstmeldung folgen Zwischenbericht binnen 72 Stunden und Abschlussbericht binnen 30 Tagen, alle über das MVP-Portal der BaFin. Die interne Vorbereitung – DORA-konforme Incident-Response-Policy, definierter IKT-Krisenstab, Kontaktliste der BaFin-Referenten, jährliche Simulationsübungen – entscheidet im Ernstfall über Fristwahrung.
Im Verbund gilt eine wichtige Klarstellung: Viele Incidents werden zuerst beim Rechenzentrum sichtbar, die Meldepflicht bleibt aber beim beaufsichtigten Institut – nicht beim Dienstleister. Dieser Punkt muss in den Eskalationspfaden der Drittanbieterverträge sauber abgebildet sein, sonst entstehen gefährliche Zeitverluste an der Schnittstelle. Beim Resilience-Testing reicht für nicht-signifikante Institute der Standard-Zyklus: Schwachstellenscans, Penetrationstests und Szenario-Analysen ohne TLPT. Die Tests sind jährlich für die kritischsten IKT-Systeme durchzuführen, und die Ergebnisse sollten dem Aufsichtsrat in einer kompakten Form vorgelegt werden – damit das Gremium seine Überwachungspflicht erfüllen kann.
Umsetzungsfahrplan 2026 für kleinere Genossenschaftsbanken
Wer die DORA-Umsetzung 2025 begonnen hat, steht 2026 vor der Festigung und Dokumentation. Das erste Quartal ist typischerweise der Abschluss der Gap-Analyse zwischen Ist und DORA-Sollzustand, mit Fokus auf Drittanbieter-Register und IKT-Governance-Leitlinie. Das zweite Quartal bringt die Nachverhandlung der Musterverträge mit kritischen Dienstleistern und die Implementierung sowie den ersten Test des Incident-Response-Plans. Die Drittviertel-Aktivitäten umfassen das erste vollständige Resilience-Testing und die Nachweisdokumentation für den Prüfungsverband; das Schlussquartal steht im Zeichen der Registermeldung an die BaFin, der Definition des Berichtsturnus für das Leitungsorgan und der Anpassung des Business-Continuity-Plans.
Querschnittlich bleibt das Awareness-Training für alle Mitarbeiter und insbesondere für Berechtigungsinhaber kritischer IKT-Systeme eine Daueraufgabe. Erfahrungsgemäß gelingt die DORA-Umsetzung erfahrungsgemäß zuverlässig dort, wo das Thema frühzeitig mit dem Verbundpartner abgestimmt wurde und wo die Dokumentation nicht als Einmalprojekt, sondern als laufender Prozess organisiert ist. Genossenschaftsbanken, die diesen Rhythmus etabliert haben, berichten durchgängig, dass sich der anfängliche Dokumentationsaufwand nach einem Zyklus deutlich reduziert – und dass der Gewinn an interner Transparenz den Umstellungsaufwand weitgehend kompensiert.
Häufige Fragen
Ab welcher Größe gilt DORA für Genossenschaftsbanken?
DORA gilt seit Januar 2025 für alle Genossenschaftsbanken, unabhängig von ihrer Größe. Kleinere Institute können aber das vereinfachte Rahmenwerk nach Artikel 16 DORA anwenden, sofern sie die Schwellenwerte nicht überschreiten und nicht als signifikant eingestuft sind.
Muss unsere Bank ein eigenes IKT-Risikomanagement betreiben, wenn das Rechenzentrum vieles übernimmt?
Ja. DORA adressiert das beaufsichtigte Institut und verlangt eine eigenständige Governance und Dokumentation. Die technische Umsetzung darf ausgelagert werden, die Verantwortung nicht. Vorstand und Aufsichtsrat müssen jederzeit nachweisen können, dass sie die IKT-Risiken verstanden und gesteuert haben.
Welche Bußgelder drohen bei Verstößen?
Der Bußgeldrahmen reicht bis zu 2 Prozent des weltweiten jährlichen Konzernumsatzes für juristische Personen. In der Praxis relevanter sind Aufsichtsmaßnahmen der BaFin und Feststellungen in der genossenschaftlichen Pflichtprüfung, die zu Managementletter und Nachprüfungen führen.
Wie greifen DORA und NIS-2 ineinander?
DORA ist lex specialis für Finanzunternehmen und verdrängt NIS-2 in den dortigen Zuständigkeitsbereichen. Für Genossenschaftsbanken gilt grundsätzlich DORA; NIS-2 wird nur relevant, wenn das Institut zusätzlich andere NIS-2-relevante Dienste anbietet, etwa als IT-Dienstleister für Dritte.
Wie oft müssen wir den Drittanbieter-Report aktualisieren?
Das Drittanbieter-Register ist ein Lebensdokument: Aktualisierung bei jedem Vertragsabschluss, jeder wesentlichen Änderung und mindestens einmal jährlich. Die Jahresmeldung an die BaFin erfolgt über das MVP-Portal, typischerweise im ersten Quartal.
Für eine individuelle Einschätzung oder Unterstützung steht Ihnen der Genossenschaftsverband der Länder e.V. (GVdL) gern zur Verfügung. Kontakt: Kathrin Becher, info@gvdl.de, www.gvdlverband.de.
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine individuelle steuerliche oder rechtliche Beratung.
Kommentare